ผู้รับเหมาด้านกลาโหมเผชิญกับการระงับ CMMC Phase II: การรักษาความพร้อมทางไซเบอร์

การวิเคราะห์การหยุดชั่วคราวของโครงการ CMMC Phase II

คำสั่งล่าสุดที่ระงับการนำ Cybersecurity Maturity Model Certification (CMMC) ใน Phase II มาใช้นั้น เป็นการเปิดช่วงเวลาทบทวนแผนงานสำหรับข้อกำหนดของฐานอุตสาหกรรมป้องกันประเทศ แม้การหยุดพักนี้จะชะลอคำสั่งการประเมินโดยบุคคลที่สามสำหรับขอบเขต Tier 2 บางประการออกไป แต่ก็ไม่ได้หมายความถึงการยกเลิกมาตรฐานสุขอนามัยทางไซเบอร์ด้านการป้องกันประเทศแต่อย่างใด พันธกรณีที่สำคัญต่าง ๆ รวมถึงการประเมินตนเองใน Phase I และการปฏิบัติตาม DFARS clause 252.204-7012 ยังคงมีผลบังคับใช้ตามกฎหมาย และอยู่ภายใต้การตรวจสอบของรัฐบาลกลางภายใต้การบังคับใช้ False Claims Act

ผู้รับเหมาด้านกลาโหมที่ถือครอง Controlled Unclassified Information (CUI) ยังคงมีหน้าที่ในการปกป้องสินทรัพย์ที่ละเอียดอ่อนโดยใช้มาตรการควบคุมทางเทคนิคพื้นฐานที่กำหนดไว้ใน NIST SP 800-171 ผู้ไม่หวังดีกำลังมุ่งเป้าไปยังซัพพลายเออร์ระดับล่างเพื่อเข้าถึงเครือข่ายกลาโหมของรัฐบาลกลางในวงกว้าง ทำให้การหยุดการปฏิบัติตามข้อกำหนดกลายเป็นความเสี่ยงในการดำเนินงานหากถูกตีความว่าเป็นการอนุญาตให้ลดความพร้อมทางไซเบอร์ลง

ลำดับความสำคัญที่ผู้จัดหาสินค้าด้านการป้องกันประเทศต้องดำเนินการ

ผู้รับเหมาต้องใช้ประโยชน์จากการปรับเปลี่ยนทางธุรการนี้เพื่อเสริมสร้างพื้นฐานความปลอดภัยภายในแทนที่จะชะลอการแก้ไขปัญหา:

• รักษาการปรับแนวทาง NIST SP 800-171: ดำเนินการ Plans of Action and Milestones (POA&Ms) ที่ยังค้างอยู่ให้เสร็จสิ้น โดยมุ่งเน้นไปที่มาตรการควบคุมที่มีผลกระทบสูง เช่น multi-factor authentication (MFA), network segmentation และ centralized logging
• ตรวจสอบ System Security Plans (SSPs): ทำการตรวจสอบภายในอย่างเข้มงวดเพื่อยืนยันว่าการดำเนินงานจริงนั้นสะท้อนถึงสิ่งที่ระบุไว้ในเอกสาร SSP อย่างถูกต้อง เพื่อป้องกันภาระความรับผิดจากการไม่ปฏิบัติตามข้อกำหนด
• รักษาความปลอดภัยให้กับระบบนิเวศของผู้รับเหมาช่วง: ตรวจสอบให้แน่ใจว่าผู้ขายและซัพพลายเออร์ระดับรองจัดการกับ CUI ตามมาตรฐานการเข้ารหัสและการจัดการข้อมูลที่กำหนดไว้ เพื่อรักษาท่าทีด้านความปลอดภัยที่พร้อมรับการตรวจสอบทั่วทั้งห่วงโซ่อุปทาน