Keretrendszerek
NIST SP 800-171 és CMMC, napok alatt felmérve
Ha a szerződéseik ellenőrzött, nem minősített információt érintenek, a követelmények már élnek, és a pontszámot már elvárják. SPRS-kész hézagfelmérést, rangsorolt intézkedési és mérföldkőtervet, valamint CMMC-felkészültséget adunk — olyanoktól, akik elolvasták a szerződéses kikötést.
Három kötelezettség, amely együtt érkezik
A védelmi beszállítók ritkán találkoznak ezekkel egyesével. A szerződéses kikötés, a pontszám és a tanúsítási követelmény jellemzően ugyanabban a negyedévben landol.
DFARS 252.204-7012
Kötelező azoknál a védelmi minisztériumi szerződéseknél, amelyek ellenőrzött, nem minősített információt érintenek. Előírja a NIST SP 800-171 bevezetését és a kiberincidensek bejelentését — a nem megfelelés pedig magát a szerződést sodorhatja veszélybe.
SPRS-pontszám
A NIST SP 800-171 szerinti felmérési pontszámukat jelenteni kell a Supplier Performance Risk System rendszerben. A maximális 110 alatti pontszám mellé intézkedési és mérföldkőtervet kell csatolni.
CMMC-tanúsítás
A Cybersecurity Maturity Model Certification program egy ellenőrzési lépést tesz minderre: az ellenőrzött, nem minősített információ kezelése jellemzően a 2. szinten landol, és ezt önbevallás helyett felhatalmazott harmadik fél értékeli.
Három hatókör, attól függően, mi áll a szerződésükben
Hogy melyik a megfelelő, azon múlik, szövetségi szerződéses információt kezelnek-e, ellenőrzött nem minősített információt, vagy mindkettőt — ezt pedig mi állapítjuk meg, nem Önöknek kell előre tudniuk.
- 01
NIST SP 800-171
Az a 110 biztonsági követelmény 14 családban, amelyek bevezetését a DFARS előírja, az SPRS pontozási módszertanával felmérve, hogy a jelentett szám olyan legyen, amelyet meg tudnak védeni. Jellemzően három–öt munkanap.
- 02
CMMC 1. szint
Alapszintű kiberhigiénia a szövetségi szerződéses információhoz: 17 gyakorlat 5 területen. A könnyebb hatókör, és a helyes választás ott, ahol ellenőrzött nem minősített információ nincs a képben. Jellemzően két–három munkanap.
- 03
CMMC 2. szint
Felkészültségi felmérés a 110 gyakorlat ellenében 14 területen: a jelenlegi kontrolljaik strukturált értékelése, részletes hézagelemzés, rangsorolt intézkedési és mérföldkőterv, valamint az SPRS-számítás — a harmadik felek általi tanúsításra való felkészüléshez. Jellemzően négy–öt munkanap.
Négy lépés, és a legtöbb a miénk
Az Önök ideje ebben órákban mérhető, nem hetekben. Ez szándékos: az a felmérés, amely felemészti a mérnöki csapatot, elveszíti az értelmét.
- 01
Szerződés- és környezetátvizsgálás
Körülbelül egy óra. Átnézzük a vonatkozó szerződéseket és kikötéseket, azt, hogy az ellenőrzött nem minősített információ valójában hogyan mozog a cégükben, és hogy milyen a jelenlegi biztonsági helyzetük.
- 02
Testre szabott felmérés
Kevesebb mint két óra az Önök idejéből. Védelmi beszállítókra épített strukturált kérdőív, nem általános kontroll-ellenőrzőlista, közösen kitöltve, nem pedig elküldve.
- 03
SPRS-kész eredmények
Három–öt munkanap. Hézagjelentés az SPRS-pontszámmal és annak számítási módjával, az intézkedési és mérföldkőterv, valamint egy megfelelőségi útvonalterv abban a sorrendben, ahogy a munkát ténylegesen el kell végezni.
- 04
Megvalósítási támogatás
Munkamegbeszélés a helyreállítási prioritásokról és arról, mit jelent a tanúsításra való felkészülés — hogy a jelentés olyasvalakinél maradjon, aki tudja, mit kezdjen vele.
A határok, vásárlás előtt kimondva
Az SPRS-pontszámukat nem mi adjuk be. Kiszámoljuk, és átadjuk a mögötte álló adatokat; a beadást Önök vagy a fővállalkozójuk végzik az SPRS portálon, mert a DFARS ezt a beszállítóra rója, nem ránk.
Ez nem tanúsítás. Felkészültségi hézagfelmérést és intézkedési, mérföldkőtervet szállítunk. A CMMC-tanúsítást felhatalmazott, harmadik fél értékelő végzi, és aki felkészítette Önöket, nem lehet az, aki tanúsítja. A leszállítandóink arra készültek, hogy ez a lépés rövidebb legyen.
A felmérés egyszeri, rögzített hatókörrel és a kezdés előtt megadott rögzített díjjal. Ha gyakorlati segítséget kérnek a hézagok bezárásához, azt külön, ráépülő munkaként határozzuk meg, nem pedig a felmérés díjába rejtve.
Egy kikötés a szerződésben, és egy dátum, amelyet nem Önök választottak?
Mondják el, mi áll a szerződésben és mit kezelnek. Megmondjuk, melyik felmérés vonatkozik Önökre, és mivel jár.