Was Regierungsorganisationen über die Cybersecurity Maturity Model Certification (CMMC) wissen müssen

Ryan Johnson

Zu Beginn des Jahres veröffentlichte das US-Verteidigungsministerium (Department of Defense, DoD) die Cybersecurity Maturity Model Certification (CMMC) Version 1.0 – einen mit Spannung erwarteten einheitlichen Standard, der die umfangreiche Lieferkette der Behörde absichern soll. Wenn beispielsweise die Spannungen mit anderen Ländern zunehmen, befürchten viele, dass Vergeltungsmaßnahmen nicht nur über den Cyberspace erfolgen, sondern auch über „potenziell gefährdete Auftragnehmer des Verteidigungsministeriums“.

Mit der schrittweisen Einführung des CMMC über einen Zeitraum von fünf Jahren sollen solche Schwachstellen reduziert, wenn nicht sogar beseitigt und eine zentrale Herausforderung für die nationale Sicherheit bewältigt werden. Die verteidigungsindustrielle Basis (Defense Industrial Base, DIB) umfasst mehr als 300.000 Unternehmen, bei denen es bislang eklatant an Aufsicht mangelte. Diese Unternehmen greifen über ihre eigenen Systeme auf sensible Verteidigungsinformationen zu und speichern sie dort. Das CMMC stellt einen wichtigen Schritt zum Schutz dieser Informationen dar.

Trotz der langfristigen Vorteile kann CMMC bei vielen Auftragnehmern kurzfristig für Verwirrung sorgen. Je nach Art ihrer Tätigkeit müssen Auftragnehmer eine von fünf neuen Sicherheitsstufen erfüllen. Der Ausgangspunkt für die Verbesserung des eigenen Sicherheitsniveaus ist jedoch mehr oder weniger derselbe.

Vorbereitung auf CMMC

Für alle, die sich angesichts von CMMC mit bewährten Sicherheitspraktiken vertraut machen möchten, ist das National Institute of Standards and Technology (NIST) Cybersecurity Framework, das den Schwerpunkt auf kontinuierliche Sicherheit legt, ein guter Ausgangspunkt. Das NIST Framework gliedert sich in fünf Bereiche beziehungsweise Funktionen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.

Der erste Bereich bildet selbstverständlich die Grundlage. Um Bedrohungen zu identifizieren, müssen Unternehmen zunächst den gesamten Umfang ihrer eigenen Systeme erfassen können. Dies kann im Zeitalter von BYOD und Schatten-IT eine Herausforderung darstellen. Ein System lässt sich nicht absichern, wenn kein vollständiger Überblick über Mitarbeitende, Ressourcen und Daten besteht. Es gibt jedoch zahlreiche Tools, mit denen sich diese Transparenz herstellen lässt – von anwendungszentrierter Visualisierung bis hin zu SSL-Transparenz. Letztere entschlüsselt den Datenverkehr und verschlüsselt ihn anschließend erneut, um sicherzustellen, dass er keine Schadsoftware enthält.

Kontinuierliche Überwachung

Nur wenn Unternehmen vollständige Transparenz über Systeme und Daten haben, können sie die erforderlichen Schutzmaßnahmen ergreifen – etwa zum Schutz vor gängigen Web-Exploits, bösartigen IP-Adressen und koordinierten Angriffsarten. Zugriffsverwaltung, beispielsweise durch Single Sign-on, sichere virtuelle Desktop-Infrastrukturen (VDI) und privilegierte Benutzerzugriffe, bietet eine Möglichkeit, sich vor böswilligen Akteuren zu schützen. Einfach ausgedrückt muss die US-Bundesregierung überprüfen können, ob Auftragnehmer tatsächlich die sind, für die sie sich ausgeben, und ihnen entsprechend die richtige Zugriffsebene gewähren.

Doch Sicherheit darf nicht an der Eingangstür enden. Auch nach der Authentifizierung der Benutzer müssen Unternehmen deren Aktivitäten weiterhin überwachen und protokollieren, um die dritte Komponente des NIST-Frameworks zu erfüllen: die schnelle Erkennung. Zu diesem Zweck können Verhaltensanalysen, künstliche Intelligenz und maschinelles Lernen eingesetzt werden, um den Datenverkehr zu analysieren und riskantes oder ungewöhnliches Verhalten zu kennzeichnen.

Ohne diese ersten drei Schritte sind die letzten beiden – die Entwicklung eines Reaktionsplans und eines Plans zur Wiederherstellung betroffener Systeme und Ressourcen – nahezu unmöglich. Natürlich besteht das Ziel von CMMC darin, diese letzten beiden Schritte nur selten erforderlich zu machen. Durch kontinuierliche Überwachung soll verhindert werden, dass Auftragnehmer und Unterauftragnehmer des US-Verteidigungsministeriums überhaupt kompromittiert werden.

Das Fazit

Kurzfristig sollten Unternehmen in der Lieferkette des US-Verteidigungsministeriums in Technologien investieren, die Transparenz, Schutz und eine schnelle Erkennung ermöglichen. Damit schaffen sie die für Zertifizierung und Sicherheit erforderliche Grundlage. Auch wenn viele Auftragnehmer die Aussicht auf CMMC als abschreckend empfinden mögen, handelt es sich dabei in Wirklichkeit um eine notwendige Reaktion auf jahrelange Versäumnisse.

Dennoch ist es wichtig, dass dieses neue Sicherheitsniveau kleinere Unterauftragnehmer nicht verdrängt, denn auch sie spielen eine entscheidende Rolle in der Lieferkette. Die gute Nachricht ist, dass das US-Verteidigungsministerium davon ausgeht, dass die meisten Auftragnehmer lediglich eine Zertifizierung der Stufe 1 benötigen, bei der grundlegende Cyberhygiene im Mittelpunkt steht. Dabei handelt es sich um bewährte Verfahren, die Unternehmen auch dann umsetzen sollten, wenn sie keinen Zugriff auf sensible Regierungsdaten haben. Für Unternehmen der verteidigungsindustriellen Basis war es eigentlich schon gestern an der Zeit, Schutz- und Erkennungsmaßnahmen zu ergreifen.

Über den Autor

Ryan Johnson

Weitere Blogbeiträge von Ryan Johnson