O que as organizações governamentais precisam saber sobre a Certificação do Modelo de Maturidade em Cibersegurança (CMMC)

Ryan Johnson

No início do ano, o Departamento de Defesa (DoD) lançou a Certificação do Modelo de Maturidade em Segurança Cibernética (CMMC) versão 1.0 — um padrão unificado muito aguardado, criado para proteger a vasta cadeia de suprimentos do órgão. Quando as tensões com outros países aumentam, por exemplo, muitos temem que a retaliação não ocorra apenas pelo ciberespaço, mas também por meio de “prestadores de serviços de defesa potencialmente vulneráveis”.

O CMMC, à medida que for implementado ao longo de cinco anos, visa reduzir, se não eliminar, essas vulnerabilidades e enfrentar um desafio crítico de segurança nacional. A base industrial de defesa (DIB) inclui mais de 300 mil empresas, sobre as quais até então havia uma evidente falta de supervisão. Essas empresas acessam e armazenam informações confidenciais de defesa em seus próprios sistemas. O CMMC representa um passo importante para proteger essas informações.

Apesar dos benefícios de longo prazo, o CMMC pode gerar confusão no curto prazo para muitos prestadores de serviços. Dependendo do trabalho que realizam, eles devem atender a um dos cinco novos níveis de segurança. No entanto, o ponto de partida para aprimorar a postura de segurança é praticamente o mesmo.

Preparação para a CMMC

Para quem busca se atualizar sobre as melhores práticas de segurança após a implementação do CMMC, o Instituto Nacional de Padrões e Tecnologia (NIST) — Estrutura de Segurança Cibernética, que enfatiza a segurança contínua, é um bom ponto de partida. A Estrutura do NIST está dividida em cinco categorias, ou funções: identificar, proteger, detectar, responder e recuperar.

A primeira categoria é, naturalmente, a base. Para identificar ameaças, as empresas precisam primeiro conhecer a extensão de seus próprios sistemas, o que pode ser um desafio na era do BYOD e da TI invisível. Não há como proteger um sistema sem compreender plenamente seus funcionários, ativos e dados. No entanto, existem inúmeras ferramentas que ajudam a proporcionar essa visibilidade, desde a visualização centrada em aplicativos até a visibilidade SSL. Esta última descriptografa e criptografa novamente o tráfego para garantir que ele não contenha malware.

Monitoramento contínuo

Somente com visibilidade total dos sistemas e dados as empresas podem implementar as proteções necessárias, como a defesa contra explorações comuns da Web, IPs maliciosos e tipos de ataques coordenados. Gerenciamento de acesso, como logon único, VDI segura e acesso de usuários privilegiados, é uma forma de se proteger contra agentes mal-intencionados. Em termos simples, o governo federal precisa conseguir verificar se os prestadores de serviços são quem afirmam ser e conceder o nível adequado de acesso de acordo com essa verificação.

No entanto, a segurança não pode parar na porta de entrada. Mesmo após a autenticação dos usuários, as empresas devem continuar monitorando e registrando suas atividades para cumprir o terceiro componente da estrutura do NIST: a detecção rápida. Para isso, podem ser usadas análises comportamentais, inteligência artificial e aprendizado de máquina, que analisam o tráfego e sinalizam comportamentos arriscados ou incomuns.

Sem essas três primeiras etapas, as duas últimas — desenvolver um plano de resposta e um plano para restaurar os sistemas e ativos afetados — tornam-se praticamente impossíveis. Naturalmente, o objetivo do CMMC é fazer com que essas duas últimas etapas raramente sejam necessárias. Com o monitoramento contínuo, busca-se evitar que prestadores de serviços e subcontratados do Departamento de Defesa dos EUA (DoD) sejam comprometidos.

Conclusão

No curto prazo, as empresas da cadeia de suprimentos do Departamento de Defesa dos EUA (DoD) devem investir em tecnologias que ofereçam visibilidade, proteção e detecção rápida. Isso estabelecerá a base necessária para a certificação e a segurança. Embora muitos prestadores de serviços possam considerar a perspectiva da CMMC desafiadora, a realidade é que ela representa uma resposta necessária a anos de negligência.

Ainda assim, é importante que esse novo nível de segurança não exclua os subcontratados de menor porte, que também desempenham um papel crucial na cadeia de suprimentos. A boa notícia é que o DoD estima que a maioria dos contratados precisará apenas da certificação de nível 1, voltada à higiene cibernética básica. Essas são práticas recomendadas que as empresas deveriam adotar mesmo que não tenham acesso a dados governamentais confidenciais. Para as empresas da base industrial de defesa, a hora de se proteger e detectar ameaças era ontem.

Sobre o autor

Ryan Johnson

Mais publicações de Ryan Johnson