CMMC에 대한 상위 6개 질문

제조업체가 알아야 할 사항

사이버 보안은 제조 분야에서 새로운 주제가 아닙니다. 연결된 장비, 혁신적인 소프트웨어, 고급 로봇 시스템이 작업 현장에 등장하기 시작하는 순간 사이버 보안은 대화의 일부였습니다. 사이버 보안은 인더스트리 4.0 기사와 함께 헤드라인을 장식했지만 현란한 신기술에 대한 소문이 대화를 지배했습니다.

제조업체는 백버너에 사이버 보안을 두는 경향이 있습니다. 이것은 더 이상 많은 사람들에게 선택 사항이 아닙니다. 제조 산업은 사이버 공격에 가장 취약하고 표적이 되는 산업의 상위 5위 안에 지속적으로 순위를 매겼습니다. 의료, 금융 서비스 및 정부 기관 부문은 모두 보안 규정 준수 및 위험 관리와 관련하여 더 높은 표준을 유지하고 있습니다. 제조 산업은 아직 더 높은 표준을 준수하지 않아 사이버 범죄에 더욱 취약합니다.

CMMC(Cybersecurity Maturity Model Certification)는 업계에 영향을 미치며 다음은 제조업체가 물어야 하는 6가지 중요한 질문입니다.

CMMC란 무엇입니까?

CMMC는 사이버 보안 성숙도 모델 인증을 의미합니다. 이 인증은 중요한 지적 재산의 보안을 유지하기 위한 고유한 접근 방식을 취합니다. 처음에 CMMC는 국방부(DoD)의 CUI(Controlled Unclassified Information)를 처리하는 제조업체 및 공급업체에만 필요합니다.

CMMC(Cybersecurity Maturity Model Certification)는 DoD 공급망의 약 300,000 계약업체 및 하청업체에 대해 적절한 수준의 사이버 보안 프로세스 및 보호가 마련되어 있음을 인증하는 방법입니다. CMMC 프로세스에서는 이제 CMMC C3PAO(제3자 평가 기관)에서 회사가 불만을 제기하고 CUI가 안전함을 인증해야 합니다.

CMMC에는 "기본 사이버 보안 위생"에서 "고급/진보"까지 5가지 성숙 수준이 있습니다. 성숙도가 높아짐에 따라 기업이 인증을 받고 규정을 준수하기 위해 따라야 하는 규칙과 지침도 높아집니다.

CMMC가 생성되는 이유는 무엇입니까?

국방부는 사이버 공격, 특히 대기업을 지원하는 중소 규모 하청업체에 대한 중대한 위협으로 인식했습니다. 악의적인 행위자들은 소수가 공격을 방지하기 위해 더 많은 리소스를 소비하고 있으며 그들의 공급망이 더 쉬운 표적이라는 것을 인식했습니다. NIST(National Institute of Standards and Technology) 특별 간행물(SP) 800-171 사이버 보안 요구 사항은 DFARS(Defense Federal Acquisition Regulation Supplement) 252.204를 준수하기 위해 국방부(DoD)와 협력하는 계약업체의 민감한 정보를 보호하기 위해 개발되었습니다. -7012 조항. DoD가 공급망의 일부만이 이 지침을 준수한다고 추정했을 때 CMMC(Cybersecurity Maturity Model Certification)가 만들어졌습니다.

사이버 공격은 불행히도 일상적으로 발생합니다. “국방 정보의 80% 이상이 파트너 네트워크에 상주하므로 더 이상 당신이 하는 일이나 내가 하는 일에 대한 대화가 아닙니다. 국방부 사이버 획득 담당 차관보 특별보좌관이자 CMMC의 주요 지지자 중 한 명인 케이티 애링턴(Katie Arrington)은 “우리가 국방을 보호하기 위해 집단적으로 무엇을 하고 있는지가 더 중요하다”고 말했다.

2018년 12월에 중국 해커가 선박 정비 데이터와 미사일 계획이 포함된 해군 계약자 정보를 훔친 것으로 알려졌습니다. 이러한 행동은 국가 안보에 직접적인 위협이 됩니다. Lockheed Martin과 같은 대규모 DoD 공급업체가 최상위 수준의 사이버 보안 프로그램을 갖추고 있더라도 DoD 공급망의 모든 하청업체 및 공급업체는 스스로를 보호해야 합니다. 그렇지 않으면 사이버 범죄자의 진입점이 됩니다. DoD 공급망에서 단 하나의 약한 고리가 국가 전체를 위험에 빠뜨릴 수 있습니다.

우리 회사에 CMMC가 필요합니까?

모든 기업은 사이버 보안 강화에 투자해야 합니다. Radware Survey에 따르면 사이버 공격당 예상 비용은 460만 달러입니다. ¹ . 설문 조사 참가자의 13%는 회사에서 천만 달러 이상의 피해를 입힌 사이버 공격을 경험했으며, 이는 2018년과 2019년 사이에 단 1년 사이에 두 배 증가한 수치입니다. NJMEP(뉴저지 제조 확장 프로그램)의 사이버 보안 주제 전문가는 모든 제조업체가 모범 사례로 CMMC의 레벨 2 또는 "중간 사이버 위생"과 동등한 수준을 달성함으로써 이점을 얻을 수 있습니다. DoD 계약자의 경우 성숙도 수준은 DoD 공급망에서 회사가 속한 위치에 따라 다릅니다.

DoD 공급자, 하청 계약자 또는 제조업체가 준수해야 하는 5가지 CMMC 성숙도 수준을 식별하는 것은 주요 DoD 계약자가 결정하거나 CMMC 격차 분석을 통해 확인할 수 있습니다. DoD와 함께 작업을 수행하는 모든 공급자, 하청 계약자 또는 제조업체는 최소한의 작업에 관계없이 일정 수준의 CMMC가 필요하지만 성숙도 수준은 비즈니스가 처리하는 정보와 수행 중인 작업에 따라 다릅니다.

DIB(방위산업기지) 회사가 CUI(Controlled Unclassified Information)를 보유하지 않고 FCI(연방 계약 정보)를 보유하는 경우 FAR 조항 52.204-21을 충족해야 하며 최소 CMMC 레벨 1에서 인증을 받아야 합니다.

인증 절차는 언제 시작해야 하나요?

지금. DoD 공급업체, 하청업체 및 제조업체는 중요한 DoD 계약을 잃을 위험을 피하기 위해 가능한 한 빨리 CMMC가 되는 프로세스를 시작해야 합니다. 처음부터 끝까지 프로세스가 1년 이상 걸릴 수 있습니다. 2020년 6월에 CMMC가 RFI에 나타나기 시작했습니다. 기업은 RFP에서 2020년 9월부터 CMMC를 언급할 것으로 예상할 수 있으며 평가는 2020년 가을에 시작될 것입니다.

지금 행동하고 CMMC 및 CMMC가 시작된 프레임워크인 NIST 8001-171에 대해 잘 알고 있는 컨설턴트와 협력하는 것이 중요합니다. 인증은 조직이 현재 상주하는 CMMC 성숙도 수준을 식별하는 평가로 시작됩니다. 다음 단계는 심층 갭 분석을 수행한 다음 전체 서비스 수정으로 이동하는 것입니다. 각 CMMC 성숙도 수준에는 다른 양의 시간과 노력이 필요합니다. 그러나 가능한 한 빨리 시작하면 회사, 리더십 및 인력에 대한 부담이 줄어 듭니다.

인증을 받지 못하면 어떻게 됩니까?

DoD 계약자, 하청 계약자, 공급업체 또는 제조업체의 경우...

필요한 CMMC 성숙 수준을 달성하는 것은 다음 DoD 계약을 확보하느냐 마느냐의 차이를 의미할 수 있습니다. DoD 주 계약자는 모든 하청 계약자가 이러한 중요한 새 규칙을 준수하도록 요구하기 시작할 것입니다. 이러한 지침을 따르지 않고 적절한 CMMC 성숙 수준을 달성하지 않는 제조업체는 DoD 비즈니스를 계속할 수 없습니다.

비 DoD 제조업체의 경우...

현재로서는 DoD 계약자가 CMMC를 획득하지 않을 경우 DoD 작업을 잃을 위험이 있는 유일한 사람입니다. 그러나 중소기업은 항상 사이버 공격의 위험에 처해 비즈니스를 완전히 무력화하고 때로는 재정적으로 복구할 수 없을 정도입니다. 이 인증은 비 DoD 제조업체에 환상적인 사이버 보안 기준 및 모범 사례를 제공합니다. 사이버 보안 평가 결과에 따라 기업은 자신에게 가장 적합한 성숙도 수준을 결정할 수 있습니다.

CMMC에 대한 다른 모든 질문에 누가 답변할 수 있나요?

특히 적절한 지원이 없으면 CMMC를 구입하는 것이 어려울 수 있습니다. 인증은 아직 초기 단계에 있어 제조업체가 스스로 탐색하기 어려운 환경을 만듭니다. acq.osd.mil/cmmc/faq.html과 같은 웹사이트를 탐색하거나 NJMEP와 같은 컨설턴트와 협력하는 것이 가장 좋은 시작 방법이며 어려운 프로세스를 간소화된 부가가치로 전환하는 데 도움이 됩니다.

어떤 기업이 영향을 받을 것인지, 언제 조치를 취해야 하는지, 필요한 성숙도 수준을 식별하는 것은 CMMC를 이해하는 것이 어려울 수 있습니다. 혼자 하지 마세요. 사이버 보안은 필수적이지만 복잡할 수 있습니다. 올바른 팀과 협력하고 올바른 정보에 액세스하는 것은 매우 중요합니다.

조심하세요

이 주제와 관련하여 많은 질문이 있었고 출시되는 동안 많은 발전이 있었습니다. 초기에는 가이드라인의 최종 버전이 결정되거나 전달되지 않은 상태에서도 상당한 금액을 청구하고 도움을 줄 수 있다고 주장하는 회사가 많았습니다. 도움을 줄 솔루션이나 서비스를 판매하는 수많은 회사가 있으며 누구를 믿어야 할지 결정하기 어려울 수 있습니다. 이것은 요구 사항에 익숙하다고 주장하는 MSP(관리 서비스 공급자)에 단순히 아웃소싱할 수 있는 것이 아닙니다.

1.https://www.radware.com/newsevents/pressreleases/c-suite-2019