0 
0 Os contratantes do Departamento de Defesa (DoD) que lutam para cumprir as próximas regulamentações de segurança cibernética sob a Certificação de Modelo de Maturidade de Cibersegurança (CMMC) podem respirar um suspiro de alívio — o DoD anunciou sua intenção de liberar o CMMC 2.0, com promessas de agilizar o processo de certificação e facilitar as regulamentações de segurança para empreiteiros e subcontratados que lidam com informações de baixa prioridade.
Com o objetivo de promover o cumprimento dos procedimentos de cibersegurança do DoD e dar dentes à aplicação, o programa CMMC foi anunciado pela primeira vez em 2020 para regular o controle de informações não classificadas (CUI) e ativos de alto valor (HVAs) por contratantes externos.
Mas a versão original do CMMC exigia que todos os contratantes e subcontratados do DoD realizassem avaliações obrigatórias de terceiros de seus procedimentos de segurança cibernética, o que teria aumentado muito os custos de conformidade. O requisito de certificação independente teria se aplicado a todas as empresas externas em todo o quadro, independentemente de seu papel ou da sensibilidade das informações tratadas.
Objeto de muitas críticas, essa estipulação foi rebaixada sob cmmc 2.0 para aplicar apenas aos contratantes que manuseam as informações mais sensíveis.
Espera-se que o realinhamento dos padrões de segurança cibernética em consonância com a sensibilidade dos dados que cada contratante manipula reduza a burocracia desnecessária e acelere o período de conformidade para garantir proteção contra ataques cibernéticos iminentes.
Sua remoção é, sem dúvida, uma boa notícia para muitos empreiteiros do DoD e um movimento econômico para o governo federal — uma gama mais ampla de empresas pode agora continuar a licitar competitivamente em contratos, garantindo altos níveis de concorrência.
Por que a mudança?
Após uma revisão interna de seis meses, o CMMC 1.0 foi determinado como impraticável para implementar. Isso foi atribuído em grande parte à exigência universal de avaliação de terceiros, que teria criado um atraso e longos tempos de espera nas agências de avaliação inundadas de solicitações, ampliando consideravelmente o tempo necessário para implementar a nova norma.
Os críticos também reclamaram que a versão original da CMMC precificou empresas menores de licitação em contratos, já que as árduas expectativas eram muito caras e pesadas para aderir sem excesso de capital.
A renovação promete um sistema mais flexível e eficiente para que os contratantes cumpram as expectativas de segurança cibernética do Departamento, mostrando uma disposição de sua parte em responder a preocupações generalizadas e cooperar com empresas externas.
Espera-se também que o CMMC 2.0 ajude a construir uma cultura de confiança entre o Departamento e seus contratantes, retificando as relações com aqueles que se sentiram injustamente visados após a liberação dos padrões iniciais.
Espera-se que as mudanças sejam ratificadas nos próximos 9 a 24 meses; Enquanto isso, o DoD eliminou os esforços anteriores de pilotagem da CMMC, mas incentiva os contratantes a melhorar sua postura de segurança cibernética no período provisório.
O que há de diferente em CMMC 2.0?
O CMMC 2.0 substituirá o sistema de classificação de cinco níveis da versão original, favorecendo uma abordagem mais simples para categorizar o tipo de informação que está sendo tratada. Isso será condensado em três níveis: fundamental, avançado e especialista.
O nível fundamental exige que os contratantes realizem autoavaliações independentes de seus procedimentos de segurança e implementem quinze controles “básicos” das informações sobre contratos federais, que são informações não destinadas à liberação pública que são fornecidas ou geradas para o Governo sob um contrato. Esse nível é aplicado a empreiteiros cujos sistemas armazenam, processam ou transmitem informações de contratos federais, mas não lidam com informações não classificadas controladas — o contratante é obrigado a aplicar requisitos básicos de salvaguarda para proteger sistemas de informação, como limitar o acesso do sistema a usuários autorizados e realizar varreduras em tempo real de arquivos baixados a partir de fontes externas.
O nível avançado bifurca o manuseio da CUI em “aquisições priorizadas” e “aquisições não priorizadas”, sendo as primeiras consideradas informações sensíveis. As aquisições priorizadas exigirão uma avaliação de terceiros, enquanto as informações nãoprioridas estão sujeitas apenas à autoavaliação. Por exemplo, os empreiteiros que manuseiam informações relacionadas a sistemas de armas serão classificados como priorizados, enquanto os uniformes militares se enquadrariam na última categoria.
O nível mais rigoroso, especialista, aplica-se a qualquer contato ou manuseio de ativos de alto valor. Isso exigirá avaliações governamentais dos procedimentos de segurança cibernética de um contratante a cada três anos. Os contratantes também estarão sujeitos à conformidade com mais de 110 controles de segurança cibernética, conforme estabelecido na SP 800-172 da NIST.
De nota adicional, o CMMC 2.0 também permite o uso de estratégias de plano de ação e marco (PoAM); as empresas que não cumprem podem estabelecer um plano para cumprir as expectativas de segurança cibernética no futuro e continuar a licitar contratos cujos requisitos atualmente não cumprem.
Os novos regulamentos são abrangentes o suficiente?
O DoD anunciou originalmente a CMMC após as consequências do hack solarwinds, o que provocou pedidos universais por medidas de segurança cibernética mais robustas. O hackeamento, suspeito de ser perpetuado por um grupo apoiado pelo governo russo, levou a violações de dados em todos os níveis do governo federal, inclusive dentro do próprio sistema do Departamento de Segurança Interna.
Com razão, o DoD agiu rapidamente em resposta, mas pode ter sido arrogante com sua proposta original do CMMC, em relação ao risco representado por empreiteiros que não lidam com informações confidenciais. Ao estabelecer exigências onerosas, especialmente entre os pequenos contratados, eles teriam, sem dúvida, enfrentado preços mais altos, já que os empreiteiros teriam sido forçados a repassar esse custo.
Com o CMMC 2.0, o DoD está tentando encontrar o equilíbrio certo entre os interesses de segurança nacional e o funcionamento de um mercado de contratação saudável.
Ao tratar os empreiteiros que manuseam suprimentos de escritório de forma diferente daqueles que supervisionam o fornecimento de armas, o DoD está reconhecendo as nuances dos protocolos de segurança cibernética e forjando um caminho cuidadosamente considerado que outras agências governamentais podem seguir.
FONTE: HELPNET SECURITY