Conformité fournisseurs DoD : deux fausses hypothèses en cybersécurité qui façonnent l'avenir

On estime à environ 300 000 le nombre d'entreprises dans la Base Industrielle de Défense (DIB) à travers les secteurs manufacturier et non-manufacturier. Environ 99 % de la DIB sont des PME de moins de 500 employés.

Depuis décembre 2017, toutes les entreprises de la DIB ont la clause DFARS (Defense Federal Acquisition Regulation Supplement) 252.204-7012 — Protection des informations de défense non classifiées (CUI) & Signalement d'incidents cyber — dans leurs contrats. Après près de trois ans, plusieurs fausses hypothèses persistent dans la DIB, dont deux méritent une analyse approfondie...

Première hypothèse : l'auto-attestation n'est pas grave

En acceptant un contrat DoD, les fabricants s'auto-attestent utiliser une « cybersécurité adéquate » pour protéger les informations de défense non classifiées (CUI). La cybersécurité adéquate est définie par la clause DFARS comme la mise en œuvre complète des 110 exigences de sécurité du NIST Special Publication 800-171.

Beaucoup de fabricants supposent que leur programme de cybersécurité est suffisant. La plupart des clients CMTC commencent leur engagement cybersécurité en s'estimant à 70-80 % conformes. Or, la moyenne réelle après une analyse de base est d'environ 34 % conformes.

Des articles précédents ont couvert les risques juridiques souvent négligés de la non-conformité aux exigences de cybersécurité. En définitive, pour faire affaire avec le Department of Defense (DoD), il faut accepter les termes du contrat et donc s'auto-attester d'une posture de cybersécurité conforme.

Deuxième hypothèse : les prestataires IT externes sont la solution unique

Beaucoup de petites entreprises manquent de personnel et ressources IT dédiés. Beaucoup de fabricants font appel à des prestataires IT tiers. Pour opérer, ces prestataires externes se voient confier un accès administratif considérable aux systèmes d'information. Souvent, les fabricants supposent que tout se passe comme prévu. Les fabricants doivent superviser leurs prestataires IT tiers pour comprendre quelles actions sont menées. Le parcours cyber du fabricant avec un prestataire IT est collaboratif, l'entreprise engagée dans les activités et résultats du travail du prestataire.

De plus, en termes d'exposition, environ la moitié des 110 exigences de sécurité sont directement liées aux opérations techniques et solutions technologiques normalement fournies par un prestataire IT tiers. Certaines mesures de cybersécurité sont si fondamentales aux opérations que le gouvernement a raisonnablement supposé que tous les fournisseurs DoD géreraient proactivement leur propre risque. Il est impératif que le fabricant et le prestataire IT travaillent ensemble pour atteindre la conformité DoD. Le fournisseur DoD portera la responsabilité de la conformité sur le long terme.

Ensemble, ces deux fausses hypothèses clés peuvent créer une dette technique et de conformité considérable.

Les audits de conformité cybersécurité gouvernementaux arrivent, donc la meilleure voie est de superviser votre prestataire IT et collaborer pour contribuer à votre conformité globale.

Prochaines étapes recommandées

1. Se concentrer sur vos exigences DFARS existantes.
2. Prendre le temps de bien comprendre les hypothèses sous-jacentes du NIST SP 800-171.
3. Établir un processus robuste de gestion des fournisseurs tiers.
4. Prendre le temps de bien comprendre les obligations contractuelles de flow-down.

Pour une vue d'ensemble de l'écosystème réglementaire et une discussion plus approfondie des sujets ici, visionnez le webinaire CMTC à la demande ici.