Top 5 questions cybersécurité des fabricants sur la conformité gouvernementale

Cet article est apparu à l'origine sur Industry Today. Article invité de Jennifer Kurtz, Directrice du programme Cyber chez Manufacturer's Edge, un Centre NIST MEP au Colorado et représentant du MEP National Network™.

Selon le Département américain de la Sécurité intérieure, la fabrication est la deuxième industrie la plus ciblée basée sur le nombre de cyberattaques signalées. De plus, les cybercriminels considèrent les petites et moyennes entreprises manufacturières (PMEM) comme des cibles de choix car beaucoup de ces entreprises n'ont pas de mesures préventives adéquates en place.

Pour le Département de la Défense (DoD), les contractants et sous-traitants, les affaires comme d'habitude ne sont plus. Le gouvernement fédéral, de plus en plus dépendant des fournisseurs de services externes pour mener ses affaires, a relevé la barre en matière de protection des informations non classifiées contrôlées (INCC) dans les systèmes d'information et organisations non fédéraux. Au 31 décembre 2017, tous les contractants du gouvernement fédéral étaient tenus de répondre aux exigences minimales de cybersécurité du Defense Acquisition Regulation Supplement (DFARS) ou de risquer de perdre leurs contrats. Malgré cette date limite dépassée, de nombreuses PMEM manquent de connaissances et de ressources pour mettre à niveau leurs systèmes et sont perdues sur la façon de répondre à ces 110 nouvelles exigences de sécurité. À noter d'importance, le Federal Acquisition Regulation, qui s'applique aux contractants du gouvernement travaillant pour le compte de la General Services Administration (GSA) et de la National Aeronautics and Space Administration (NASA), inclura bientôt des exigences de cybersécurité similaires.

Le MEP National Network, un partenariat public-privé qui fournit des solutions complètes et éprouvées aux fabricants américains, a activement fourni sensibilisation et assistance pour aider les fabricants américains à protéger leurs actifs informationnels des risques de cyberattaques. L'organisation et ses partenaires servent également de ressource nationale aux fabricants américains cherchant à mettre en œuvre une sécurité adéquate pour protéger les informations non classifiées contrôlées stockées, traitées et transmises.

Voici cinq des questions les plus fréquemment posées que j'entends des PMEM sur les directives de sécurité DFARS du gouvernement fédéral.

Q : Qu'est-ce que l'information non classifiée contrôlée (INCC) et comment savoir si je gère ce type d'information dans le cadre de mon contrat ?

R : L'information non classifiée contrôlée (INCC) est une donnée qui est propriétaire du gouvernement. C'est l'information que le gouvernement veut maintenir sécurisée, mais qui n'est pas vitale pour la sécurité nationale. La clause DFARS 252.204.7012 peut apparaître dans votre contrat, mais elle n'est activée que si vous traitez, stockez ou transmettez de l'INCC. L'INCC peut inclure : données de recherche et d'ingénierie, dessins d'ingénierie, spécifications, manuels, rapports techniques, études et analyses, et code source et exécutable de logiciels informatiques. L'INCC aura des marquages et instructions de manipulation spéciaux tels que FOUO (For Official Use Only). Pour plus d'informations sur les marquages INCC, consultez le registre INCC.

Q : La conformité DFARS est-elle requise par la loi ?

R : Tout contractant ou sous-traitant qui a une clause DFARS dans son contrat est légalement tenu de se conformer. Si vous prétendez faussement être conforme, vous risquez de perdre votre contrat gouvernemental et tous les gains associés et serez probablement inéligible pour de futurs contrats gouvernementaux.

Q : Je possède une petite entreprise et mes contrats gouvernementaux sont de petite envergure. La conformité DFARS s'applique-t-elle à moi ?

R : Peu importe la taille de votre entreprise ou de votre contrat, si vous êtes un contractant ou sous-traitant du gouvernement fédéral qui traite, stocke ou transmet de l'INCC, vous devez vous conformer. Les cybercriminels ciblent les petites entreprises car elles ont généralement moins de mesures de sécurité en place. Les entreprises aux niveaux inférieurs de la chaîne d'approvisionnement peuvent être plus faciles à pénétrer que d'essayer de percer les réseaux de sa cible principale. Une attaque de la chaîne d'approvisionnement peut être une voie plus facile vers l'information gouvernementale non classifiée contrôlée que d'essayer d'accéder aux réseaux gouvernementaux directement.

Q : Comment savoir si mon entreprise est actuellement conforme DFARS ?

R : Consultez le NIST Handbook 162. Ce manuel fournit un guide étape par étape pour évaluer les systèmes d'information d'un fabricant par rapport aux exigences de sécurité DFARS.

Q : Mon organisation ne répond pas aux directives minimales DFARS mais je ne sais pas par où commencer le processus de conformité ?

R : Mettre en œuvre un plan de cybersécurité approuvé par le gouvernement peut être une tâche intimidante. Vous pouvez commencer en examinant la publication NIST SP 800-171 qui décrit les exigences DFARS. Vous pouvez également contacter le MEP National Network pour vous connecter avec votre Centre MEP local. Les Centres MEP locaux offrent une large gamme de services gratuits ou abordables et d'initiatives pour guider les fabricants à travers le processus de conformité. Ces services incluent des connexions à des experts en cybersécurité qui peuvent développer une analyse détaillée des écarts des protocoles et procédures et créer un plan d'action qui traite les vulnérabilités et autres problèmes de conformité.

Q : Mon entreprise n'est pas un contractant gouvernemental, mais je voudrais améliorer nos protocoles de cybersécurité. Puis-je utiliser les directives DFARS ?

R : Absolument. Les fabricants opérant dans des chaînes d'approvisionnement commerciales devraient sérieusement envisager d'implémenter les exigences de sécurité DFARS comme un aspect intégral de la gestion de leurs risques organisationnels.

Alors que le secteur manufacturier devient de plus en plus numérisé, le besoin de comprendre, atténuer et répondre à des menaces cyber de plus en plus complexes est devenu le coût de faire des affaires.