Zapytaj większość wykonawców z branży obronnej, jak długoCMMCprzygotowanie zajmie i dadzą ci liczbę, która jest za mała. Nie dlatego, że są nieostrożni, ale dlatego, że zakres procesu nie jest oczywisty z zewnątrz. Elementy sterujące wyglądają na łatwe do zarządzania na liście kontrolnej.
Wymagania dotyczące dokumentacji wydają się proste, dopóki nie zagłębisz się w nie. Szkolenie personelu wydaje się proste, dopóki nie zorientujesz się, ile osób go potrzebuje i jak dokładnie należy je przeprowadzić.
Rezultatem jest schemat, który powtarza się w całej bazie przemysłu obronnego. Wykonawca decyduje się na certyfikację CMMC na wystarczająco dużo czasu przed upływem terminu, w połowie odkrywa, że proces trwa znacznie dłużej, niż oczekiwano, i albo przyspiesza ostatnie etapy, albo całkowicie nie dotrzymuje docelowego terminu.
Zrozumienie, dlaczego przygotowanie CMMC zajmuje tak dużo czasu, nie jest zniechęcające. To informacje, które pozwalają na zbudowanie realistycznego harmonogramu, uniknięcie wąskich gardeł spowalniających pracę większości organizacji i uzyskanie formalnej oceny w pełni przygotowanej, a nie częściowej.
Szybkie podsumowanie
- Większość wykonawców przygotowujących się do certyfikacji na poziomie 2 potrzebuje sześciu do dwunastu miesięcy, a niektórzy potrzebują więcej
- Największe opóźnienia w harmonogramie wynikają z luk w określeniu zakresu, opracowaniu dokumentacji i wdrażaniu kontroli, które nie zostały zidentyfikowane wystarczająco wcześnie
- Zewnętrzne wąskie gardła, w tym harmonogram C3PAO i dostępność asesora, wydłużają czas, na który nie masz wpływu
- Wczesne rozpoczęcie umowy to jedyny niezawodny sposób na ochronę kwalifikowalności umowy przed przekroczeniem harmonogramu
Spis treści
- Różnica między szacunkowym a rzeczywistym czasem przygotowania
- Dlaczego określenie zakresu trwa dłużej niż oczekiwano
- Wyzwania związane z dokumentacją, których większość wykonawców nie docenia
- Wdrażanie kontroli: gdzie dobre intencje spotykają się z prawdziwą złożonością
- Wąskie gardło, o którym nikt Cię nie ostrzega
- Jak pospieszne przygotowanie stwarza ryzyko oceny
- Tworzenie realistycznego harmonogramu przygotowań CMMC
- Jak Mindcore Technologies utrzymuje Twoją oś czasu na właściwej drodze
- Koszt późnego rozpoczęcia
Różnica między szacunkowym a rzeczywistym czasem przygotowania
Wytyczne branżowe konsekwentnie podają od sześciu do dwunastu miesięcy jako średni czas potrzebny na przygotowanie się do oceny certyfikacyjnej CMMC na poziomie 2. Zakres ten zakłada, że organizacja zaczyna od przeciętnego poziomu zgodności, czyli takiej, która poczyniła pewne wysiłki w kierunku cyberbezpieczeństwa, ale nie wdrożyła jeszcze wszystkich kontroli wymaganych przez NIST SP 800-171.
W praktyce wielu organizacjom zajmuje to więcej czasu. Organizacje, które wcześniej nie działały zgodnie z formalnymi wymogami dotyczącymi zgodności z cyberbezpieczeństwem, często podczas wstępnej analizy luk odkrywają, że ich pozycja wyjściowa jest słabsza, niż zakładały. Każda dodatkowa luka wydłuża czas naprawy, pracę z dokumentacją i w wielu przypadkach szkolenie personelu, czego nie było w pierwotnym planie.
Wykonawcy, którzy kończą proces w przewidywanym terminie, prawie zawsze to ci, którzy rozpoczęli od dokładnej analizy luk, zbudowali harmonogram w oparciu o faktyczne ustalenia, a nie ogólne szacunki, i zaangażowali doświadczone wskazówki na tyle wcześnie, aby uniknąć objazdów wydłużających proces dla innych.
Dlaczego określenie zakresu trwa dłużej niż oczekiwano
Pierwszym istotnym krokiem w przygotowaniu CMMC jest dokładne zdefiniowanie, które systemy, sieci, użytkownicy i przepływy danych wchodzą w zakres oceny. Ten krok kształtuje każdą kolejną decyzję, na podstawie której należy wdrożyć kontrole, który personel wymaga szkolenia, a którego dostawcy muszą zostać poddani ocenie.
Większość wykonawców zakłada, że ten etap zajmie kilka dni. W przypadku organizacji z prostym środowiskiem IT może to być prawdą. Jednak w przypadku większości wykonawców z branży obronnej rzeczywisty obraz jest bardziej złożony, niż się wydaje z zewnątrz.
Dane rządowe zwykle przepływają przez więcej systemów, niż organizacje początkowo przypuszczają. System zarządzania umowami, platforma e-mailowa, usługa przechowywania w chmurze używana do udostępniania plików, narzędzie do współpracy używane do koordynacji z szefem, laptop zabierany do domu przez pracownika, który czasami pracuje zdalnie: każdy z nich może być objęty zakresem w zależności od tego, czy przechodzą przez niego dane rządowe. Dokładne mapowanie przepływu danych wymaga czasu, a błędne wykonanie stwarza problemy, które nasilają się na każdym kolejnym etapie przygotowań.
Organizacje, które przyspieszają definiowanie zakresu lub definiują go zbyt wąsko, często odkrywają błąd na późnym etapie procesu, gdy dodanie systemów do zakresu oznacza ponowne przejrzenie dokumentacji, wdrożenie dodatkowych kontroli i potencjalnie powtórzenie części wewnętrznego przeglądu gotowości. Koszt uzyskania zakresu od razu jest zawsze niższy niż koszt późniejszej korekty.
Wyzwania związane z dokumentacją, których większość wykonawców nie docenia
Dokumentacja to obszar, w którym najczęściej przekroczone są ramy czasowe przygotowania CMMC. Sam Plan bezpieczeństwa systemu wymaga dokładnego i dokładnego opisu środowiska, wszystkich elementów kontrolnych na odpowiednim poziomie certyfikacji, sposobu wdrożenia poszczególnych elementów kontrolnych i osoby odpowiedzialnej za ich utrzymanie. W przypadku certyfikacji poziomu 2 oznacza to omówienie 110 kontroli w sposób wystarczająco szczegółowy, aby zadowolić niezależnego audytora.
Pisanie dokumentacji, która dokładnie odzwierciedla rzeczywiste środowisko, zasadniczo różni się od pisania dokumentacji opisującej idealne środowisko. Zasady muszą opisywać, co faktycznie robi Twoja organizacja, a nie to, co według szablonu należy zrobić. SSP musi być dostosowany do zakresu systemów, aktualnie stosowanych kontroli dostępu i aktualnie stosowanych praktyk monitorowania.
To wyrównanie wymaga iteracji. Wersje robocze są sprawdzane, identyfikowane są luki pomiędzy dokumentacją a rzeczywistością, wprowadzane są aktualizacje, a proces się powtarza, aż dokumentacja będzie dokładna i kompletna. Organizacje, które nigdy nie zbudowały od zera pakietu dokumentacji dotyczącej zgodności, często nie doceniają liczby rund przeglądów i poprawek wymaganych przez ten proces.
Poza SSP należy opracować zasady i procedury dla każdej wymaganej domeny kontroli. W przypadku organizacji nieposiadających istniejących formalnych ram polityki tworzenie tych dokumentów od podstaw wydłuża harmonogram o tygodnie. W przypadku organizacji posiadających istniejące zasady, ich przegląd i aktualizacja w celu odzwierciedlenia bieżących wymagań i bieżących praktyk zajmuje prawie tyle samo czasu, co rozpoczęcie od nowa.
Wdrażanie kontroli: gdzie dobre intencje spotykają się z prawdziwą złożonością
Większość organizacji rozpoczynających przygotowania do CMMC ma już wdrożone pewne mechanizmy kontroli cyberbezpieczeństwa. Analiza luk pozwala określić, których kontroli brakuje lub które zostały wdrożone jedynie częściowo, a plan naprawczy uwzględnia te luki. Teoretycznie faza wdrożenia polega po prostu na wdrożeniu odpowiednich narzędzi i konfiguracji.
W praktyce wdrażanie to moment, w którym terminy rozciągają się najbardziej nieoczekiwanie. Kontrole techniczne, które w dokumencie wymagań wyglądają na proste, często zawierają zależności, które nie są widoczne, dopóki nie znajdziesz się w trakcie ich wdrażania. Uwierzytelnianie wieloskładnikowe należy skonfigurować spójnie w każdym systemie i grupie użytkowników, a wyjątki, które były dopuszczalne przed, staną się ustaleniami, jeśli utrzymają się w ocenie. Zasady kontroli dostępu muszą być egzekwowane technicznie, a nie tylko dokumentowane, co może wymagać zmian w konfiguracjach katalogów, uprawnieniach systemowych i procesach administracyjnych mających wpływ na codzienne operacje.
Każde z tych zadań wdrożeniowych wymaga testowania w celu potwierdzenia, że kontrola działa zgodnie z zamierzeniami. Testowanie ujawnia dodatkowe problemy. Te problemy wymagają poprawek. Poprawki wymagają ponownego przetestowania. Cykl jest normalny i oczekiwany w przypadku każdego poważnego programu zgodności i wymaga czasu, którego wykonawcy, którzy zbudowali harmonogram w oparciu o najlepsze scenariusze, nie przewidzieli w budżecie.
Wąskie gardło, o którym nikt Cię nie ostrzega
Istnieją ograniczenia czasowe, na które Twoja organizacja nie ma wpływu, a większość wykonawców z branży obronnej odkrywa je dopiero, gdy są gotowi zaplanować formalną ocenę. Liczba certyfikowanych organizacji oceniających przez stronę trzecią jest ograniczona w stosunku do liczby wykonawców ubiegających się o certyfikację.
W miarę rozszerzania się wymagań CMMC w całym łańcuchu dostaw obronności, zapotrzebowanie na oceny C3PAO znacznie wzrosło. Wydłużył się czas oczekiwania na harmonogram oceny, a wykonawcy, którzy kontaktują się z nami w celu ustalenia terminu oceny po zakończeniu wewnętrznych przygotowań, często stwierdzają, że dostępne terminy są dopiero za kilka miesięcy.
To wąskie gardło ma efekt złożony. Wykonawca, który zakończy wewnętrzne przygotowania, a następnie czeka trzy lub cztery miesiące na termin oceny, może stwierdzić, że część jego dokumentacji wymaga aktualizacji, aby odzwierciedlała zmiany zachodzące w jego otoczeniu w trakcie oczekiwania. Kontrole, które obowiązywały w momencie przeglądu wewnętrznego, mogą wymagać ponownej walidacji. Opóźnienie między zakończeniem przygotowań a oceną powoduje konieczność wykonywania prac konserwacyjnych, które zajmują zespół ds. zgodności w miarę upływu kalendarza.
Praktyczną lekcją płynącą z tego wąskiego gardła jest zaangażowanie potencjalnych asesorów wcześniej, niż wydaje się to konieczne, najlepiej w trakcie kończenia późniejszych etapów wewnętrznego przygotowania, tak aby formalna data oceny została zaplanowana, zanim będzie ona faktycznie potrzebna.
Jak pospieszne przygotowanie stwarza ryzyko oceny
Kiedy wykonawcy odkrywają, że ich przygotowanie CMMC jest opóźnione, instynktownie podchodzą do przyspieszenia pozostałych prac, aby dotrzymać pierwotnego terminu. Ten instynkt tworzy własną kategorię ryzyka.
Dokumentacja, która jest dostarczana w pośpiechu, to dokumentacja niespójna. Niespójności pomiędzy Twoim SSP, Twoimi zasadami i rzeczywistym środowiskiem technicznym to jedne z pierwszych rzeczy, które identyfikują osoby oceniające. Reguła zapory sieciowej sprzeczna z zasadami kontroli dostępu, zapis szkoleń pokazujący daty ukończenia przed rozpoczęciem programu szkoleniowego lub dziennik monitorowania obejmujący krótszy okres przechowywania, niż wymaga tego polityka, to wszystko wnioski, które w pośpiechu generuje niezawodnie dokumentacja.
Kontrole, które są wdrażane szybko bez odpowiednich testów, to kontrole, które mogą nie działać zgodnie z zamierzeniami w ramach kontroli. Wdrożenie usługi MFA obejmujące większość, ale nie wszystkie wymagane systemy, lub proces przeglądu dostępu, który został ukończony raz w celu przygotowania do oceny, ale nie ma dowodów na ciągłe działanie, prowadzi do dokładnie tego rodzaju ustaleń, które prowadzą do certyfikacji warunkowej, a nie pełnej certyfikacji.
Koszt nieudanej lub warunkowej oceny jest prawie zawsze wyższy niż koszt poświęcenia dodatkowego czasu na prawidłowe przygotowanie. Działania naprawcze w ramach harmonogramu POA&M, drugie zlecenie oceny oraz ciągła niepewność co do kwalifikowalności zamówienia powodują cenę, której można byłoby uniknąć przy właściwym przygotowaniu.
Tworzenie realistycznego harmonogramu przygotowań CMMC
Realistyczny harmonogram przygotowań CMMC opiera się na faktycznych wynikach analizy luk, a nie na średniej branżowej. Oto ramy myślenia o fazach i ich realistycznym czasie trwania.
Definicja zakresu i analiza luk:Od dwóch do sześciu tygodni, w zależności od złożoności środowiska i szczegółowości przeglądu. Nie można przyspieszyć tego kroku bez uszczerbku dla dokładności wszystkiego, co następuje.
Opracowanie dokumentacji:Sześć do szesnastu tygodni, w zależności od stopnia dojrzałości istniejących ram polityki i liczby kontroli wymagających nowej lub zaktualizowanej dokumentacji. Organizacje nieposiadające istniejącej formalnej dokumentacji powinny planować dłuższy koniec tego zakresu.
Wdrażanie i testowanie kontroli:Osiem do dwudziestu tygodni, w zależności od liczby i złożoności luk zidentyfikowanych w analizie luk. Wdrażanie i sprawdzanie poprawności kontroli technicznych z zależnościami lub skutkami operacyjnymi zajmuje więcej czasu.
Szkolenie personelu:Pierwsza dostawa trwa od dwóch do czterech tygodni, a dokumentacja i zapisy są zarządzane przez cały okres przygotowawczy.
Wewnętrzny przegląd gotowości:Dokładna ocena próbna, która wykaże pozostałe luki, podczas gdy jest jeszcze czas na ich usunięcie, zajmie od dwóch do czterech tygodni.
Planowanie i ocena C3PAO:Dodaj bieżący czas oczekiwania na dostępność asesora, który może wynosić od tygodni do miesięcy, w zależności od zapotrzebowania w momencie rozpoczęcia planowania.
Dodanie tych faz do siebie daje całkowity harmonogram, który zaskakuje większość wykonawców, którzy zakładali, że proces zajmie trzy lub cztery miesiące. Wykonawcy, którzy budują swoje plany przygotowawcze w oparciu o realistyczny czas trwania etapów, to ci, którzy dochodzą do formalnej oceny przygotowani, a nie pełni nadziei.
Jak Mindcore Technologies utrzymuje Twoją oś czasu na właściwej drodze
Jednym z najbardziej konsekwentnych sposobów, w jaki praca z doświadczonym partnerem przyspiesza przygotowanie CMMC, jest eliminacja objazdów, które wydłużają terminy dla organizacji działających samodzielnie. Błędy w definicji zakresu, niespójności dokumentacji, luki we wdrażaniu kontroli i wewnętrzne niedopatrzenia w zakresie przeglądu gotowości – wszystkie te elementy wymagają więcej czasu, aby je wykryć i skorygować bez wskazówek ze strony zespołu, który przeszedł już przez ten proces.
Technologie Mindcore'aprzynosi więcej niż30 lat doświadczenia w cyberbezpieczeństwie i ITwykonawcom z branży obronnej zajmującym się przygotowaniem CMMC. Pod przewodnictwemMatt Rosenthal, dyrektor generalny Mindcore Technologieszespół pomógł organizacjom z regulowanych branż w skutecznym i dokładnym tworzeniu programów zgodności, unikając przedłużania harmonogramu wynikającego z odkrywania problemów na późnym etapie procesu.
Mindcore współpracuje z wykonawcami od wstępnej analizy luk po wewnętrzny przegląd gotowości, utrzymując przygotowania na właściwej drodze, identyfikując problemy na tyle wcześnie, aby rozwiązać je bez wpływu na harmonogram, i zapewniając, że każdy etap procesu zostanie prawidłowo ukończony przed przejściem do następnego.
Koszt późnego rozpoczęcia
Każdy tydzień opóźnienia w rozpoczęciu przygotowań do CMMC to tydzień dodawany do ryzyka, że Twoja certyfikacja nie będzie ważna, gdy będzie tego wymagać Twoja następna umowa. Odnowienia kontraktów, pozyskiwanie nowych ofert i wymagania głównych wykonawców nie czekają na terminy przygotowawcze, które trwają dłużej niż oczekiwano.
Wykonawcy, którzy najskuteczniej chronią kwalifikowalność zamówienia, to ci, którzy rozpoczynają proces przygotowawczy znacznie wcześniej, niż im się wydaje, że jest to konieczne, budują swój harmonogram w oparciu o faktyczne ustalenia dotyczące luk, a nie optymistyczne szacunki, a także współpracują z partnerami, którzy wiedzą, jak zapewnić efektywny przebieg procesu.
Bezpłatna konsultacja z Mindcore Technologies to najszybszy sposób, aby zrozumieć, na jakim etapie faktycznie znajduje się Twoja organizacja i jak długo wygląda realistyczny harmonogram przygotowań dla Twojego konkretnego środowiska.
Wniosek
Przygotowanie CMMC trwa dłużej, niż większość wykonawców się spodziewa, ponieważ proces jest dokładniejszy, bardziej szczegółowy i w większym stopniu zależy od prawidłowego wykonania każdego etapu przed przejściem do następnego, niż mogłoby się wydawać z zewnątrz. Nie jest to powód do zniechęcenia. Jest to powód, aby zacząć wcześniej, planować dokładniej i współpracować z partnerami, którzy wiedzą, gdzie znajdują się ryzyka związane z harmonogramem, zanim staną się one problemami związanymi z harmonogramem.
Dzięki Mindcore Technologies i ponad 30-letniemu doświadczeniu w zakresie cyberbezpieczeństwa i IT za Twoimi przygotowaniami Twój harmonogram nie musi stać się Twoim obowiązkiem.
