Planurile Pentagonului pentru sesiuni de ascultare CMMC în contextul întrebărilor asupra revizuirii

Revizuirea CMMC ar putea duce la „o reformă completă sau la ajustări minore”, a declarat Kirsten Davies, CIO al DoD, după prima întâlnire a echipei de revizuire. Pentagonul dorește să acționeze rapid în evaluarea programului de certificare a maturității în domeniul cibersecurității, dar există multe întrebări cu privire la modul în care oficialii din apărare pot acționa diferit pentru a echilibra preocupările de conformitate ale micilor afaceri cu nevoia de a impune cerințe de cibersecuritate, conform federalnewsnetwork.com.

👉 Prima întâlnire a echipei de revizuire și implicarea micilor afaceri

Echipa de revizuire CMMC s-a întâlnit pentru prima dată joi, 16 iulie, iar Kirsten Davies le-a spus reporterilor aceleași zile, în timpul unei vizite la fabrica Kform, un mic producător de apărare din Sterling, Virginia. Davies a fost însoțită de administratorul pentru micile afaceri, Kelly Loeffler, și de subsecretarul apărării pentru achiziții și sustenabilitate, Michael Duffey. Davies a spus că considerațiile legate de micile afaceri au fost centrale în decizia de a suspenda cerințele de evaluare a CMMC de către terți și de a lansa o revizuire „de sus până jos” a programului. Obiectivul este de a aborda costurile și preocupările de conformitate pe care Davies, Loeffler și Duffey le-au spus că creează obstacole pentru companiile mai mici în a concura pentru contracte de apărare.

„Am luat această măsură pentru că datele, inclusiv rapoartele din partea Administrației pentru mici afaceri, fac un lucru foarte clar: progresia cerințelor noastre de conformitate planificate a creat costuri prohibitive și sarcini inacceptabile pentru baza industrială de apărare”, a declarat Davies. DoD a publicat o solicitare de informații referitoare la revizuirea CMMC. De asemenea, oficialii vor organiza sesiuni de ascultare în întreaga țară pentru a obține feedback de la contractorii de apărare, „în special micile afaceri, precum și de la operatorii și executivii de cibersecuritate care își servesc companiile”, a spus Davies.

👉 Procesul de revizuire și posibilele schimbări ale programului CMMC

„Dorim să auzim de la baza industrială de apărare, dorim să auzim chiar și de la Cyber, de la evaluatorii înșiși, pentru a afla care sunt ideile lor despre cum să creștem și să îmbunătățim cibersecuritatea și reziliența operațională, dar și să îmbunătățim viteza, inovația și livrarea capabilităților către luptători”, a spus ea. Davies a menționat că echipa de revizuire are 60 de zile pentru a strânge feedback și a revizui programul, apoi 15 zile pentru a oferi un raport cu recomandări pentru ea însăși și Duffey. Această cronologie ar vedea revizuirea CMMC finalizată până la sfârșitul lunii septembrie.

„Sperăm că, la scurt timp după aceea, vom putea face public acest raport împreună cu recomandările”, a adăugat Davies. În timpul revizuirii, DoD a suspendat cerințele de evaluare a CMMC de către terți care urmau să devină standard în multe contracte de apărare începând cu 10 noiembrie. Davies și alți oficiali, în ultimele săptămâni, au fost foarte critici față de abordarea evaluărilor CMMC de către terți. Ea a numit evaluările CMMC o „viziune împovărătoare, încărcată de birocrație, de tipul 'check-the-box', de moment, asupra modului în care o companie gestionează” datele sensibile.

Dar Davies nu a spus dacă revizuirea va elimina complet evaluările de către terți. „Ar putea include totul, de la o reformă completă la ajustări minore aici și acolo”, a spus ea. „Dar ceea ce nu vom face este moartea prin o mie de tăieturi și doar să schimbăm pentru a schimba. Vom asculta ceea ce baza industrială de apărare are de spus, în special micile și inovativele companii. Și vom încorpora vocea micilor companii pentru a ne asigura că reducem într-adevăr barierele de acces pentru a face afaceri.”

Pentru a susține suspendarea în curs, Duffey a emis un memo prin care a îndrumat ofițerii de program să elimine orice cerințe de certificare CMMC de către terți din solicitările active. Și dacă departamentul decide să reformeze programul în urma revizuirii, oficialii ar putea folosi abateri de clasă sau reguli intermediare pentru a schimba rapid direcția, conform lui Sandeep Kathuria, partener la firma de avocatură Saul Ewing. „Am văzut în multe domenii că această administrație poate acționa foarte repede pentru a face modificări de reglementare”, a spus Kathuria.

DoD a început prima dată dezvoltarea programului CMMC în 2019, în timpul primei administrații Trump, pentru a verifica conformitatea cu cerințele existente de cibersecuritate. Auditurile oficiului inspectorului general și alte rapoarte au constatat că contractorii de apărare se auto-evaluau fals că respectă cerințele. „Regulile sunt în mare parte bazate pe faptul că auto-atașamentele nu funcționează, iar dovada acestui lucru sunt incidentele semnificative de cibersecuritate de care departamentul a fost victima din partea diverselor actori statali”, a declarat Eric Crusius, partener și președinte al practicii de contracte guvernamentale de la Hunton Andrews Kurth, pentru Federal News Network. Ultima revizuire CMMC vine la cinci ani după ce administrația Biden a lansat propria revizuire a programului, care a fost de asemenea motivată în mare parte de preocupările de conformitate ale micilor afaceri.