DoDサプライヤーのコンプライアンス：未来を形作る2つのサイバーセキュリティ誤解

製造業と非製造業を合わせ、防衛産業基盤（DIB）には約30万社が存在すると推定されています。うち約99%は従業員500人未満の中小企業です。

2017年12月以来、DIBのすべての企業は契約にDFARS条項（252.204-7012「管理対象非機密情報の保護とサイバーインシデント報告」）が含まれています。約3年が経過した今、DIBにはいくつかの誤った認識が広がっており、特に重要な2つについて議論します。

誤解1：自己認定（セルフアテステーション）は大したことではない

DoDとの契約条件を受諾することで、製造業者は「適切なサイバーセキュリティ」で管理対象非機密情報（CUI）を保護していると自己認定します。「適切なサイバーセキュリティ」は、DFARS条項においてNIST SP 800-171に定められた110のセキュリティ要件を完全に実装することと定義されています。

多くの製造業者は自社のサイバーセキュリティプログラムが十分だと考えています。CMTCのクライアントは通常、自社を70〜80%準拠と見積もりますが、基本的なギャップ分析後の実績平均は約34%準拠にとどまります。

過去のブログ記事で、サイバーセキュリティ要件違反に伴う見落とされがちな法的リスクを取り上げました。DoDと取引したい企業は契約条件を受諾し、準拠したサイバーセキュリティ態勢を自己認定しなければなりません。

誤解2：外部ITプロバイダー任せで問題ない

多くの小規模企業には専任IT担当者とリソースが不足しています。そのため多くの製造業者がサードパーティITサービスプロバイダーを利用しています。これらの小規模企業が運営するため、外部プロバイダーに自社情報システムへの多大な管理者アクセス権が委ねられています。多くの製造業者は「順調に進んでいる」と想定しがちです。しかし、製造業者はサードパーティITプロバイダーを監視し、どのようなアクションが取られているか把握する必要があります。製造業者のITプロバイダーとのサイバージャーニーは協働的であり、プロバイダーの作業活動と成果に企業が関与すべきです。

さらに、110のセキュリティ要件の約半分は、サードパーティITプロバイダーが通常提供する技術運用と技術ソリューションに直接関連します。一部のサイバーセキュリティ対策はビジネス運営の根幹に関わるため、政府はすべてのDoDサプライヤーが自社リスクを主体的に管理していると合理的に想定していました。製造業者とITプロバイダーが協力してDoDコンプライアンスを達成することは必須です。DoDサプライヤーが長期的にコンプライアンス責任を負います。

この2つの重要な誤解が重なると、膨大な技術的・コンプライアンス債務を生み出します。

政府のサイバーセキュリティコンプライアンス監査が迫っています。最善の道は、ITプロバイダーを監視し、協働して全体的なコンプライアンスに貢献させることです。

推奨される次のステップ

1. 既存のDFARS要件に集中する
2. NIST SP 800-171の根底にある前提を徹底的に理解する
3. 堅牢なサードパーティベンダー管理プロセスを確立する
4. 契約上のフロー・ダウン義務を徹底的に理解する

全体的な規制エコシステムの概要と、本記事で概説したトピックのより詳細な議論については、CMTCオンデマンドウェビナーをご覧ください。