הפנטגון בוחן יותר מ־1,100 תגובות מהתעשייה על רפורמת CMMC
לפי DefenseScoop, מנכ״לית המידע קירסטן דייוויס אמרה שרוב המגיבים תמכו בהשהיית שלב 2
Courtesy Photo
Office of the Under Secretary of War (Acquisition & Sustainment)
פקידי הפנטגון עוברים על שטף משוב מהתעשייה בנוגע לתוכנית CMMC השנויה במחלוקת, כחלק מבחינת צעדי הרפורמה הבאים, כך דיווח DefenseScoop מדברי מנכ״ל המידע של מחלקת ההגנה, קירסטן דייוויס.
ביולי הודיעו דייוויס וסגן שר ההגנה לרכש וקיימות, מייקל דאפי, על השהיית דרישות שלב 2, שכללו אימות צד שלישי, והקימו צוות משימה לבחינת התוכנית כולה, לצד בקשת מידע מקבלנים. המועד האחרון לתגובות היה 14 באוגוסט, ומאז נפתח שלב קריאה וניתוח אינטנסיבי.
לפי דייוויס בפסגת Billington, התקבלו יותר מ־1,100 תגובות, חלקן מקבוצות כמו Cloud Security Alliance, ובהן יותר מ־10,000 עמודי מסמכים שבני אדם קוראים, לא בינה מלאכותית. נערכו גם מפגשים ברחבי המדינה עם יותר מ־3,000 משתתפים, ופגישות עם מועצת Cyber AB, מעריכי צד שלישי ועסקים קטנים. יותר ממחצית המגיבים תמכו בהשהיה וברפורמה מסוימת. הביקורת השלילית ששאלה מדוע בכלל החלו בדרישות שיקפה, לדבריה, פגיעה קשה ולא מידתית בעסקים קטנים ובינוניים, שמתקשים לשאת בעלויות ציות כבדות.
במהלך ההשהיה צפוי הפנטגון לאכוף עמידה ב־NIST 800-171 Rev 2 באמצעות הערכות עצמיות והערכות ממשלתיות נבחרות. מעריכי צד שלישי הביעו חשש כיצד יוכח שהבסיס התעשייתי עומד במדיניות. דייוויס הבהירה כי סייבר נותר קריטי, במיוחד מול מודלי AI מתקדמים ומתקפות בקצב ובקנה מידה חדשים, וכי הבעיה היא ש־CMMC לא הייתה דינמית מספיק. היא קוראת לעבור מבדיקות נקודתיות בזמן נתון לאימות רציף ומתמשך בקצב האיום, מתוך הבנה שציות בנקודת זמן אינו זהה לאבטחה חיה.
נקודה נוספת שעלתה, לפי DefenseScoop, היא חוסן סייבר בטכנולוגיה התפעולית של קווי ייצור, נושא שכמעט לא הופיע ב־CMMC המקורית שהתמקדה בנתונים.
כמו כן נשמעה ביקורת על סימון לא עקבי של מידע לא מסווג מבוקר, שיוצר חיכוך תפעולי בשרשרת האספקה ודורש משמעת סימון ברורה יותר במשרדי התוכניות הממשלתיים. המסר של דייוויס: לא לוותר על אבטחה, אלא לעצב משטר ציות שלא חונק ספקים קטנים, ושמודד חוסן אמיתי של מפעלים ונתונים גם יחד, לא רק צ׳קליסט חד פעמי.