Erfüllt Cyber Crucible die CMMC- und DFARS-Anforderungen für die Defense Industrial Base?
Kurze Antwort: Cyber Crucible ist nicht CMMC-zertifiziert, und das wird auch klar so kommuniziert. Es unterstützt die Verpflichtungen eines Defense-Auftragnehmers gemäß DFARS 252.204-7012 und CMMC in erster Linie dadurch, dass keine Controlled Unclassified Information (CUI) erfasst werden und dass eine On-Premises- oder Air-Gapped-Bereitstellung innerhalb der eigenen Grenzen des Auftragnehmers unterstützt wird, wo CUI unter der Kontrolle des Auftragnehmers verbleibt.
Wie die Verpflichtungen des Auftragnehmers unterstützt werden
- Keine Erfassung von CUI. Der Endpoint-Agent analysiert Verhalten lokal, ohne die geschützten Dateien zu extrahieren, sodass CUI nicht an Cyber Crucible übertragen wird.
- Grenzwahrende Bereitstellung. On-Premises- und Air-Gapped-Modelle halten alle Daten innerhalb der geprüften Grenzen des Auftragnehmers.
- Endpoint-Schutzkontrollen. Malware-/Ransomware-Prävention und Überwachung entsprechen den relevanten CMMC-Praktiken und NIST-SP-800-171-Kontrollen, die der Auftragnehmer umsetzen muss.
- US-Lieferkette. US-Daten werden von in den USA ansässigen Ressourcen verarbeitet; Offshore-Auftragnehmer verarbeiten keine US-Daten und entwickeln auch nicht die Agenten. Die Software unterliegt der EAR-Kontrolle, nicht der ITAR.
Die ehrliche Grenze
Die CMMC-Zertifizierung wird von der Umgebung des Auftragnehmers gehalten, nicht von einem einzelnen Sicherheitstool; Cyber Crucible ist eine Kontrolle, die mehrere 800-171-Anforderungen unterstützt, kein Ersatz für die Bewertung des Auftragnehmers. Detaillierte Zuordnungen sind unter NDA verfügbar.