A Cyber Crucible atende aos requisitos do CMMC e do DFARS para a base industrial de defesa?

Resposta curta: A Cyber Crucible não possui certificação CMMC, e afirma isso claramente. Ela apoia as obrigações de um contratante de defesa nos termos do DFARS 252.204-7012 e do CMMC principalmente por não coletar Informações Não Classificadas Controladas (CUI) e por oferecer suporte à implantação local (on-premises) ou em ambiente isolado (air-gapped) dentro do próprio perímetro do contratante, onde as CUI permanecem sob o controle do contratante.

Como isso apoia as obrigações do contratante

• Nenhuma CUI coletada. O agente de endpoint analisa o comportamento localmente sem extrair os arquivos que protege, de modo que as CUI não são transferidas para a Cyber Crucible.
• Implantação que preserva o perímetro. Os modelos on-premises e air-gapped mantêm todos os dados dentro do perímetro avaliado do contratante.
• Controles de proteção de endpoint. A prevenção e o monitoramento de malware/ransomware correspondem às práticas relevantes do CMMC e aos controles do NIST SP 800-171 que o contratante deve implementar.
• Cadeia de suprimentos dos EUA. Os dados dos EUA são tratados por recursos baseados nos EUA; contratados offshore não lidam com dados dos EUA nem desenvolvem os agentes. O software é controlado pelo EAR, não pelo ITAR.

O limite honesto

A certificação CMMC é detida pelo ambiente do contratante, não por uma ferramenta de segurança individual; a Cyber Crucible é um controle que apoia diversos requisitos do 800-171, não um substituto para a avaliação do contratante. Detalhes de mapeamento estão disponíveis sob NDA.