Il CMMC non cambierà il lavoro della maggior parte degli MSP. Ma per alcuni, cambierà tutto.
Il CMMC è in gestazione da anni. Per molto tempo si è avuta la sensazione che “ogni anno fosse l’anno prossimo”, tra false partenze e aspettative in continuo movimento. Ora è realtà. Il framework è formalizzato, gli audit sono in corso e l’applicazione tramite i contratti è già avviata attraverso il CMMC Program Rule del DoD (32 CFR Part 170).
C’è un aspetto che molti managed service provider (MSP) si perdono: il CMMC non stravolgerà il modo in cui la maggior parte degli MSP eroga i servizi all’intera base clienti. Nella maggior parte dei casi riguarderà solo una piccola parte dei clienti.
Ma per gli MSP che servono mercati come quello manifatturiero, il CMMC rappresenta un’opportunità ad alto valore e ad alto rischio: permette di offrire servizi più difficili da sostituire di qualsiasi altro servizio venduto finora.
Per gli MSP il rischio è concreto
Se il tuo cliente è soggetto al CMMC e tu non capisci come i tuoi strumenti, i tuoi processi e i tuoi controlli di accesso incidono sul suo audit, puoi diventare la causa del suo fallimento.
Rischi anche di essere trascinato in ore di conversazioni non pagate sul CMMC, perché il lavoro non è mai stato definito correttamente nel perimetro contrattuale.
In alcuni casi il cliente può semplicemente passare a un MSP che conosce già questo ambito.
È un’opportunità molto remunerativa, ma comporta rischi reali se provi a improvvisare.
Smetti di chiamarlo “CMMC 2.0”
Può sembrare una pignoleria, ma fa la differenza. “CMMC 2.0” era il linguaggio della bozza. Quello che esiste oggi è semplicemente il CMMC. Se apri una conversazione con un cliente parlando di “2.0”, chiunque conosca la materia metterà subito in dubbio la tua competenza. La precisione costruisce credibilità, e nel lavoro sulla conformità la credibilità è tutto.
Il CMMC è una norma sulla catena di fornitura, non uno standard di cybersecurity
È vero, i controlli di cybersecurity sono una parte enorme del CMMC. Ma gli MSP si mettono nei guai quando danno per scontato che si tratti di uno standard di cybersecurity a sé stante. Basta attivare tutti gli strumenti di cybersecurity e il cliente è automaticamente conforme? Non funziona così.
Il CMMC è un requisito della catena di fornitura applicato tramite i contratti. Se un’organizzazione non è conforme, non riceve una sanzione come accade con un modello di enforcement in stile HIPAA. Perde l’idoneità a ottenere fatturato. Questo crea un’urgenza e una concentrazione che molti altri standard di conformità non hanno mai prodotto.
Per gli MSP significa che due cose possono essere vere allo stesso tempo:
- Puoi diventare l’eroe che permette a un cliente di mantenere (o aggiudicarsi) contratti redditizi.
- Oppure puoi essere la causa del suo fallimento: ed è il tipo di fallimento che i clienti non dimenticano.
L’opportunità è concreta, ma il mercato potenziale è più piccolo di quanto si pensi
Pochissimi MSP trasformeranno l’intera attività in “una practice CMMC”. Per la maggior parte si tratterà di una piccola percentuale di clienti che rientra in questo mondo.
Dove si nascondono di solito questi clienti? Nel manifatturiero. Nella lavorazione dei metalli. Nelle officine meccaniche. Nelle aziende che supportano le catene di fornitura della difesa, anche solo indirettamente. Se segui organizzazioni di questo tipo, ci sono buone probabilità che tu abbia già almeno un cliente che dovrà rispettare il CMMC per via di chi si trova a monte nella sua filiera.
Un modo semplice per individuarli è fare domande migliori:
- Chi sono i tuoi clienti a monte: qualcuno di loro è un prime contractor (pensa ai grandi appaltatori della difesa)?
- ad esempio Lockheed Martin, Boeing, General Dynamics, General Dynamics Electric Boat, Navistar, Northrop Grumman, Oshkosh Defense.
- Stai notando riferimenti al CMMC o al NIST SP 800-171 nei contratti?
- Tratti dati soggetti a controllo delle esportazioni, come quelli regolati dall’International Traffic in Arms Regulations (ITAR)?
Se la risposta è sì, il tuo cliente ha quasi certamente già visto riferimenti al CMMC nei suoi contratti. Semplicemente, potrebbe non sapere ancora come muoversi: ed è qui che entri in gioco tu.
Il rischio maggiore per un MSP è rientrare nel perimetro anche senza certificarsi
Una delle convinzioni più pericolose che vedo è quella degli MSP che pensano: “Non siamo tenuti a certificarci, quindi non è un problema nostro”.
Nella pratica, i servizi e gli strumenti dell’MSP rientrano spesso nel perimetro dell’audit del cliente. Questo significa che un assessor può esaminare attentamente la postura di sicurezza e gli strumenti dell’MSP, perché incidono direttamente sulla capacità del cliente di soddisfare i requisiti.
Ne può nascere lo scenario peggiore: il cliente non supera l’audit ed è convinto che la colpa sia tua. Magari perché i tuoi strumenti di supporto remoto, i tuoi moduli di crittografia, i tuoi processi o la gestione degli accessi non rispettano i requisiti del CMMC.
Sii onesto su ciò che fai, su ciò che non fai e su ciò che deve cambiare.
La parte più difficile non è quella tecnica, è tutto il resto
La maggior parte degli MSP è in grado di svolgere il lavoro tecnico. Le difficoltà arrivano spesso sul lato “morbido” della conformità: policy, procedure, aspetti operativi e di change management, perfino requisiti di sicurezza fisica che non hanno nulla a che fare con l’IT.
Puoi distribuire ottimi strumenti per gli endpoint e non superare comunque l’audit se la struttura non è in grado di controllare gli accessi, tracciare i visitatori, segmentare i flussi di lavoro sensibili o dimostrare il processo. Per questo consiglio vivamente agli MSP di costruire partnership: vCISO, consulenti di conformità e specialisti che vivono nel mondo delle policy e delle procedure.
E un’ultima lezione imparata sul campo. Se coinvolgi terze parti, non nasconderlo. Il white labeling può ritorcersi contro di te se i clienti percepiscono che stai facendo passare per interna tutta la competenza. La trasparenza crea fiducia, ed è la fiducia che ti permette di superare un audit.
Rischio alto. Ricompensa alta. Un rapporto che dura una vita.
Se svolgi bene il lavoro sul CMMC, smetti di essere il fornitore IT e diventi parte del motore di fatturato del tuo cliente. Lo stai aiutando a restare idoneo per contratti che tengono in vita la sua attività.
Una partnership di questo tipo è difficile da scalzare. Sostituirla è complicato, perché cambiare fornitore introduce rischi, e in questo mondo il rischio può significare perdita di fatturato.
Quindi affrontala con la massima consapevolezza. Non prendere impegni più grandi di quanto puoi gestire. Sii onesto su ciò che padroneggi e su dove hai bisogno di partner. Perché se fai le cose per bene, costruisci un rapporto praticamente indissolubile.
Scarica la Guida NinjaOne al CMMC per indicazioni pratiche sulla preparazione alla certificazione e sul supporto continuativo alla conformità.
