Punti chiave
- Da dove partire con l’implementazione del CMMC: prima di apportare modifiche, gli MSP devono mappare i servizi esistenti sui controlli NIST 800-171, stabilire quali requisiti sono già coperti e chi è responsabile di colmare le lacune.
- Il controllo degli accessi è l’area a più alto rischio nel CMMC Level 2: l’applicazione del privilegio minimo e l’MFA sono tra le fonti più frequenti di rilievi durante le valutazioni, quando non vengono applicati in modo uniforme a tutti i sistemi in ambito.
- La deriva di configurazione amplia le lacune di conformità: i sistemi configurati correttamente al momento della distribuzione possono disallinearsi nel tempo; una verifica regolare rispetto a una baseline documentata mantiene l’ambiente nello stato richiesto.
- Il disallineamento tra documentazione e implementazione è una causa frequente di esito negativo: gli assessor verificano i controlli rispetto allo stato reale dei sistemi, e policy che descrivono come le cose dovrebbero funzionare anziché come funzionano davvero portano dritte ai rilievi.
- La coerenza su tutti i sistemi in ambito è imprescindibile: controlli applicati in modo diverso nei vari ambienti possono essere messi in discussione. Processi ripetibili che producono sempre lo stesso risultato rendono difendibile un programma di conformità.
Il livello 2 della Cybersecurity Maturity Model Certification (CMMC) richiede che le organizzazioni implementino e mantengano un insieme definito di controlli di sicurezza basati sul NIST SP 800-171. In sintesi, si tratta di una pubblicazione del National Institute of Standards and Technology (NIST) che descrive i requisiti di sicurezza per proteggere le informazioni non classificate controllate (CUI). Per gli MSP questo significa tradurre quei requisiti in sistemi e processi che funzionino negli ambienti dei clienti, non limitarsi a consigliare cosa fare.
Questo articolo spiega come gli MSP possono implementare i controlli del CMMC Level 2 nei propri ambienti e cosa significa applicarli in modo coerente su endpoint, utenti e infrastruttura.
Come possono gli MSP soddisfare i requisiti di conformità CMMC 2.0?
Per soddisfare i requisiti di conformità CMMC 2.0, gli MSP devono mettere in pratica i controlli su ogni sistema. Il punto di partenza è comprendere la struttura del livello 2 e sapere come ciascun requisito si collega ai servizi che erogano.
La struttura dei requisiti del CMMC Level 2
I requisiti di conformità CMMC 2.0 derivano direttamente dal NIST 800-171 Rev 2 e comprendono ben 110 controlli di sicurezza, organizzati in 14 famiglie. Ogni famiglia riguarda un’area specifica della sicurezza, ed è fondamentale che gli MSP capiscano come queste aree si collegano ai sistemi e ai servizi che gestiscono.
Le principali aree di controllo su cui lavorano gli MSP sono le seguenti:
- Controllo degli accessi: sono le regole che definiscono chi può accedere a quali sistemi e a quali condizioni. Includono il modo in cui le autorizzazioni vengono concesse, riesaminate e revocate.
- Gestione della configurazione: riguarda il modo in cui i sistemi vengono configurati e mantenuti. Comprende configurazioni e controlli approvati, oltre all’applicazione delle baseline.
- Identificazione e autenticazione: controlli che verificano l’identità dell’utente prima di concedere l’accesso, tra cui policy sulle password, autenticazione a più fattori e gestione degli account.
- Risposta agli incidenti: processi per rilevare, segnalare e gestire gli eventi di sicurezza, oltre alla registrazione di quanto accaduto e di come è stato affrontato.
- Integrità dei sistemi e delle informazioni: controlli che proteggono i sistemi da malware, modifiche non autorizzate e vulnerabilità, comprese le pratiche di patching e monitoraggio.
Queste aree di controllo devono essere configurate, applicate e verificabili su tutti i sistemi inclusi nell’ambito della valutazione.
Mappa i servizi MSP sui controlli NIST 800-171
Prima di implementare qualsiasi cosa, gli MSP hanno bisogno di un quadro chiaro di come i servizi esistenti si allineano ai requisiti NIST 800-171. È questa mappatura a collegare i servizi gestiti quotidiani a risultati di conformità specifici.
Il processo di mappatura prevede:
- Individuare quali servizi supportano ciascun controllo: esamina l’elenco completo dei controlli NIST 800-171 e stabilisci quali sono già coperti dall’erogazione dei servizi esistenti e quali invece non hanno alcuna copertura.
- Mappare strumenti e processi sugli obiettivi di controllo: associa strumenti, configurazioni e flussi di lavoro specifici ai controlli che soddisfano. In questo modo è più facile individuare le lacune ed evitare di conteggiare lo stesso servizio per più controlli senza una giustificazione.
- Definire le responsabilità tra MSP e cliente: alcuni controlli ricadono interamente sull’MSP, altri sul cliente e altri ancora sono condivisi. Documentarlo fin da subito evita che emergano lacune più avanti, quando entrambe le parti danno per scontato che se ne stia occupando l’altra.
- Garantire un’implementazione coerente tra gli ambienti: lo stesso controllo deve essere applicato allo stesso modo su tutti i sistemi in ambito. Un’implementazione disomogenea è uno dei motivi più comuni per cui i controlli non superano la valutazione.
Un esercizio di mappatura NIST 800-171 per gli MSP trasforma un elenco di requisiti in un quadro chiaro di ciò che è coperto, di ciò che non lo è e di chi è responsabile di colmare la differenza.
Implementa il controllo degli accessi e la gestione delle identità
Il controllo degli accessi è un fattore cruciale nel CMMC Level 2. Gli MSP che gestiscono ambienti in cui vengono archiviate o elaborate informazioni non classificate controllate (CUI) devono applicare qui regole più rigorose rispetto ai sistemi standard.
- Applicare il privilegio minimo: gli utenti e gli account di servizio devono avere accesso solo a ciò che serve per svolgere il proprio lavoro. Le autorizzazioni che vanno oltre comportano rischi di sicurezza che potrebbero essere segnalati.
- Gestire identità e autenticazione degli utenti: tutti gli account devono essere associati a persone specifiche all’interno dell’ambiente. Inoltre, l’autenticazione a più fattori (MFA) deve essere obbligatoria per i sistemi in ambito. Gli account condivisi o generici non sono ammessi nel CMMC Level 2.
- Limitare l’accesso ai sistemi che trattano dati sensibili: i sistemi che gestiscono CUI richiedono restrizioni di accesso aggiuntive rispetto ai controlli standard. Di conseguenza, l’accesso va limitato agli utenti con un’esigenza documentata. Inoltre, chi dispone dell’accesso deve essere riesaminato periodicamente.
- Monitorare l’uso degli account privilegiati: se compromessi, gli account amministrativi comportano il rischio maggiore. Registrare e riesaminare l’attività degli account privilegiati è obbligatorio. I registri degli accessi devono inoltre essere presentati durante le valutazioni.
Le carenze nel controllo degli accessi sono tra i motivi più frequenti per cui le organizzazioni incontrano difficoltà nelle valutazioni CMMC. Gestire bene quest’area fin dall’inizio riduce il rischio per tutto il resto dell’implementazione.
Applica la gestione della configurazione e l’integrità dei sistemi
La deriva di configurazione è un pericolo silenzioso in un ambiente CMMC Level 2. Anche se i sistemi erano configurati correttamente al momento della distribuzione, col tempo possono disallinearsi. Senza un processo che lo rilevi, le lacune si accumulano e mettono a rischio l’intero ambiente.
Per contrastare questo fenomeno, gli MSP possono procedere così:
- Standardizzare le configurazioni dei sistemi: gli MSP possono definire e documentare una baseline di configurazione sicura per ciascun tipo di sistema. Ogni dispositivo va predisposto secondo quello standard, e deviazioni o eccezioni vanno documentate con rigore.
- Impedire le modifiche non autorizzate: vanno predisposti controlli che limitino chi può apportare modifiche alla configurazione. Inoltre, queste impostazioni devono passare attraverso un processo definito e documentato, per ridurre le modifiche incontrollate.
- Mantenere baseline sicure: le baseline vanno riesaminate e aggiornate ogni volta che vengono individuate nuove vulnerabilità o vengono apportate modifiche ai sistemi. Una baseline che non viene riesaminata da mesi potrebbe non rispecchiare più le esigenze di sicurezza attuali.
- Verificare l’integrità dei sistemi nel tempo: controlla regolarmente che i sistemi corrispondano ancora alla baseline documentata. Gli strumenti automatizzati possono segnalare le deviazioni, ma qualcuno deve esaminare quei rilievi e intervenire affinché il controllo sia considerato operativo.
La gestione della configurazione non è un’attività da svolgere una volta sola. Richiede attenzione costante per mantenere i sistemi nello stato che la conformità richiede.
Implementa logging, monitoraggio e risposta agli incidenti
Il CMMC Level 2 chiede alle organizzazioni molto più che prevenire gli eventi di sicurezza. Devono rilevarli, gestirli e conservare documentazione che mostri come ciascuno è stato affrontato.
I passaggi di implementazione per logging, monitoraggio e risposta agli incidenti comprendono:
- Attivare il logging su sistemi e applicazioni: il logging deve essere attivo su tutti i sistemi in ambito e coprire eventi di autenticazione, modifiche alla configurazione e accessi ai dati sensibili. I log che non vengono raccolti non possono essere esaminati né presentati come prova.
- Monitorare le attività sospette: i log vanno riesaminati regolarmente, non solo raccolti. Gli strumenti di monitoraggio possono aiutare a segnalare comportamenti anomali, ma serve un processo definito per intervenire su quegli avvisi.
- Definire i processi di risposta agli incidenti: documenta come gli eventi di sicurezza vengono identificati, escalati, contenuti e risolti. Il processo deve essere messo per iscritto e seguito in modo coerente, non improvvisato ogni volta che accade qualcosa.
- Conservare la documentazione di eventi e azioni: ogni evento di sicurezza e le misure adottate per affrontarlo devono essere registrati. Questi documenti fungono da prova durante le valutazioni e aiutano a individuare schemi che segnalano problemi ricorrenti.
Logging e monitoraggio senza un processo collegato di risposta agli incidenti soddisfano solo una parte del requisito. Tutti e tre gli elementi devono funzionare insieme per rispondere a quanto previsto dal CMMC Level 2.
Proteggi i sistemi che trattano dati sensibili
I sistemi che gestiscono CUI comportano il rischio di conformità più elevato in un ambiente CMMC Level 2. I controlli applicati a questi sistemi devono andare oltre la baseline standard usata nel resto dell’ambiente.
Le protezioni aggiuntive per i sistemi che trattano dati sensibili comprendono:
- Limitare l’accesso agli ambienti sensibili: l’accesso ai sistemi che archiviano o elaborano CUI va riservato agli utenti con un’esigenza documentata e approvata. Gli elenchi degli accessi vanno riesaminati regolarmente e aggiornati quando cambiano i ruoli.
- Applicare crittografia e misure di protezione dei dati: le CUI devono essere crittografate a riposo e in transito. I requisiti di crittografia valgono per l’archiviazione, i backup e qualsiasi dato che si sposti tra sistemi o attraverso le reti.
- Monitorare l’accesso ai dati e i loro spostamenti: tieni traccia di chi accede alle CUI, quando e da dove. Gli schemi di accesso anomali vanno segnalati e indagati, e i dati di monitoraggio vanno conservati a fini di audit.
- Garantire pratiche di gestione sicure: definisci come le CUI vengono create, archiviate, condivise ed eliminate. Il personale che lavora con dati sensibili deve sapere cosa è richiesto e seguire sempre le stesse procedure.
Il modo in cui questi sistemi vengono protetti è uno degli aspetti che gli assessor esaminano più da vicino. Le lacune in quest’area pesano più di quelle nelle aree a rischio inferiore dell’ambiente.
Mantieni la documentazione allineata all’implementazione
Una documentazione che non corrisponde a quanto è effettivamente in essere è una delle cause più frequenti di rilievi nelle valutazioni CMMC. Gli assessor confrontano ciò che è scritto con quanto possono verificare nell’ambiente, e le discrepanze sollevano domande a cui è difficile rispondere sul momento.
La documentazione che deve restare aggiornata e accurata comprende:
- Configurazioni dei sistemi e applicazione dei controlli: documenta come ciascun controllo è implementato, a quali sistemi si applica e come viene applicato. Questo offre agli assessor un riferimento chiaro e riduce gli scambi durante la valutazione.
- Policy e procedure: le policy devono descrivere ciò che è richiesto, le procedure devono descrivere come si fa. Entrambe devono rispecchiare la pratica attuale, non una versione precedente di come era configurato l’ambiente.
- Allineamento con il comportamento reale dei sistemi: riesamina la documentazione con regolarità e aggiornala quando cambiano configurazioni o processi. Una documentazione accurata sei mesi fa potrebbe non rispecchiare più ciò che gira oggi nell’ambiente.
Mantenere aggiornata la documentazione è una responsabilità continua, non un’attività da svolgere subito prima della valutazione. Gli MSP che la trattano come parte della normale erogazione dei servizi si trovano in una posizione molto più solida quando viene fissata la data di una valutazione.
Garantisci coerenza tra gli ambienti
Un’implementazione disomogenea dei controlli è uno dei modi più rapidi per generare rilievi. Se lo stesso controllo viene applicato in modo diverso sui sistemi in ambito, gli assessor segnaleranno la differenza e metteranno in dubbio che il controllo sia davvero operativo.
I passi che gli MSP devono compiere per mantenere la coerenza comprendono:
- Configurazioni standardizzate su tutti i sistemi: ogni sistema in ambito va predisposto e mantenuto secondo la stessa baseline. Le variazioni vanno documentate come eccezioni con una chiara giustificazione, non lasciate come differenze non documentate.
- Processi ripetibili per l’applicazione dei controlli: i controlli vanno applicati attraverso processi definiti che producono sempre lo stesso risultato, indipendentemente da chi svolge il lavoro. I processi che dipendono dalla conoscenza o dal giudizio del singolo introducono una variabilità difficile da difendere durante una valutazione.
- Allineamento tra ambienti e requisiti: man mano che i requisiti evolvono o i sistemi cambiano, i controlli vanno riesaminati e aggiornati per restare allineati. Un ambiente conforme ai requisiti al momento dell’implementazione può disallinearsi con l’accumularsi delle modifiche.
- Verifica continua dell’efficacia dei controlli: controlli periodici confermano che i controlli funzionino ancora come previsto. La verifica va pianificata, documentata e seguita da interventi quando emergono lacune.
La coerenza nell’ambiente è ciò che trasforma singole implementazioni di controlli in un programma di conformità che regge all’esame.
Resta allineato ai requisiti di conformità CMMC 2.0
L’implementazione dei controlli porta l’ambiente a uno stato conforme. Mantenerlo tale richiede attenzione costante, perché i sistemi cambiano, i requisiti evolvono e compaiono nuove vulnerabilità.
Le attività continuative che gli MSP devono portare avanti comprendono:
- Riesame regolare dell’efficacia dei controlli: pianifica revisioni periodiche per confermare che i controlli funzionino ancora come previsto. Ciò che era efficace al momento dell’implementazione potrebbe richiedere aggiustamenti man mano che l’ambiente cambia.
- Aggiornamento delle configurazioni con l’evolvere dei requisiti: i requisiti di conformità CMMC 2.0 non sono statici. Quando le linee guida vengono aggiornate o vengono individuate nuove vulnerabilità, configurazioni e processi vanno riesaminati e aggiornati per restare attuali.
- Mantenere l’allineamento alle aspettative di conformità: mantieni documentazione, monitoraggio e applicazione dei controlli allineati ai requisiti attuali. Le lacune che si formano tra una valutazione e l’altra sono tanto più difficili da colmare quanto più a lungo restano irrisolte.
- Favorire il miglioramento nel tempo: usa i rilievi di revisioni interne, incidenti e valutazioni per migliorare il modo in cui i controlli vengono implementati e mantenuti. Ogni ciclo di revisione dovrebbe lasciare l’ambiente in una posizione più solida del precedente.
Gli MSP che trattano la conformità CMMC come un servizio continuativo sono quelli che aiutano i clienti ad arrivare pronti alla rivalutazione senza dover affrontare ogni volta un grosso lavoro di rimedio.
Guida rapida
NinjaOne può supportare l’implementazione del CMMC Level 2: NinjaOne offre diverse funzionalità che aiutano direttamente gli MSP a implementare i controlli del CMMC Level 2:
1. Security Configuration Management (SCM)
- Benchmarking di conformità con personalizzazione no-code: gli amministratori possono adattare i benchmark di conformità direttamente dalla console
- Modelli preconfigurati per l’hardening della sicurezza basati su standard come CIS e NIST
- Applicazione automatizzata per Windows tramite Desired State Configuration (DSC) di Microsoft
2. Patch management
- Distribuzione automatica delle patch sugli endpoint per rimediare alle vulnerabilità
- Reportistica delle patch con monitoraggio dettagliato dello stato e visibilità sulla conformità
- Patching pianificato con controlli di approvazione granulari (Critiche, Importanti, Moderate, Basse)
3. Gestione della configurazione e delle policy
- Creazione centralizzata delle policy per applicare configurazioni di sicurezza specifiche ai gruppi di dispositivi
- Scripting e automazione per un hardening coerente su più dispositivi
- Monitoraggio in Tempo Reale delle modifiche di configurazione e degli eventi di sicurezza
4. Controllo degli accessi e gestione delle identità
- Controlli di accesso basati sui ruoli e applicazione del privilegio minimo
- Integrazione SSO/SAML per la gestione delle identità
- Supporto SCIM per il provisioning e il deprovisioning automatizzati degli utenti
5. Reporting di conformità
- Report di conformità completi che dimostrano l’aderenza agli standard di sicurezza
- Visibilità sullo stato di configurazione dei dispositivi a fini di audit
- Integrazione con strumenti di sicurezza di terze parti per una gestione centralizzata delle policy
6. Gestione e monitoraggio da remoto
- Accesso remoto sicuro per la risoluzione dei problemi e l’applicazione delle policy
- Monitoraggio in tempo reale dello stato dei sistemi e degli eventi di sicurezza
- Inventario dei dispositivi e gestione del ciclo di vita degli asset
Come gli MSP possono garantire e mantenere la conformità al CMMC Level 2
Implementare i controlli del CMMC Level 2 significa tradurre i requisiti NIST 800-171 in sistemi e processi funzionanti che reggano alla valutazione. Mappare i servizi sui controlli, applicare configurazioni coerenti e mantenere una documentazione che rispecchi l’implementazione reale è ciò che distingue le organizzazioni che superano le valutazioni da quelle che non ci riescono.
La conformità non si esaurisce con l’implementazione. Gli MSP che integrano revisione, monitoraggio e allineamento continui nell’erogazione dei propri servizi offrono ai clienti le migliori possibilità di restare conformi tra un ciclo di valutazione e l’altro, senza dover ricominciare da capo ogni volta.
Argomenti correlati:
