Punti chiave
- Nella conformità CMMC, piattaforme cloud, MSP e organizzazioni clienti sono responsabili ciascuno di una parte distinta dei controlli di sicurezza richiesti: nessuna delle parti può garantire da sola la conformità completa.
- Le piattaforme cloud rispondono della sicurezza fisica dei data center, della disponibilità dell’infrastruttura e dei controlli di base della piattaforma, ma non possono intervenire su come i sistemi vengono configurati, utilizzati o resi accessibili all’interno dell’ambiente di una specifica organizzazione.
- Gli MSP rappresentano il livello di conformità decisivo tra le funzionalità della piattaforma e il controllo operativo. A loro spetta configurare sistemi sicuri, gestire gli accessi privilegiati, applicare le policy di sicurezza e supportare i sistemi che archiviano o elaborano informazioni non classificate controllate (CUI).
- Anche con MSP e piattaforme cloud a supporto, la responsabilità finale della conformità CMMC resta all’organizzazione cliente: definire le policy di sicurezza, approvare le configurazioni, mantenere la governance e assicurarsi che tutti i controlli siano documentati.
- Una matrice di responsabilità condivisa CMMC associa tutti i 110 controlli del NIST SP 800-171 a un responsabile definito tra organizzazione, MSP e piattaforma.
- Gli strumenti di conformità CMMC e le piattaforme RMM supportano gli audit offrendo visibilità sui sistemi e applicazione delle configurazioni, ma devono essere configurati correttamente e gestiti in modo attivo.
La conformità al Cybersecurity Maturity Model Certification (CMMC) viene spesso fraintesa come se fosse una funzionalità di un prodotto o di una piattaforma. In realtà si tratta di un modello di responsabilità condivisa, in cui più soggetti contribuiscono all’implementazione e all’applicazione dei controlli.
Provider cloud, MSP e organizzazioni clienti hanno ciascuno un ruolo distinto nel soddisfare i requisiti CMMC. Proprio per questo è necessario creare una matrice di responsabilità condivisa CMMC , in modo che i ruoli siano definiti con chiarezza e che ciascuno sappia di cosa è responsabile.
Cosa significa responsabilità condivisa nel CMMC
Nel contesto del CMMC, la responsabilità condivisa indica la ripartizione del controllo e delle competenze tra i diversi soggetti coinvolti in un unico ambiente. In genere la responsabilità è suddivisa tra:
- L’organizzazione cliente
- L’MSP
- La piattaforma o il provider di servizi sottostante
È importante ricordare che nessuna singola parte può garantirti da sola la conformità completa. Ogni soggetto è responsabile di un aspetto diverso della sicurezza e della conformità. Non comprendere il ruolo di ciascuno può portare a lacune. Non dare per scontato che un controllo sia coperto: confrontati invece con tutte le parti coinvolte e verifica che tutte le policy siano effettivamente applicate.
Di cosa sono responsabili le piattaforme nel CMMC
Le piattaforme si occupano principalmente della manutenzione dell’infrastruttura sottostante. In genere questo comprende:
- Gestire il data center fisico e mantenerlo sicuro
- Garantire che l’infrastruttura sia disponibile e resiliente rispetto a eventi avversi
- Proteggere la rete principale e l’hardware per evitare interruzioni
- Mantenere i controlli di sicurezza di base a livello di piattaforma
Alcune piattaforme possono fare anche di più, offrendo servizi e certificazioni allineati ai requisiti di conformità. È però importante non affidarsi soltanto alla conformità della piattaforma: in fin dei conti è solo una parte di un modello più ampio e completo. La conformità della piattaforma non copre gli aspetti più specifici, come il modo in cui i sistemi vengono configurati o utilizzati nei tuoi ambienti.
Di cosa sono responsabili gli MSP nel CMMC
Se le piattaforme si occupano dell’infrastruttura sottostante, gli MSP hanno il compito di implementare e gestire i controlli sulle piattaforme utilizzate nell’ambiente del cliente. Questo comporta:
- Configurare e mantenere sistemi sicuri
- Gestire i controlli di accesso e gli account privilegiati
- Applicare le policy di sicurezza su tutti gli endpoint
- Supportare i sistemi che archiviano o elaborano informazioni non classificate controllate (CUI)
Gli MSP costituiscono un livello cruciale tra le funzionalità della piattaforma e la conformità operativa. Hanno un ruolo chiave nel garantire che i tuoi dati restino protetti e al sicuro.
Di cosa resta responsabile l’organizzazione cliente nel CMMC
Anche con tutto il supporto di piattaforme e MSP, il cliente mantiene comunque una quota di responsabilità in materia di conformità. È lui a conoscere meglio di chiunque altro le proprie esigenze e il modo di soddisfarle.
Le responsabilità tipiche del cliente comprendono:
- Definire policy e requisiti di sicurezza
- Approvare le configurazioni di sistema e i controlli di accesso
- Mantenere governance e supervisione
- Assicurarsi che tutti i controlli nei propri ambienti siano implementati e documentati
La conformità CMMC, soprattutto per gli appaltatori della difesa, non può mai essere esternalizzata del tutto. La responsabilità piena resta sempre, in ultima analisi, in capo all’organizzazione sottoposta a valutazione e non a terzi.
Dove le responsabilità si sovrappongono nel CMMC
Naturalmente, quando si parla di conformità, cooperazione e collaborazione sono sempre indispensabili. Il controllo degli accessi, per esempio, viene sempre definito dal cliente, ma è l’MSP a doverlo applicare. Mantenere governance e supervisione complete, così come la risposta agli incidenti, coinvolge tutte le parti, mentre verificare che tutti i controlli siano implementati riguarda sia il cliente sia l’MSP.
Come mappare le responsabilità negli ambienti CMMC in modo efficace
Le organizzazioni devono mappare la titolarità dei controlli. In questo modo si evitano fraintendimenti e tutte le parti coinvolte sanno cosa devono fare. Tra le best practice:
- Definire il responsabile del controllo per ogni requisito
- Documentare con chiarezza le responsabilità condivise
- Allineare i servizi a specifici requisiti di conformità
- Verificare che tutti i controlli siano sempre effettivamente applicati
Mappare queste responsabilità condivise garantisce che le soluzioni di conformità per i clienti del tuo MSP siano allineate alle aspettative della tua organizzazione in materia di audit. Riduce inoltre le ambiguità al momento di valutazioni e audit.
Il ruolo di strumenti e piattaforme a supporto della conformità
Le piattaforme e gli strumenti che utilizzi possono supportare conformità e audit, ma non sostituiscono la responsabilità. Gli strumenti di conformità CMMC per MSP e le soluzioni integrate RMM + conformità possono:
- Offrire visibilità sullo stato dei sistemi
- Supportare l’applicazione delle configurazioni di sicurezza
- Facilitare documentazione e verifica
Ricorda però che gli strumenti devono essere configurati e gestiti correttamente. In caso contrario, il loro contributo alla conformità è minimo. La responsabilità di utilizzarli e gestirli concretamente resta comunque all’MSP e al cliente.
Che impatto ha la responsabilità condivisa sugli audit
In una valutazione CMMC, gli auditor esaminano come le responsabilità vengono attuate in uno specifico ambiente. In particolare:
- Individuano chi è responsabile di ciascun controllo
- Verificano che i controlli siano implementati correttamente
- Confermano che le responsabilità siano definite con chiarezza
La responsabilità condivisa è la chiave del successo con il CMMC
La conformità CMMC si basa su un modello di responsabilità condivisa che coinvolge piattaforme, MSP e organizzazioni clienti. Una definizione chiara delle responsabilità, una corretta mappatura della titolarità dei controlli e l’allineamento tra servizi e requisiti sono elementi essenziali per ottenere risultati positivi in termini di conformità.
Argomenti correlati:
- CMMC 2.0: la certificazione CMMC spiegata agli MSP
- Come riconoscere un’opportunità CMMC: domande di discovery e parole chiave da campanello d’allarme
- Il CMMC non è quello che la maggior parte degli MSP crede
- Come preparare i clienti a un audit di conformità a sorpresa (HIPAA, CMMC, SOC 2)
- Creare un ambiente di staging interno per rollout MSP sicuri
