Belangrijkste punten
- Waar de betrokkenheid van MSP’s bij CMMC begint: MSP’s moeten eerst de niet-gedocumenteerde controls, inconsistente configuraties en onduidelijke verantwoordelijkheden van de klant kennen en in kaart brengen
- De grens tussen de verantwoordelijkheid van de MSP en die van de klant bepalen: maak duidelijk wie eigenaar is van welke control voordat de controls definitief worden, zodat er niets onbeheerd blijft.
- Gevolgen van vage grenzen: als de verantwoordelijkheidsgrenzen onduidelijk zijn worden controls tijdens de implementatie vaak over het hoofd gezien.
- Het belang van monitoring van CMMC-controls: controls die wel zijn geïmplementeerd maar niet worden gemonitord voldoen op den duur niet meer, omdat systemen voortdurend veranderen, er nieuwe apparaten bij komen en configuraties worden aangepast.
- CMMC-compliance is een doorlopende verplichting: certificering vraagt om aantoonbare, blijvende handhaving in de loop van de tijd en niet om een eenmalige inspanning die alweer uit de pas loopt met CMMC voor de volgende audit.
De Cybersecurity Maturity Model Certification (CMMC) is een kader van het Amerikaanse Department of Defense dat cybersecurity-eisen stelt aan organisaties die gevoelige defensie-informatie verwerken. Het grootste deel van het implementatiewerk zit in het kader van niveau 2. Dat vraagt om gedocumenteerde controls, consistente handhaving en bewijs dat alles werkt.
Voor veel organisaties is het lastig om zonder hulp van buitenaf aan die eisen te voldoen. Dat roept de vraag op: hebben MSP’s een CMMC-certificering nodig? Dit artikel legt uit hoe die betrokkenheid eruitziet en wat er nodig is om van de eerste voorbereiding naar compliance te komen.
Hebben MSP’s dus een CMMC-certificering nodig?
Ja, onder bepaalde voorwaarden. MSP’s hebben mogelijk een CMMC-certificering nodig als zij CUI (Controlled Unclassified Information) verwerken, toegang hebben tot systemen binnen de scope of diensten leveren die van invloed zijn op de controlomgeving van de klant voor CMMC. Levert de MSP alleen beperkte ondersteuning buiten de CUI-omgeving, dan is certificering misschien niet verplicht, maar moeten de verantwoordelijkheden nog steeds duidelijk vastliggen.
Hoe belangrijk is CMMC voor MSP’s?
CMMC-compliance wordt een basisvereiste voor organisaties die CUI verwerken in het kader van een contract met het Department of Defense. Ondersteunt uw MSP dit soort organisaties, dan is het belangrijk te beseffen dat die eis ook geldt voor de diensten die zij leveren en voor de manier waarop zij die leveren.
Welke uitdagingen spelen er doorgaans voordat de MSP aan de slag gaat?
Om een CMMC-compliant MSP te zijn, is het nodig te begrijpen hoe de klantomgeving eruitziet voordat het werk begint. Veel organisaties die CMMC niveau 2 nastreven, starten vanuit een positie die lastiger te hanteren is dan ze op het eerste gezicht lijkt.
Veelvoorkomende uitdagingen bij de start zijn onder meer:
- Geen gedocumenteerde implementatie van controls: controls zijn mogelijk al aanwezig, maar niet gedocumenteerd. Daardoor is er misschien geen enkele manier om aan te tonen dat ze werken of dat iemand er verantwoordelijk voor is.
- Inconsistente systeemconfiguraties: apparaten en systemen in de omgeving zijn verschillend geconfigureerd. Daardoor is het lastiger om een consistente beveiligingsbasislijn af te dwingen of te bepalen waar de hiaten zitten.
- Beperkt zicht op de compliancestatus: zonder monitoring weten organisaties vaak niet aan welke eisen ze wel en aan welke ze niet voldoen.
- Hiaten in monitoring en rapportage: er is geen betrouwbare registratie van systeemactiviteit of handhaving van controls, wat problemen oplevert zodra er auditbewijs moet worden geleverd.
- Onduidelijk eigenaarschap van verantwoordelijkheden: het is niet altijd duidelijk wie verantwoordelijk is voor specifieke controls, waardoor er hiaten ontstaan die noch de klant noch de MSP heeft aangepakt.
Deze punten sluiten een organisatie niet uit van CMMC, maar ze betekenen wel dat er meer voorbereidend werk nodig is voordat de implementatie echt kan beginnen.
Diensten afstemmen op de CMMC-eisen
Voordat er controls kunnen worden geïmplementeerd, moeten MSP’s een helder beeld hebben van hoe de klant ervoor staat ten opzichte van de CMMC-eisen voor MSP’s. Het is ook cruciaal om te weten welke diensten moeten worden aangepast of toegevoegd om de hiaten te dichten.
Deze fase draait grotendeels om afstemming en vraagt om de volgende taken:
- Bestaande systemen koppelen aan vereiste controls: bekijk wat er al is en zet dat af tegen de controls van CMMC niveau 2. Zo hebben de MSP en de klant een duidelijk startpunt en voorkomt u dubbel werk verderop.
- Hiaten in de implementatie vaststellen: zodra die koppeling klaar is legt u vast wat ontbreekt en wat gedeeltelijk is geïmplementeerd, samen met de onderdelen die niet aan de vereiste norm voldoen. Dit vormt de basis voor het herstelplan.
- Verantwoordelijkheidsgrenzen bepalen: maak duidelijk welke controls de MSP in beheer heeft, welke de klant en vooral welke gedeeld zijn. Ongedefinieerde en vage grenzen zijn een van de meestvoorkomende redenen dat controls tijdens de implementatie over het hoofd worden gezien.
- Prioriteiten stellen bij herstelwerkzaamheden: niet elk hiaat brengt hetzelfde risico met zich mee. Richt u eerst op controls die rechtstreeks van invloed zijn op de auditgereedheid of waarvan andere controls afhankelijk zijn en pak daarna pas de minder urgente punten op.
Deze fase bepaalt de richting van de implementatie en van alles wat daarna komt. MSP’s die deze fase overslaan of er te snel doorheen gaan stuiten later in het proces op hiaten die relatief lastiger te herstellen zijn.
Controls implementeren en handhaven als CMMC-compliant MSP
Zodra de hiaten in kaart zijn gebracht en de verantwoordelijkheden tussen MSP en klant zijn vastgelegd, ligt de focus op het daadwerkelijk inrichten van de controls. In dit deel wordt de betrokkenheid van de MSP bij CMMC niveau 2 het duidelijkst zichtbaar. Dat komt vooral doordat de kwaliteit van de handhaving in deze fase bepaalt of de controls tijdens een beoordeling standhouden of niet.
Belangrijke implementatiewerkzaamheden zijn onder meer:
- Endpointconfiguraties standaardiseren: u moet consistente beveiligingsbasislijnen toepassen op alle apparaten binnen de scope. Endpoints die verschillend zijn geconfigureerd leveren inconsistenties op die beoordelaars zullen aanmerken.
- Patch- en vulnerability management: richt een herhaalbaar proces in om kwetsbaarheden in systemen binnen de scope op te sporen en te verhelpen. Niet-gepatchte systemen zijn een van de meestvoorkomende bevindingen bij CMMC-beoordelingen.
- Toegangscontrole en rechtenbeheer: dwing het principe van minste voorrecht af voor gebruikersaccounts en beheerderstoegang. Daar hoort bij dat u bestaande accounts doorneemt en onnodige rechten intrekt. Bovendien moet u vastleggen hoe toegang wordt verleend en ingetrokken.
- Logging en monitoring: zet logging op voor systemen binnen de scope en controleer of logs worden verzameld, bewaard en beoordeeld. Monitoring zonder bewaar- en beoordelingsproces voldoet niet aan de eis van de control.
Controls die wel zijn geïmplementeerd maar niet consistent worden gehandhaafd gelden tijdens een beoordeling niet als operationeel. Daarnaast is het handhaven van die controls een doorlopende verantwoordelijkheid en geen eenmalige klus.
Compliancemonitoring en rapportage inrichten
Controls kunnen na de implementatie gaan afwijken. Systemen worden gewijzigd, configuraties aangepast en er komen nieuwe apparaten bij zonder dat die hetzelfde inrichtingsproces doorlopen. Compliancemonitoring voor beheerde diensten vangt die afwijking op voordat het een auditbevinding wordt.
Deze monitoringactiviteiten moeten na de implementatie actief blijven:
- Doorlopende validatie van systeemconfiguraties: controleer regelmatig of de configuraties van systemen binnen de scope nog overeenkomen met de vereiste basislijn. Wijzigingen die onopgemerkt blijven kunnen eerder verricht werk ongemerkt tenietdoen.
- Afwijkingen van compliancebasislijnen opsporen: stel notificaties of geautomatiseerde controles in die aangeven wanneer een systeem uit de pas loopt. Door afwijkingen vroeg op te merken, blijft het herstel behapbaar.
- Herstelwerkzaamheden blijven volgen: houd doorlopend bij welke hiaten zijn vastgesteld en wat de status van de oplossing is. Zo zien de MSP en de klant wat openstaat, wat loopt en wat is opgelost.
Compliancerapportage voor MSP’s hangt direct samen met auditgereedheid. Rapporten moeten laten zien:
- Bewijs van handhaving van controls: documentatie waaruit blijkt dat controls actief zijn en werken en niet alleen dat ze ooit zijn geconfigureerd.
- Historische registraties voor auditvalidatie: een consistente registratie van monitoringactiviteit en herstel in de loop van de tijd geeft beoordelaars het bewijs dat zij nodig hebben om blijvende compliance vast te stellen.
- Zicht op de compliancestatus: regelmatige rapportage houdt de klant op de hoogte en verkleint de kans op verrassingen als de datum van de beoordeling nadert.
Monitoring en rapportage maken van een eenmalige implementatie een complianceprogramma dat kritische toetsing doorstaat.
Voorbereiden op auditvalidatie
Voor CMMC niveau 2-certificering is meer nodig dan alleen controls inrichten. Organisaties moeten aantonen dat die controls werken, gedocumenteerd zijn en consistent zijn gehandhaafd. Juist daar lopen veel organisaties vast zonder gestructureerde ondersteuning van een MSP.
MSP’s ondersteunen auditgereedheid door:
- Documentatie voorbereiden: systeembeveiligingsplannen, beleid en procedures moeten volledig en accuraat zijn en weergeven wat er daadwerkelijk is geïmplementeerd. Beoordelaars leggen documentatie naast de echte configuraties, dus verschillen tussen die twee zijn een veelvoorkomende bron van bevindingen.
- Bewijs verzamelen en ordenen: bewijs van handhaving van controls moet worden verzameld, voorzien van labels en geordend voordat de beoordeling begint. Tijdens een beoordeling alsnog bewijs bij elkaar sprokkelen kost tijd en maakt een slechte indruk.
- De klant ondersteunen in het contact met beoordelaars: MSP’s helpen klanten om vragen van beoordelaars accuraat en consistent te beantwoorden. Tegenstrijdige antwoorden over de manier waarop controls zijn geïmplementeerd kunnen twijfel oproepen, zelfs als de controls zelf goed werken.
- Vastgestelde hiaten vóór de beoordeling aanpakken: hiaten die bij voorbereidende reviews naar voren komen moeten worden hersteld en gedocumenteerd voordat de formele beoordeling begint. Met voldoende voorbereidingstijd hoeft u een beoordeling niet in te gaan met bekende openstaande bevindingen.
Organisaties die auditvoorbereiding als een afzonderlijke fase behandelen in plaats van als checklist op het laatste moment staan veel sterker wanneer de beoordelingsdatum aanbreekt.
Resultaten en langetermijneffect van CMMC-certificering
Organisaties die de implementatie van CMMC niveau 2 met ondersteuning van een MSP afronden komen er meetbaar beter uit dan ze eraan begonnen.
Veelvoorkomende resultaten zijn onder meer:
- Meer zicht op het beveiligingsbeleid: de monitoring en rapportage die tijdens de implementatie zijn ingericht geven organisaties doorlopend een helderder beeld van hoe hun omgeving presteert ten opzichte van de compliance-eisen.
- Meer consistentie tussen systemen: gestandaardiseerde configuraties en afgedwongen basislijnen zorgen ervoor dat apparaten en systemen in de omgeving zich hetzelfde gedragen, waardoor de variatie afneemt die compliancehiaten veroorzaakt.
- Minder risico op compliancehiaten: doorlopende monitoring signaleert afwijkingen voordat het bevindingen worden, waardoor de omgeving tussen beoordelingscycli in lijn blijft.
- Betere auditgereedheid: organisaties die hun complianceprogramma onderhouden blijven klaar voor herbeoordeling zonder elke keer een grote voorbereidingsinspanning.
Beheerde CMMC-compliancediensten houden die resultaten in stand. Zonder doorlopende ondersteuning glijden omgevingen doorgaans terug naar de versnipperde situatie van vóór de implementatie.
Lessen uit implementaties in de praktijk
Organisaties die een implementatie van CMMC niveau 2 met MSP-ondersteuning hebben doorlopen komen vaak tot dezelfde lessen, ongeacht hun omvang of branche. Het loont om deze patronen te kennen voordat u aan het proces begint.
Terugkerende lessen uit de praktijk zijn onder meer:
- Compliance moet onderdeel zijn van de dagelijkse werkzaamheden: organisaties die compliance als een losse werkstroom behandelen hebben moeite het vol te houden. Controls moeten deel uitmaken van de manier waarop de omgeving dagelijks wordt beheerd en geen parallel traject zijn naast de normale werkzaamheden.
- Documentatie moet de werkelijke implementatie weergeven: beoordelaars toetsen documentatie aan de echte configuraties. Documentatie die beschrijft hoe controls zouden moeten werken in plaats van hoe ze daadwerkelijk werken is een van de meestvoorkomende bronnen van auditbevindingen.
- Doorlopende monitoring is essentieel: controls die worden geïmplementeerd en daarna aan hun lot worden overgelaten lopen sneller uit de pas dan de meeste organisaties verwachten. Monitoring houdt het complianceprogramma tussen beoordelingen door werkend.
- Duidelijke verantwoordelijkheidsgrenzen voorkomen hiaten: als onduidelijk is of de MSP of de klant eigenaar is van een specifieke control blijft die vaak onbeheerd. Door het eigenaarschap vroeg vast te leggen en het bij te stellen naarmate de samenwerking zich ontwikkelt, voorkomt u dat controls tussen wal en schip vallen.
- Vroeg beginnen vermindert wrijving: organisaties die ruim vóór hun beoordelingsdatum starten met documentatie, bewijsverzameling en het dichten van hiaten doorlopen het traject soepeler en worden minder vaak op het laatste moment verrast.
Deze lessen wijzen allemaal op dezelfde onderliggende werkelijkheid: CMMC-compliance is een operationele verplichting en geen project met een vaste einddatum.
Wat MSP’s nodig hebben om blijvende CMMC-compliance te leveren
Compliance met CMMC niveau 2 bereikt u niet met één implementatietraject. Het vraagt om consistente uitvoering op het gebied van afstemming, handhaving van controls, monitoring en auditvoorbereiding en het moet actief blijven nadat de certificering is behaald.
MSP’s die compliance als een doorlopende dienst beschouwen in plaats van als eenmalig project zijn degenen die klanten helpen die compliance vast te houden. Organisaties met de juiste MSP-ondersteuning zijn beter in staat om aan de beoordelingseisen te voldoen, in te spelen op veranderingen in de omgeving en de afwijking te voorkomen die complianceprogramma’s op den duur uit elkaar trekt.
Gerelateerde onderwerpen:
