Belangrijkste punten
- Startpunt voor de CMMC-implementatie: MSP’s moeten hun bestaande diensten in kaart brengen tegenover de NIST 800-171-controls voordat zij wijzigingen doorvoeren. Zo bepalen zij welke eisen al gedekt zijn en wie verantwoordelijk is voor het dichten van de hiaten.
- Toegangsbeheer is het risicovolste gebied binnen CMMC level 2: het handhaven van minste voorrecht en MFA behoren tot de meest voorkomende bronnen van bevindingen wanneer ze niet consistent worden toegepast op alle systemen binnen de scope.
- Configuratiedrift vergroot de compliance-hiaten: systemen die bij de uitrol correct zijn geconfigureerd, blijven niet vanzelf in lijn. Regelmatige validatie tegenover een gedocumenteerde baseline houdt de omgeving in de vereiste staat.
- Documentatie die niet overeenkomt met de implementatie is een veelvoorkomende reden voor een mislukte audit: assessors toetsen controls aan de werkelijke staat van het systeem. Beleid dat beschrijft hoe dingen zouden moeten werken in plaats van hoe ze echt werken, leidt rechtstreeks tot bevindingen.
- Consistentie op alle systemen binnen de scope is een vereiste: controls die per omgeving anders worden toegepast, roepen vragen op. Herhaalbare processen die elke keer hetzelfde resultaat opleveren, maken een complianceprogramma verdedigbaar.
Cybersecurity Maturity Model Certification (CMMC) level 2 vereist dat organisaties een vastgelegde set beveiligingscontrols implementeren en onderhouden op basis van NIST SP 800-171. Kort gezegd is dat een publicatie van het National Institute of Standards and Technology (NIST) die de beveiligingseisen beschrijft voor het beveiligen van CUI (Controlled Unclassified Information). Voor MSP’s betekent dit dat zij die eisen moeten vertalen naar systemen en processen die werken in klantomgevingen, en niet alleen moeten adviseren wat er nodig is.
In dit artikel leest u hoe MSP’s CMMC level 2-controls in hun omgevingen kunnen implementeren en hoe consistente handhaving eruitziet op endpoints, gebruikers en infrastructuur.
Hoe kunnen MSP’s voldoen aan de CMMC 2.0-compliance-eisen?
Om aan de CMMC 2.0-compliance-eisen te voldoen, moeten MSP’s controls in de praktijk brengen op elk systeem. Dat begint met inzicht in de structuur van level 2 en met de kennis hoe elke eis aansluit op de diensten die zij leveren.
De structuur van de CMMC level 2-eisen begrijpen
De CMMC 2.0-compliance-eisen komen rechtstreeks voort uit NIST 800-171 Rev 2 en omvatten in totaal 110 beveiligingscontrols, verdeeld over 14 controlfamilies. Elke familie richt zich op een specifiek beveiligingsgebied en het is voor MSP’s essentieel om te begrijpen hoe die gebieden samenhangen met de systemen en diensten die zij beheren.
Dit zijn de belangrijkste controlgebieden waarmee MSP’s te maken krijgen:
- Toegangsbeheer: regels die bepalen wie toegang heeft tot welke systemen en onder welke voorwaarden. Denk aan de manier waarop rechten worden toegekend, beoordeeld en ingetrokken.
- Configuratiebeheer: dit gaat over de manier waarop systemen worden ingericht en onderhouden. Het omvat goedgekeurde configuraties en controls, plus de handhaving van de baseline.
- Identificatie en authenticatie: controls die de identiteit van een gebruiker verifiëren voordat toegang wordt verleend, waaronder wachtwoordbeleid, multi-factor authentication en accountbeheer.
- Incidentrespons: processen om beveiligingsincidenten te detecteren, te melden en erop te reageren, inclusief het vastleggen van wat er is gebeurd en hoe het is afgehandeld.
- Systeem- en informatie-integriteit: controls die systemen beschermen tegen malware, ongeautoriseerde wijzigingen en kwetsbaarheden, inclusief Patching en monitoring.
Deze controlgebieden moeten zijn ingericht, worden gehandhaafd en aantoonbaar zijn op alle systemen die binnen de scope van het assessment vallen.
MSP-diensten koppelen aan NIST 800-171-controls
Voordat MSP’s iets implementeren, hebben zij een helder beeld nodig van de manier waarop hun bestaande diensten zich verhouden tot de NIST 800-171-eisen. Deze koppeling verbindt de dagelijkse beheerde diensten met concrete compliance-resultaten.
Het koppelingsproces bestaat uit:
- Bepalen welke diensten elke control ondersteunen: neem de volledige lijst met NIST 800-171-controls door en bepaal welke al worden afgedekt door de bestaande dienstverlening en welke nog helemaal niet.
- Tools en processen koppelen aan controldoelstellingen: breng specifieke tools, configuraties en workflows in verband met de controls waaraan ze voldoen. Daarmee worden hiaten sneller zichtbaar en voorkomt u dat dezelfde dienst zonder onderbouwing voor meerdere controls wordt meegeteld.
- Het eigenaarschap tussen MSP en klant vastleggen: sommige controls vallen volledig onder de verantwoordelijkheid van de MSP, andere bij de klant en weer andere zijn gedeeld. Dit vroeg vastleggen voorkomt dat er later hiaten ontstaan doordat beide partijen denken dat de ander het regelt.
- Zorgen voor een consistente implementatie in alle omgevingen: dezelfde control moet op dezelfde manier worden toegepast op alle systemen binnen de scope. Een inconsistente implementatie is een van de meest voorkomende redenen waarom controls tijdens een assessment niet voldoen.
Een koppeloefening van MSP-diensten aan NIST 800-171 maakt van een lijst met eisen een helder beeld van wat wel is gedekt, wat niet en wie het verschil moet dichten.
Toegangsbeheer en identiteitsbeheer implementeren
Toegangsbeheer is een cruciale factor binnen CMMC level 2. MSP’s die omgevingen beheren waarin CUI wordt opgeslagen of verwerkt, moeten hier strenger handhaven dan bij standaardsystemen.
- Minste voorrecht afdwingen: gebruikers en serviceaccounts mogen alleen toegang hebben tot wat zij voor hun werk nodig hebben. Rechten die verder gaan, vormen beveiligingsrisico’s die als bevinding kunnen worden aangemerkt.
- Gebruikersidentiteiten en authenticatie beheren: alle accounts in de omgeving moeten aan een specifieke persoon zijn gekoppeld. Daarnaast moet MFA (Multi-Factor Authentication) worden afgedwongen voor de systemen binnen deze scope. Gedeelde of generieke accounts zijn binnen CMMC level 2 niet toegestaan.
- Toegang tot systemen met gevoelige data beperken: systemen die CUI verwerken hebben extra toegangsbeperkingen nodig bovenop de standaardcontrols. Toegang moet daarom beperkt blijven tot gebruikers met een gedocumenteerde noodzaak. Bovendien moet regelmatig worden beoordeeld wie toegang heeft.
- Het gebruik van bevoorrechte accounts monitoren: administratieve accounts brengen bij misbruik het grootste risico met zich mee. Het loggen en beoordelen van de activiteit van bevoorrechte accounts is verplicht. Toegangsregistraties moeten bovendien tijdens de assessments kunnen worden overlegd.
Falend toegangsbeheer is een van de meest voorkomende redenen waarom organisaties vastlopen tijdens een CMMC-assessment. Dit gebied vroeg goed inrichten verlaagt het risico in de rest van de implementatie.
Configuratiebeheer en systeemintegriteit handhaven
Configuratiedrift is een sluipend gevaar in een CMMC level 2-omgeving. Zelfs systemen die tijdens de uitrol correct waren geconfigureerd, kunnen na verloop van tijd uit de pas gaan lopen. Zonder een proces om dat te signaleren, stapelen hiaten zich op en komt de hele omgeving in gevaar.
MSP’s kunnen dat op de volgende manieren tegengaan:
- Systeemconfiguraties standaardiseren: MSP’s kunnen voor elk systeemtype een veilige configuratiebaseline definiëren en documenteren. Elk device moet volgens die standaard worden opgebouwd en afwijkingen of uitzonderingen moeten strikt worden vastgelegd.
- Ongeautoriseerde wijzigingen voorkomen: er moeten controls komen die beperken wie configuratiewijzigingen mag doorvoeren. Daarnaast moeten die instellingen een vastgelegd en gedocumenteerd proces doorlopen om ongecontroleerde wijzigingen te beperken.
- Veilige baselines onderhouden: baselines moeten worden herzien en bijgewerkt zodra er nieuwe kwetsbaarheden worden ontdekt of systemen worden gewijzigd. Een baseline die al maanden niet is beoordeeld, sluit mogelijk niet meer aan op de actuele beveiligingsbehoefte.
- De systeemintegriteit in de tijd valideren: controleer regelmatig of systemen nog overeenkomen met hun gedocumenteerde baseline. Geautomatiseerde tools kunnen afwijkingen signaleren, maar iemand moet die bevindingen beoordelen en opvolgen voordat de control als operationeel geldt.
Configuratiebeheer is geen eenmalige klus. Het vraagt doorlopende aandacht om systemen in de staat te houden die compliance vereist.
Logging, monitoring en incidentrespons implementeren
CMMC level 2 verwacht van organisaties meer dan alleen het voorkomen van beveiligingsincidenten. Zij moeten incidenten detecteren, erop reageren en registraties bijhouden waaruit blijkt hoe elk incident is afgehandeld.
De implementatiestappen voor logging, monitoring en incidentrespons zijn:
- Logging inschakelen op systemen en applicaties: logging moet actief zijn op alle systemen binnen de scope en authenticatiegebeurtenissen, configuratiewijzigingen en toegang tot gevoelige data omvatten. Logs die niet worden verzameld, kunnen niet worden beoordeeld of als bewijs worden overlegd.
- Monitoren op verdachte activiteit: logs moeten regelmatig worden beoordeeld, niet alleen verzameld. Monitoringtools kunnen afwijkend gedrag signaleren, maar er moet een vastgelegd proces zijn om op die notificaties te handelen.
- Processen voor incidentrespons inrichten: leg vast hoe beveiligingsincidenten worden geïdentificeerd, geëscaleerd, ingedamd en opgelost. Het proces moet op papier staan en consequent worden gevolgd, niet elke keer opnieuw worden geïmproviseerd.
- Registraties van incidenten en acties bijhouden: elk beveiligingsincident en elke stap die is gezet om het op te lossen, moet worden vastgelegd. Deze registraties dienen als bewijs tijdens assessments en helpen patronen te herkennen die duiden op terugkerende problemen.
Logging en monitoring zonder een gekoppeld incidentresponsproces voldoen maar deels aan de eis. Alle drie moeten samenwerken om aan de verwachtingen van CMMC level 2 te voldoen.
Systemen met gevoelige data beschermen
Systemen die CUI verwerken, vormen het grootste compliancerisico in een CMMC level 2-omgeving. De controls op deze systemen moeten verder gaan dan de standaardbaseline die in de rest van de omgeving wordt gebruikt.
Aanvullende bescherming voor systemen met gevoelige data bestaat uit:
- Toegang tot gevoelige omgevingen beperken: toegang tot systemen die CUI opslaan of verwerken, moet beperkt blijven tot gebruikers met een gedocumenteerde en goedgekeurde noodzaak. Toegangslijsten moeten regelmatig worden beoordeeld en bijgewerkt wanneer rollen veranderen.
- Encryptie en databescherming toepassen: CUI moet versleuteld zijn in rust en tijdens transport. De encryptie-eisen gelden voor opslag, back-ups en alle data die tussen systemen of over netwerken wordt verplaatst.
- Toegang tot en verplaatsing van data monitoren: houd bij wie CUI benadert, wanneer en vanaf welke locatie. Afwijkende toegangspatronen moeten worden gesignaleerd en onderzocht en de monitoringregistraties moeten voor auditdoeleinden worden bewaard.
- Veilige omgang met data waarborgen: leg vast hoe CUI wordt aangemaakt, opgeslagen, gedeeld en vernietigd. Medewerkers die met gevoelige data werken, moeten weten wat er van hen wordt verwacht en elke keer dezelfde procedures volgen.
De manier waarop deze systemen worden beveiligd, is een van de gebieden waar assessors het scherpst naar kijken. Hiaten hier wegen zwaarder dan hiaten in minder risicovolle delen van de omgeving.
Documentatie in lijn houden met de implementatie
Documentatie die niet overeenkomt met wat er daadwerkelijk is ingericht, is een van de meest voorkomende oorzaken van auditbevindingen bij CMMC-assessments. Assessors vergelijken wat er op papier staat met wat zij in de omgeving kunnen verifiëren en verschillen daartussen roepen vragen op die ter plekke lastig te beantwoorden zijn.
Deze documentatie moet actueel en accuraat blijven:
- Systeemconfiguraties en handhaving van controls: leg vast hoe elke control is geïmplementeerd, op welke systemen die van toepassing is en hoe die wordt gehandhaafd. Dat geeft assessors een helder referentiepunt en beperkt het heen-en-weergepraat tijdens het assessment.
- Beleid en procedures: beleid beschrijft wat er vereist is en procedures beschrijven hoe het wordt uitgevoerd. Beide moeten de huidige praktijk weerspiegelen en niet een eerdere versie van de omgeving.
- Aansluiting op het werkelijke systeemgedrag: beoordeel documentatie regelmatig en werk die bij zodra configuraties of processen wijzigen. Documentatie die een halfjaar geleden klopte, geeft misschien niet meer weer wat er vandaag in de omgeving draait.
Documentatie actueel houden is een doorlopende verantwoordelijkheid, geen klus vlak voor het assessment. MSP’s die dit als onderdeel van de reguliere dienstverlening zien, staan veel sterker zodra er een assessmentdatum is vastgelegd.
Zorg voor consistentie tussen omgevingen
Een inconsistente implementatie van controls is een van de snelste manieren om auditbevindingen te veroorzaken. Wordt dezelfde control op systemen binnen de scope verschillend toegepast, dan signaleren assessors die variatie en betwijfelen zij of de control wel echt operationeel is.
Dit zijn de stappen die MSP’s moeten zetten om consistentie te behouden:
- Gestandaardiseerde configuraties op alle systemen: elk systeem binnen de scope moet volgens dezelfde baseline worden opgebouwd en onderhouden. Variaties moeten als uitzondering met een duidelijke onderbouwing worden vastgelegd en niet als ongedocumenteerde verschillen blijven bestaan.
- Herhaalbare processen voor het handhaven van controls: controls moeten worden gehandhaafd via vastgelegde processen die elke keer hetzelfde resultaat opleveren, ongeacht wie het werk uitvoert. Processen die afhangen van individuele kennis of inschatting brengen variatie met zich mee die tijdens een assessment lastig te verdedigen is.
- Afstemming tussen omgevingen en eisen: als eisen veranderen of systemen wijzigen, moeten controls worden beoordeeld en bijgewerkt om in lijn te blijven. Een omgeving die bij de implementatie aan de eisen voldeed, kan door opeenstapelende wijzigingen uit de pas gaan lopen.
- Doorlopende validatie van de effectiviteit van controls: regelmatige controles bevestigen dat controls nog werken zoals bedoeld. Validatie moet worden ingepland, gedocumenteerd en opgevolgd zodra er hiaten worden gevonden.
Consistentie in de hele omgeving maakt van losse controlimplementaties een complianceprogramma dat kritische toetsing doorstaat.
Blijf aansluiten op de CMMC 2.0-compliance-eisen
Met het implementeren van controls brengt u de omgeving in een compliant staat. Die staat behouden vraagt doorlopende aandacht naarmate systemen veranderen, eisen zich ontwikkelen en nieuwe kwetsbaarheden opduiken.
Dit zijn de doorlopende activiteiten die MSP’s moeten volhouden:
- Regelmatige beoordeling van de effectiviteit van controls: plan periodieke evaluaties in om te bevestigen dat controls nog werken zoals bedoeld. Wat bij de implementatie effectief was, kan bijstelling nodig hebben naarmate de omgeving verandert.
- Configuraties bijwerken als de eisen veranderen: de CMMC 2.0-compliance-eisen staan niet stil. Wanneer richtlijnen worden geactualiseerd of nieuwe kwetsbaarheden worden ontdekt, moeten configuraties en processen worden beoordeeld en bijgewerkt.
- Aansluiting op de compliance-verwachtingen behouden: houd documentatie, monitoring en de handhaving van controls in lijn met de actuele eisen. Hiaten die tussen assessments ontstaan, zijn moeilijker te dichten naarmate ze langer blijven liggen.
- Verbetering in de tijd ondersteunen: gebruik bevindingen uit interne reviews, incidenten en assessments om de implementatie en het onderhoud van controls te verbeteren. Elke evaluatieronde zou de omgeving sterker moeten achterlaten dan de vorige.
MSP’s die CMMC-compliance als een doorlopende dienst behandelen, zijn degenen die klanten helpen klaar te blijven voor herbeoordeling zonder elke keer een grootschalige herstelactie.
Quick-start guide
NinjaOne ondersteunt de implementatie van CMMC level 2. NinjaOne biedt verschillende mogelijkheden die MSP’s direct helpen bij het implementeren van CMMC level 2-controls:
1. Security Configuration Management (SCM)
- Compliance-benchmarking met no-code-aanpassing: beheerders passen compliance-benchmarks rechtstreeks in het portaal aan
- Vooraf geconfigureerde sjablonen voor beveiligingsverharding op basis van standaarden als CIS en NIST
- Geautomatiseerde handhaving voor Windows met Desired State Configuration (DSC) van Microsoft
2. Patchbeheer
- Geautomatiseerde patch-implementatie op endpoints om kwetsbaarheden aan te pakken
- Patchrapportage met gedetailleerde statusopvolging en inzicht in compliance
- Geplande Patching met fijnmazige goedkeuringscontroles (Kritiek, Belangrijk, Gemiddeld, Laag)
3. Configuratie- en beleidsbeheer
- Centraal beleid opstellen om specifieke beveiligingsconfiguraties af te dwingen voor hele devicegroepen
- Scripting en automatisering voor consistente verharding op meerdere devices
- Realtime monitoring van configuratiewijzigingen en beveiligingsincidenten
4. Toegangsbeheer en identiteitsbeheer
- Rolgebaseerd toegangsbeheer en handhaving van minste voorrecht
- SSO-/SAML-integratie voor identiteitsbeheer
- SCIM-ondersteuning voor geautomatiseerde bevoorrading en deprovisioning van gebruikers
5. Compliance-rapportage
- Uitgebreide compliance-rapporten die aantonen dat u voldoet aan beveiligingsstandaarden
- Inzicht in de configuratiestaat van devices voor auditdoeleinden
- Integratie met beveiligingstools van derden voor centraal beleidsbeheer
6. Remote management en monitoring
- Veilige remote access voor probleemoplossing en beleidshandhaving
- Realtime monitoring van systeemgezondheid en beveiligingsincidenten
- Device-inventaris en asset lifecycle management
Zo leveren en behouden MSP’s CMMC level 2-compliance
Het implementeren van CMMC level 2-controls betekent dat u de NIST 800-171-eisen vertaalt naar werkende systemen en processen die een assessment doorstaan. Diensten koppelen aan controls, consistente configuraties handhaven en documentatie bijhouden die de werkelijke implementatie weergeeft: dat is wat organisaties die slagen onderscheidt van organisaties die zakken.
Compliance stopt niet bij de implementatie. MSP’s die doorlopende evaluatie, monitoring en afstemming in hun dienstverlening inbouwen, geven klanten de beste kans om tussen assessmentcycli compliant te blijven zonder telkens opnieuw te moeten beginnen.
Gerelateerde onderwerpen:
