Travaux CMMC. Aiguisons-le maintenant.

J’ai créé le modèle de certification de maturité en matière de cybersécurité parce que l’auto-attestation mettait en échec notre base industrielle de guerre. Les entrepreneurs pouvaient simplement promettre qu’ils suivaient des pratiques de base en matière de cybersécurité, sans aucune vérification derrière cette promesse. Nos adversaires ont remarqué cet écart bien avant Washington – et ils ne se sont pas atténués depuis. Au contraire, c’est le contraire qui est vrai.

Les acteurs des États-nations et les équipes de ransomware qu’ils tolèrent ou dirigent sont plus agressifs, mieux financés et plus rapides qu’il y a cinq ans. Ce n’est pas le moment d’assouplir les normes. Les exigences du Supplément à la réglementation fédérale sur les acquisitions de la Défense derrière la CMMC ne devraient pas changer, et je ne les soutiendrais pas si elles le faisaient.

Mais défendre un programme ne signifie pas prétendre qu’il est parfaitement ciblé. Maintenant que la CMMC est une règle définitive pour les contrats réels, c’est le bon moment pour se demander : la ciblons-nous avec suffisamment de précision ? Je ne pense pas que ce soit encore le cas – et l’intelligence artificielle, utilisée correctement, peut aider à résoudre ce problème sans toucher à la barre de la cybersécurité elle-même.

Le problème est le ciblage, pas la norme

Les exigences de la CMMC reposent sur des informations contrôlées et non classifiées. Mais les déterminations du CUI dans l’ensemble de la base industrielle de guerre sont incohérentes : deux sous-traitants effectuant un travail presque identique peuvent se retrouver avec des évaluations complètement différentes, car l’appel dépend toujours d’un jugement manuel avec une visibilité incomplète sur la manière dont les données circulent réellement. Certaines petites entreprises se retrouvent confrontées à de lourdes charges d’évaluation pour des données qui ne sont pas vraiment CUI. D’autres traitant des données réelles et sensibles s’en sortent avec des exigences plus légères. Aucun des deux résultats ne contribue à la sécurité nationale ; le premier gaspille l’argent consacré à la conformité, le second laisse les risques réels sans réponse.

L’IA peut ici effectuer le premier tri – en signalant les CUI probables à partir du libellé du contrat et des énoncés de travail et en détectant les inadéquations entre ce que désigne un contrat principal et ce qui revient réellement aux sous-traitants – de manière beaucoup plus cohérente que la mosaïque d’examens manuels d’aujourd’hui. Dans ce scénario, c’est toujours un humain détenant l’autorité contractante qui prend la décision finale. Mais cet humain devrait travailler à partir d’un bien meilleur point de départ que celui que nous leur donnons actuellement.

Les petites entreprises sont l’économie, pas seulement la chaîne d’approvisionnement

Les petites entreprises représentent 99,9 % des entreprises américaines et emploient près de la moitié de la main d’œuvre du secteur privé. Et à l’heure actuelle, ils sont confrontés à des menaces contre lesquelles la plupart ne sont pas équipés : des ransomwares qui peuvent arrêter les opérations du jour au lendemain ; Une fraude basée sur l’IA qui est plus difficile à détecter chaque année, et un bilan à venir lorsque l’informatique quantique brisera le cryptage standard actuel. La menace quantique est déjà réelle, puisque les données récoltées maintenant peuvent simplement être décryptées plus tard.

Je suis heureux que la Small Business Administration s’intéresse à cela. Son programme pilote de cybersécurité pour les petites entreprises a réalisé un réel travail en finançant la formation par l’intermédiaire de partenaires étatiques. Mais les subventions à la formation ne sont pas un capital, et aucun conseil ne permet à un petit fabricant de récupérer un ransomware ou de mettre à niveau un cryptage résistant aux quantiques. Les petites entreprises ne peuvent pas obtenir un financement avantageux pour la cybersécurité comme elles le peuvent pour l’équipement, car la plupart des prêteurs ne savent pas comment le garantir.

Nous avons besoin d’un programme de prêt SBA dédié aux investissements dans la cybersécurité – ouvert à toutes les petites entreprises, pas seulement à celles travaillant avec le ministère de la Guerre – pour financer des éléments tels que le déploiement de l’authentification multifacteur, la détection des points finaux, la réponse aux incidents et la migration précoce vers un cryptage résistant aux quantiques, avant qu’il ne s’agisse d’une urgence plutôt que d’un plan.

Même mission, deux fronts

À l’intérieur de la base industrielle de guerre, utilisez l’IA pour vous assurer que les appels CUI et leur flux correspondent à la réalité. En dehors de cela, donnez à l’économie des petites entreprises dans son ensemble le capital nécessaire pour se défendre contre des adversaires qui deviennent de plus en plus agressifs. Je continue de croire que les promesses non vérifiées ne constituent pas une stratégie de sécurité. Mais la précision et le soutien ne sont pas les ennemis de la sécurité : ce sont eux qui la rendent durable.

Affinez la manière dont nous ciblons CMMC et ouvrons la porte à chaque petite entreprise pour qu’elle investisse dans sa propre base de guerre. Cela ne baisse pas la barre. C’est s’assurer que le bar fait son travail.

Katie Arrington est une ancienne législatrice de l’État de Caroline du Sud et responsable de la cybersécurité qui a occupé le poste de RSSI du DOD pour l’acquisition et le maintien à partir de 2019, puis est revenue en tant que RSSI du DOD/PTDO DOD CIO sous la deuxième administration Trump. Elle a dirigé les efforts initiaux du Pentagone pour créer le programme CMMC pour les sous-traitants de la défense à partir de 2019, motivée par la conviction que les sous-traitants devaient réellement prouver – et pas seulement s’auto-attester – leur conformité en matière de cybersécurité afin de protéger les données sensibles de la défense contre les adversaires. Son engagement dans le programme a été décrit comme découlant d’une mission profondément personnelle visant à protéger la base industrielle de défense contre les cybermenaces qui mettent en danger la sécurité nationale.