Министерство обороны США вводит жёсткие киберправила для подрядчиков

Министерство обороны США (DoD) опубликовало новые жёсткие требования для потенциальных подрядчиков. Новая система стандартов Cybersecurity Maturity Model Certification 2.0 (CMMC 2.0) определяет строгие условия для тех, кто рассчитывает получить контракты с Пентагоном. Эти правила окончательно вступят в силу 10 ноября 2025 года. Как отметила исполняющая обязанности главного информационного директора Пентагона Кэти Аррингтон, ведомство ожидает, что подрядчики поставят национальную безопасность США в приоритет и докажут это системой кибербезопасности.

CMMC 2.0 делит требования на три уровня, в зависимости от чувствительности обрабатываемых данных. Те, кто не выполнит стандартов, не смогут участвовать в тендерах Министерства обороны.

Внедрение CMMC прошло сложно и затянулось: первые версии жёстко критиковали представители кибербезопасности, особенно в годы администрации Дональда Трампа, из-за перегруженности и чрезмерной нагрузки на малый и средний бизнес. В CMMC 2.0 систему упростили: раньше было пять уровней, теперь их всего три. На первом уровне (наименьшая ответственность) заказчики могут сами проводить самооценку безопасности, на втором потребуется внешняя проверка, а для третьего понадобится аудит со стороны специального центра Минобороны.

Кроме этого, новые стандарты включают механизм "планов действий и этапов" для компаний, не сразу прошедших сертификацию — им даётся 180 дней условного допуска, чтобы подтянуть кибербезопасность до нужного уровня.

Минобороны США пришлось заняться обновлением правил после серьёзных проблем с IT: проверка выявила, что четыре критически важных военных программы не соответствовали стандартам по кибербезопасности и не имели конкретных планов перехода на более продвинутую схему защиты Zero Trust (архитектура нулевого доверия) к 2027 году.