Η Φάση ΙΙ του CMMC σε Αναστολή: Οι Υποχρεώσεις Ασφάλειας Δεδομένων Παραμένουν

Το Πεντάγωνο πάτησε «παύση» στην εφαρμογή του CMMC Phase II και μισή Αμερική αναρωτιέται αν μπορεί επιτέλους να χαλαρώσει. Λάθος συμπέρασμα. Το ίδιο λάθος κάνουν συχνά και ελληνικές εταιρείες που δουλεύουν, άμεσα ή έμμεσα, με αμυντικά προγράμματα ΝΑΤΟ. Σου εξηγούμε γιατί η παύση είναι διοικητική λεπτομέρεια, όχι άδεια χαλάρωσης.

Τι είναι το CMMC και γιατί «πάγωσε»

Το Cybersecurity Maturity Model Certification (CMMC) είναι το πλαίσιο πιστοποίησης που το αμερικανικό Υπουργείο Άμυνας απαιτεί από κάθε εταιρεία που χειρίζεται Controlled Unclassified Information (CUI) στο πλαίσιο αμυντικών συμβάσεων. Δεν είναι νέα ιδέα — χτίζεται πάνω στο NIST SP 800-171, το πρότυπο ασφάλειας που ισχύει ήδη από το 2017 μέσω της ρήτρας DFARS 252.204-7012.

Η «παύση» που προκάλεσε τον σάλο αφορά τη μηχανική της πιστοποίησης — δηλαδή πότε και πώς θα γίνονται οι επίσημοι audits επιπέδου 2 και 3. Δεν αφορά κατάργηση των απαιτήσεων ασφάλειας. Όπως σημειώνει ο John Grancarich, EVP Defense & Intelligence στην Fortra, οι συμβατικές υποχρεώσεις γύρω από το DFARS και το NIST 800-171 «παραμένουν σε ισχύ ανεξάρτητα από αλλαγές στο χρονοδιάγραμμα εφαρμογής του CMMC».

Με απλά λόγια: η βιτρίνα κλείνει προσωρινά, το μαγαζί μένει ανοιχτό.

Τι αλλάζει και τι δεν αλλάζει στην πράξη

Ο πειρασμός για κάθε compliance officer είναι να δει την παύση ως ευκαιρία για αναβολή προϋπολογισμών ασφάλειας. Αυτό είναι το ακριβώς λάθος timing. Οι επιθέσεις σε αλυσίδες εφοδιασμού αμυντικών προγραμμάτων δεν έχουν πάρει παύση — αντίθετα, εντείνονται όσο η προσοχή στρέφεται αλλού.

Όσα ΔΕΝ αλλάζουν:

• Η υποχρέωση προστασίας CUI μέσω DFARS 7012
• Οι απαιτήσεις τεχνικού ελέγχου του NIST SP 800-171
• Οι υποχρεώσεις αναφοράς περιστατικών (incident reporting)
• Η ευθύνη έναντι υπεργολάβων και προμηθευτών

Όσα αλλάζουν:

• Το χρονοδιάγραμμα των επίσημων C3PAO assessments
• Η πίεση «προθεσμίας» που ωθούσε οργανισμούς να επενδύσουν πριν το audit

Το ρίσκο δεν είναι νομικό μόνο — είναι λειτουργικό. Οργανισμοί που «παγώνουν» πρωτοβουλίες ασφάλειας συχνά ανακαλύπτουν κενά σε access control, MFA, audit logging και τεκμηρίωση ακριβώς τη στιγμή που τα assessments ξαναρχίζουν, αναγκάζοντάς τους να ξεκινήσουν από το μηδέν αντί να συνεχίσουν από εκεί που είχαν μείνει.

Γιατί αφορά και ελληνικές εταιρείες

Εδώ είναι το σημείο που τα περισσότερα ελληνικά μέσα θα το προσπερνούσαν ως «αμερικανικό ζήτημα». Δεν είναι.

Ελληνικές εταιρείες πληροφορικής, αμυντικής βιομηχανίας και ναυπηγικού τομέα λειτουργούν συχνά ως υπεργολάβοι δεύτερου ή τρίτου επιπέδου σε προγράμματα που τελικά καταλήγουν σε αμερικανικούς primes ή σε κοινά προγράμματα ΝΑΤΟ. Αν η αλυσίδα εφοδιασμού σου αγγίζει, έστω και έμμεσα, CUI που προέρχεται από αμερικανικό συμβόλαιο, η απαίτηση για NIST SP 800-171 συμμόρφωση μπορεί να «κατέβει» σε εσένα μέσω συμβατικής ρήτρας — ανεξάρτητα από το αν εσύ βρίσκεσαι στη Θεσσαλονίκη ή στο Ναύπλιο.

Το πρόβλημα που εντοπίζει και ο Grancarich —ότι οι primes έχουν καλή ορατότητα στη δική τους στάση ασφάλειας αλλά «σημαντικά λιγότερη ορατότητα στο πώς οι υπεργολάβοι χειρίζονται controlled information»— είναι ακριβώς το σημείο όπου μια ελληνική εταιρεία μπορεί να γίνει ο αδύναμος κρίκος που κοστίζει σε όλη την αλυσίδα.

Στο TechNoid έχουμε ήδη καλύψει πώς οι απαιτήσεις κυβερνοασφάλειας μεταφράζονται σε πραγματικό κόστος για μικρομεσαίες ελληνικές επιχειρήσεις· αν δεν έχεις διαβάσει την ανάλυσή μας για την οδηγία NIS2 και τι σημαίνει για ελληνικές επιχειρήσεις, είναι η φυσική συνέχεια αυτού του άρθρου.

CMMC vs NIS2: το δίλημμα που ξεχνούν όλοι

Αυτό είναι το σημείο όπου το πρωτότυπο άρθρο σταματά — και εδώ είναι, κατά τη γνώμη μας, το πιο χρήσιμο κομμάτι για έναν Έλληνα αναγνώστη. Ένας οργανισμός που δραστηριοποιείται στην Ελλάδα και ταυτόχρονα εξυπηρετεί αμυντικά προγράμματα ΗΠΑ/ΝΑΤΟ δεν καλείται να διαχειριστεί ένα πλαίσιο συμμόρφωσης, αλλά δύο παράλληλα, με διαφορετική φιλοσοφία επιβολής.

Η οδηγία NIS2 εποπτεύεται στην Ελλάδα από την Εθνική Αρχή Κυβερνοασφάλειας και δεν έχει καμία «παύση» στον ορίζοντα — αντίθετα, βρίσκεται σε φάση σκλήρυνσης επιβολής. Αυτό σημαίνει ότι μια ελληνική εταιρεία δεν μπορεί να χαλαρώσει επικαλούμενη το αμερικανικό freeze, γιατί το ευρωπαϊκό της μέτωπο κινείται προς αντίθετη κατεύθυνση.

Η άποψή μας στο TechNoid

Το άρθρο του Grancarich έχει προφανές εμπορικό κίνητρο —η Fortra πουλάει εργαλεία data classification— αλλά αυτό δεν ακυρώνει τη βασική του θέση, που τη συμμεριζόμαστε πλήρως: η συμμόρφωση δεν είναι project με deadline, είναι ικανότητα που είτε την έχεις είτε δεν την έχεις όταν χτυπήσει η κρίσιμη στιγμή.

Αυτό που θα προσθέταμε εμείς, και που λείπει εντελώς από το πρωτότυπο κείμενο, είναι η ελληνική/ευρωπαϊκή διάσταση: αν είσαι υπεργολάβος ή προμηθευτής σε αμυντικά προγράμματα, δεν έχεις την πολυτέλεια να περιμένεις καμία από τις δύο ρυθμιστικές αρχές. Η στρατηγική που θα προτείναμε εμείς είναι να χτίσεις γύρω από NIST SP 800-171 ελέγχους που καλύπτουν ταυτόχρονα και τις απαιτήσεις NIS2 — access control, MFA, καταγραφή συμβάντων, ορατότητα σε προμηθευτές — γιατί το 70% των τεχνικών μέτρων επικαλύπτεται. Όποιος περιμένει «καθαρές» οδηγίες και από τις δύο πλευρές του Ατλαντικού πριν κινηθεί, θα βρεθεί να τρέχει με δύο ξεχωριστά sprint ταυτόχρονα, τη στιγμή που θα μπορούσε να έχει κάνει ένα.