Certificazione U.S. Cybersecurity Maturity Model (CMMC)

Il Dipartimento della difesa degli Stati Uniti (DoD) richiede attualmente che tutti gli appaltatori e i subappaltatori della difesa interessati implementino i controlli di sicurezza descritti nel documento NIST SP 800-171. Questo requisito è stato introdotto per proteggere le informazioni sui contratti federali (FCI, Federal Contract Information) e le informazioni non classificate controllate (CUI, Controlled Unclassified Information) nell'ambito degli impegni contrattuali delle persone giuridiche interessate (DFARS 252.204-7012). 

Per formalizzare questo requisito e disporre di uno strumento che gli consenta di verificare la conformità alle norme NIST SP800-171, il Dipartimento della Difesa sta sviluppando il programma di certificazione Cybersecurity Maturity Model (CMMC). Quando la norma sarà definitiva, tutti gli appaltatori del Dipartimento della Difesa che hanno sottoscritto un contratto contenente la clausola DFARS 252.204-7012 dovranno raggiungere il livello CMMC richiesto dal suddetto contratto. 

Informazioni generali sul programma CMMC 2.0 

Il 26 dicembre 2023, il Dipartimento della Difesa ha pubblicato una proposta di legge per ascoltare l'opinione dei cittadini. I commenti potranno essere inviati liberamente per un periodo di 60 giorni, dopodiché verranno esaminati dai legislatori, per la pubblicazione della versione finale della norma. In base a queste tempistiche, gli analisti del settore stimano che la pubblicazione della norma definitiva avverrà all'inizio del 2025, e la certificazione CMMC verrà rilasciata al primo gruppo di appaltatori dopo la pubblicazione. Tale data è soggetta a modifiche, in base alle tempistiche del processo decisionale del governo.

Certificazione CMMC e Google Cloud

Il programma CMMC 2.0 prevede tre livelli, che le organizzazioni devono raggiungere a seconda dei requisiti del Dipartimento della Difesa. Anche se le organizzazioni non possono sottoporsi ufficialmente alla valutazione CMMC fino a quando non verrà pubblicata, la norma definitiva Google Cloud si prepara per il Livello CMMC 2 partecipando a valutazioni simulate con il suo C3PAO designato, che supporta i suoi processi di autorizzazione FedRAMP sia per i servizi Google Cloud che per Google Workspace. Quando la norma CMMC 2.0 sarà definitiva, Google intraprenderà la procedura di certificazione formale prevista per i fornitori di servizi cloud (CSP, Cloud Service Provider).

Anche se finora nessuna organizzazione ha ottenuto la certificazione CMMC, Google ha richiesto le valutazioni NIST SP 800-171 allo scopo di prepararsi per il programma CMMC 2.0. Tali report valutazioni sono disponibili nella pagina dedicata a NIST SP 800-171. 

Secondo l'attuale bozza della norma CMMC, gli appaltatori che utilizzano soluzioni cloud per archiviare informazioni CUI devono utilizzare CSP dotati di un'autorizzazione FedRAMP almeno di livello Moderate. Al fine di prepararsi per la certificazione CMMC, gli appaltatori Defense Industrial Base (DIB) che utilizzano i servizi Google Cloud devono consultare la nostra FedRAMP Customer Responsibility Matrix (CRM), nell'ambito del nostro FedRAMP System Security Plan (SSP), al fine di comprendere il modello di responsabilità condivisa correlato alla conformità CMMC futura. Il nostro team di vendita o il tuo rappresentante Google Cloud rimane a tua disposizione per rispondere a qualsiasi domanda e fornirti la documentazione di riferimento.