CMMC-Compliance
Kiteworks und A-LIGN bündeln Kompetenzen für CMMC-Compliance
CMMC 2.0 erhöht den Druck
Für Auftragnehmer der US-Rüstungsindustrie wird der Schutz sensibler Daten zunehmend zur Voraussetzung für neue und bestehende Aufträge. Mit ihrer strategischen Partnerschaft wollen Kiteworks und A-LIGN technische Datenschutzkontrollen und unabhängige Compliance-Prüfungen enger zusammenführen. Im Mittelpunkt steht die Vorbereitung auf CMMC Level 2 und der sichere Umgang mit vertraulichen, nicht klassifizierten Informationen.
Kiteworks und das Prüfungs- und Compliance-Unternehmen A-LIGN haben eine strategische Partnerschaft geschlossen. Ziel ist es, Unternehmen der US-amerikanischen Defense Industrial Base, kurz DIB, beim Schutz sensibler Daten und bei der Vorbereitung auf die Anforderungen des Cybersecurity Maturity Model Certification Program, CMMC 2.0, zu unterstützen.
A-LIGN ist als CMMC Third-Party Assessment Organization, kurz C3PAO, zugelassen und führt unabhängige Bewertungen für Unternehmen durch, die eine CMMC-Level-2-Zertifizierung anstreben. Kiteworks stellt im Rahmen der Zusammenarbeit die technischen Kontrollmechanismen auf Datenebene bereit.
Die Relevanz für den DACH-Raum ist hoch, da zahlreiche hiesige Unternehmen als Zulieferer der Defense Industrial Base (DIB) strikte Vorgaben zum Schutz vertraulicher US-Verteidigungsdaten (CUI) einhalten müssen
Die Partner adressieren damit eine zentrale Herausforderung innerhalb der US-Rüstungszulieferkette: Auftragnehmer müssen nachweisen, dass sie Controlled Unclassified Information, kurz CUI, angemessen schützen. Dabei handelt es sich um sensible, aber nicht als geheim eingestufte Informationen, die Unternehmen im Auftrag von US-Bundesbehörden verarbeiten oder austauschen.
Technische Kontrollen und unabhängige Prüfung bleiben getrennt
Unternehmen können die Kiteworks Control Plane einsetzen, um zahlreiche technische Anforderungen von CMMC Level 2 abzudecken. Dazu gehören insbesondere Kontrollen für den sicheren Austausch, die Speicherung und die Nachverfolgung sensibler Informationen.
Nach Angaben von Kiteworks lassen sich damit auch Bereiche adressieren, in denen bei Prüfungen durch unabhängige Stellen häufig Nachweise fehlen. Dazu zählen etwa unvollständige Audit-Protokolle, unzureichend dokumentierte Zugriffskontrollen oder Schwächen bei der Trennung geschützter Datenbestände.
Die anschließende Bewertung erfolgt unabhängig durch A-LIGN. Unternehmen müssen A-LIGN dafür separat beauftragen. Der Aufgabenbereich des Prüfers beschränkt sich ausdrücklich auf die Bewertung der vorhandenen Kontrollen und Nachweise.
A-LIGN bietet im Rahmen dieser Partnerschaft weder Beratungsleistungen noch technische Abhilfemaßnahmen oder konkrete Empfehlungen zur Implementierung einzelner Sicherheitskontrollen an. Damit soll die für CMMC-Prüfungen erforderliche Unabhängigkeit gewahrt bleiben.
Fehlende Nachweise bremsen Zertifizierungen aus
Die Zusammenarbeit richtet sich sowohl an Unternehmen, die ihre CMMC-Kontrollen erst aufbauen, als auch an Organisationen, die sich bereits im Bewertungsverfahren befinden. Gerade bei fortgeschrittenen Projekten können fehlende Dokumentationen oder unzureichend belegte Kontrollen zu Verzögerungen führen.
Für Auftragnehmer ist dies nicht nur ein technisches oder regulatorisches Problem. Die Einhaltung der CMMC-Anforderungen kann darüber entscheiden, ob ein Unternehmen künftig Aufträge des US-Verteidigungsministeriums erhalten oder bestehende Vertragsbeziehungen fortsetzen darf.
Die Anforderungen betreffen dabei nicht ausschließlich klassische IT-Sicherheitsmaßnahmen. CMMC Level 2 umfasst auch organisatorische, personelle, physische und administrative Kontrollen.
Kiteworks setzt auf abgeschottete Datenumgebungen
Kiteworks verweist im Zusammenhang mit der Partnerschaft auf seine Erfahrungen mit Sicherheits- und Compliance-Prüfungen im US-Bundesumfeld. Das Unternehmen verfügt über die FedRAMP-Autorisierung „Moderate“ und befindet sich nach eigenen Angaben für die Stufe „High“ im laufenden Zulassungsverfahren.
Seit 2017 wurden im Rahmen jährlicher Prüfungen durch unabhängige Third-Party Assessment Organizations insgesamt 325 Kontrollen nach NIST SP 800-53 bestätigt.
Die Kiteworks-Plattform ist zudem nach FIPS 140-3 validiert. Sie wird als gehärtete virtuelle Single-Tenant-Appliance bereitgestellt. Kunden erhalten damit eine logisch getrennte Umgebung, über die sensible Inhalte verwaltet, übertragen und protokolliert werden können.
Eine solche Isolation soll verhindern, dass CUI versehentlich in nicht ausreichend geschützten oder gemeinsam genutzten Systemumgebungen verarbeitet wird. Fehler bei der Abgrenzung des Prüfungsumfangs und der Trennung sensibler Daten gehören laut Kiteworks zu den wiederkehrenden Gründen für notwendige Korrekturmaßnahmen vor einer CMMC-Zertifizierung.
Unternehmen behalten Kontrolle über Schlüssel
Zusätzlich unterstützt Kiteworks das Verschlüsselungsmodell „Hold Your Own Key“, kurz HYOK. Dabei verbleibt die Kontrolle über die kryptografischen Schlüssel beim jeweiligen Unternehmen.
Dies kann insbesondere für Auftragnehmer relevant sein, die den Zugriff externer Dienstleister auf verschlüsselte Daten begrenzen wollen. Gleichzeitig lässt sich dadurch der Umfang der in eine CMMC-Prüfung einbezogenen Systeme und Drittanbieter reduzieren.
Je kleiner der sogenannte Assessment Scope ausfällt, desto überschaubarer können Nachweisführung, Risikobewertung und technische Überprüfung werden. Voraussetzung ist allerdings, dass Datenflüsse und Systemgrenzen eindeutig dokumentiert sind.
A-LIGN bringt Erfahrung aus CMMC und FedRAMP ein
A-LIGN hat nach eigenen Angaben bislang fast 100 CMMC-Level-2-Bewertungen bei Organisationen unterschiedlicher Größe durchgeführt. Die Prüfungen umfassen neben technischen Sicherheitskontrollen auch Governance, Personalprozesse, physische Sicherheit und organisatorische Vorgaben.
Darüber hinaus gehört das Unternehmen nach eigener Darstellung zu den führenden FedRAMP-Prüforganisationen. Die Auditoren sollen dadurch mit den Anforderungen vertraut sein, die US-Bundesbehörden an Compliance-Nachweise, Dokumentationen und Begründungen stellen.
Für Unternehmen der Defense Industrial Base entsteht durch die Partnerschaft damit ein klar getrenntes Modell: Kiteworks liefert die technische Plattform für den Schutz und die Kontrolle sensibler Daten, während A-LIGN die implementierten Maßnahmen unabhängig bewertet.
CMMC wird zum geschäftskritischen Faktor
Mit der schrittweisen Einführung von CMMC 2.0 steigt der Druck auf Unternehmen, die Teil der US-amerikanischen Verteidigungslieferkette sind. Gefordert werden nicht nur wirksame Sicherheitsmaßnahmen, sondern auch belastbare und jederzeit überprüfbare Nachweise.
Technische Kontrollen allein reichen deshalb nicht aus. Unternehmen müssen zeigen können, dass Richtlinien, Prozesse, Zugriffe und Sicherheitsereignisse konsistent dokumentiert und über längere Zeiträume nachvollziehbar sind.
Die Partnerschaft von Kiteworks und A-LIGN setzt genau an dieser Schnittstelle an. Sie verbindet eine Plattform für den kontrollierten Umgang mit sensiblen Daten mit einer formal unabhängigen Prüfung – ohne die Rollen von Technologieanbieter und Auditor zu vermischen.
