DFARS Compliance Checkliste

Was sind DFARS und NIST SP 800-171?

Der Schutz von Controlled Unclassified Information (CUI) ist von hohem Belag für das Verteidigungsministerium der USA (Department of Defence, DoD). Diese Daten, bei denen es sich häufig um sensible Informationen handelt, die Datenschutz- und Sicherheitsbelange berühren, geheime Geschäftsinteressen enthalten oder bei Ermittlungen der Strafverfolgungsbehörden von Belang sind, sollen durch die Vorgaben und Anforderungen des Defense Federal Acquisition Regulation Supplement (DFARS) geschützt werden. Dieser Datensicherheitsstandard ist auch unter dem Namen DFARS Cyber Klausel 252.204-7012 bekannt.

Die DFARS beruht auf der NIST Special Publication 800-171. Das vom National Institute of Standards and Technology und dem Under Secretary for Defense Acquisition herausgegebene Regelwerk wurde entwickelt, um sicherzustellen, dass diejenigen, die mit dem Verteidigungsministerium zusammenarbeiten, über Methoden verfügen, die Anforderungen zum Schutz sensibler Informationen zu erfüllen. Damit beseitigte man den vorher herrschenden Flickenteppich an Richtlinien, Verfahren und Kennzeichnungen zum Schutz und zur Kontrolle von CUI.

Die DFARS-Compliance sind für alle Unternehmen, die DoD-bezogene Umsätze generieren, verpflichtend, um ihre sensiblen Daten, die innerhalb ihrer Lieferkette liegen, vor einer Gefährdung zu schützen. Aber auch Unternehmen die in der Zukunft anstreben Umsätze im Zusammenhang mit dem Verteidigungsministerium zu generieren müssen DFARS-konform sein.

Wenn ein Vertragspartner die Cybersicherheitskontrollen nicht einhält, muss er darüber innerhalb von 30 Tagen nach Auftragsvergabe über die Bereiche der Nichteinhaltung informieren. Die Nichteinhaltung der DFARS kann zur Aussetzung des Vertragsverhältnisses, zu finanziellen Strafen, zur Kündigung des Vertrags oder sogar zum Ausschluss von der Zusammenarbeit mit dem Verteidigungsministerium führen.

Nachweise die nach DFARS Compliance wichtig sind

Um einen Nachweis zu erbringen, dass ein Unternehmen die Vorgaben der NIST 800-171 einhält, muss dieses eine Selbstbewertung für alle 110 Kontrollpunkte durchführen und einen Systemsicherheitsplan (System Security Plan = SSP) entwickeln, der beschreibt wir die Sicherheitsanforderungen erfüllt werden. Außerdem einen Aktions- und Abhilfemaßnahmenplan (Plan of Actions and Mitigations = POA&M), um zu zeigen, wann Kontrollen erfolgen und Sicherheitslücken geschlossen werden.

Die Umsetzung dieser Sicherheitskontrollen ist der erste Schritt zur Einhaltung der Vorschriften und kann ein recht umfangreiches Unterfangen sein, insbesondere für Unternehmen mit knappen oder begrenzten Ressourcen. Es ist aber möglich als Unternehmen einen Dritten mit der Durchführung der DFARS-Bewertung zu beauftragen. Eine kostengünstige Alternative ist der Einsatz einer digitalen Lösung, mit der sich die Sicherheitsbewertung schnell durchführen lässt und Dokumente während des Durchlaufs automatisiert werden können. DFARS Compliance Dokumente können intern mit Hilfe von Checklisten verwaltet werden, was je nach Unternehmen und Kenntnis der NIST-Sprache und den technischen Gegebenheiten digital über das Internet möglich ist.

DFARS bedeutet demnach, dass ein Assessment durchgeführt und umfassende Compliance-Dokumente zusammengestellt werden müssen, die live aktualisiert werden und jederzeit für die Einreichung bereit sind. Das US-amerikanische Verteidigungsministerium verlangt die vollständige Einhaltung aller NIST SP 800-171-Kontrollen. Demnach sollten sich Unternehmen keine Sorgen darüber machen, dass sie Zeit und Mühe aufwenden müssen, um die Kontrollen vollständig zu beheben. Der Aktions- und Abhilfemaßnahmenplan (POA&M) und der Systemsicherheitsplan (SSP) sind beides wichtige Dokumente sind, mit denen Unternehmen nachweisen können, dass sie die Kontrollen implementiert und ihre Organisation bewertet haben.

Die Einhaltung von NIST 800-171 verschafft einem Unternehmen letztlich die Oberhand unter den Wettbewerbern. Wenn ein Lieferant die in der DFARS-Klausel 252.204-7012 beschriebenen NIST-Cybersicherheitskontrollen nicht einhält, muss er das Verteidigungsministerium innerhalb von 30 Tagen nach Auftragsvergabe über die Bereiche informieren, wo er die Vorgaben nicht einhalten kann.

Die DFARS Compliance Checkliste als Werkzeug

Der Einsatz einer DFARS Compliance Checkliste ist eine effiziente und zeitsparende Methode, um die 110 Kontrollpunkte regemäßig zu kontrollieren, um die Vertragsbedingungen durchgehend einzuhalten. Die folgenden 14 Kontrollfamilien sollten von einer DFARS Compliance Checkliste durch die Ausrabeitung von entsprechenden Checks abgedeckt werden:

1. Zugriffskontrolle – Beschränkung des Systemzugriffs auf autorisierte Personen.
2. Sensibilisierung und Schulung – Schaffung eines Bewusstsein für das Sicherheitsrisiko, das mit den Aktivitäten der Benutzer*innen verbunden ist. Durchführung von Schulungen zu den geltenden Richtlinien, Standards und Verfahren; und Sicherstellen, dass alle Benutzer*innen in der Ausführung ihrer Aufgaben angemessen geschult sind.
3. Audit und Rechenschaftspflicht – Erstellung, Schutz, Aufbewahrung und Überprüfung von Systemprotokollen.
4. Konfikurationsmanagement – Erstellung von Basiskonfigurationen und Einsatz von stabilen Änderungsmanagementprozessen.
5. Identifizierung und Authentifizierung – Identifizierung und Authentifizierung der Benutzer*innen und Geräte des Informationssystems.
6. Reaktion auf Vorfälle – Entwicklung von Abläufen zur Vorbereitung auf, Erkennung, Analyse, Eindämmung, Wiederherstellung und Reaktion auf Vorfälle.
7. Wartung – Rechtzeitige Wartung von organisatorischen Informationssystemen.
8. Mediensicherung – Schutz, Reinigung und Vernichtung von Medien, die die CUI betreffen.
9. Personalsicherheit – Überprüfung von Personen vor der Autorisierung ihres Zugriffs auf Informationssysteme und Sicherstellung, dass solche Systeme nach der Kündigung oder Versetzung von Personen sicher bleiben.
10. Physischer Schutz – Beschränkung des physischen Zugriffs auf die Einrichtungen sowie Schutz und Überwachung der physischen Einrichtung und der unterstützenden Infrastruktur für die Informationssysteme.
11. Gefährdungsbeurteilung – Bewertung des operativen Risikos im Zusammenhang mit der Verarbeitung, Speicherung und Übertragung von der CUI.
12. Sicherheitsbewertung – Bewertung, Überwachung und Korrektur von Mängeln und Reduzierung oder Beseitigung von Schwachstellen in organisatorischen Informationssystemen.
13. System- und Kommunikationsschutz – Überwachen, Kontrollieren und Schützen von Daten an den Systemgrenzen und Anwenden von architektonischen Entwürfen, Softwareentwicklungstechniken und System-Engineering-Prinzipien, die eine effektive Informationssicherheit fördern.
14. System- und Datenintegrität – Identifizierung, Meldung und rechtzeitige Korrektur von Fehlern in Informationen und Informationssystemen, Schutz des Informationssystems vor bösartigem Code an geeigneten Stellen, Überwachung von Warnungen und Hinweisen zur Informationssicherheit und entsprechende Maßnahmen.

Eine digitalen Anwendung für DFARS Compliance

Die Einhaltung der DFARS-Standards mit einer Checkliste zu prüfen, ist für DoD-Vertragspartner unerlässlich. Die Anwendung der DFARS-Standards schützt das Unternehmen nicht nur vor Sicherheitsverletzungen, sondern gewährleistet auch die Integrität seiner Sicherheitsmaßnahmen.Die Durchführung regelmäßiger Prüfungen durch eine DFARS-Compliance-Selbstbewertung hilft Unternehmen dabei, Daten bereitzustellen, die sie zur Verbesserung ihrer Informationssysteme nutzen können.

Eine digitale Compliance-Software und -App wie Lumiform unterstützt Unternehmen dabei diese DFARS-Compliance-Bewertung mit Hilfe von Checklisten durchzuführen. Das Erfassen, Dokumentieren und Auswerten von Daten und Informationen wird durch eine DFARS-Compliance-Checkliste erleichtert, indem die Ergebnisse strukturiert erfasst und aubereitet werden können. Nutze die Vorteile der Compliance-Software von Lumiform, um deine Informationssysteme zu verbessern:

• Assessments und Prüfungen jederzeit und überall mit jedem mobilen Gerät durchführen – online und offline.
• Nutze eine der zahlreichen Vorlagen aus der Lumiform-Bibliothek für deine DFARS-Compliance-Selbstbewertung und andere Prüfungen.
• Analysiere die gesammelten Daten und decke verbesserungswürdige Bereiche und leite daraus Korrekturmaßnahmen ab.
• Behalte mit der App und Desktopsoftware den Überblick über Prüfungen, Audits und Korrekturmaßnahmen.
• Generiere automatisch Berichte zu deinen Assessments, Audits und Prüfungen und teile sie mit verantwortlichen Personen und Vertragspartnern.
• Alle Daten und Berichte sind sicher in der Cloud gespeichert.