Il Ministero della Difesa ha fissato al 31 dicembre 2026 l'obiettivo per ogni partner industriale di raggiungere la Certificazione Cyber della Difesa di Livello 0. Per le organizzazioni che operano in qualsiasi punto della catena di fornitura della difesa, è giunto il momento di iniziare a prepararsi.
Cinque mesi possono sembrare un periodo di tempo comodo.
Ma una volta che un'organizzazione tiene conto della definizione del proprio ambito, dell'identificazione dei sistemi critici per l'attività, della risoluzione delle lacune di sicurezza, del completamento di Cyber Essentials, della raccolta delle prove e dell'ottenimento di uno slot di valutazione, quella finestra inizia rapidamente a restringersi.
Il Ministero della Difesa ha chiesto a tutti i partner industriali di raggiungere il Livello 0 dello schema Defence Cyber Certification entro il 31 dicembre 2026. Questa aspettativa si estende oltre i principali appaltatori della difesa ai subappaltatori, fornitori di tecnologia, produttori e organizzazioni di servizi professionali che li supportano.
Cos'è la Defence Cyber Certification?
La Defence Cyber Certification, o DCC, è uno schema di garanzia a livello di organizzazione progettato per rafforzare la resilienza informatica lungo la catena di fornitura della difesa del Regno Unito.
Esistono quattro livelli di certificazione, dal Livello 0 al Livello 3, allineati al rischio informatico associato ai contratti che un'organizzazione detiene. Il Livello 0 è il livello di base ed è destinato alle organizzazioni che operano con contratti a profilo di rischio informatico molto basso.
Per raggiungere il Livello 0, un'organizzazione deve possedere una certificazione Cyber Essentials valida che copra tutti i sistemi critici per l'attività applicabili nell'ambito di riferimento. Deve inoltre completare il Questionario di Assicurazione Fornitori di Livello 0 rispetto ai requisiti della DEFSTAN 05-138.
Sebbene il DCC non sia attualmente un requisito legale generale, il MoD ha chiesto a tutti i partner industriali di raggiungere il Livello 0. Laddove il DEFCON 658 sia incluso in un contratto, il DCC può diventare un obbligo contrattuale piuttosto che una semplice aspettativa.
Questa distinzione è importante. Le organizzazioni che ritardano potrebbero trovarsi a dover rispondere a domande da parte di appaltatori principali, clienti e team di approvvigionamento prima di essere pronte a rispondere.
Cyber Essentials viene prima
Per le organizzazioni senza Cyber Essentials, questa è la priorità più immediata.
Cyber Essentials non è un esercizio separato e facoltativo che si svolge parallelamente al DCC. È un prerequisito. La certificazione di Livello 0 non può essere assegnata a meno che Cyber Essentials non sia già in atto nei sistemi pertinenti.
Le organizzazioni che già possiedono Cyber Essentials non dovrebbero dare per scontato di essere pronte. L'ambito della loro certificazione esistente deve includere ogni sistema critico per l'attività applicabile richiesto per DCC. I cambiamenti all'infrastruttura, alle modalità di lavoro remoto, ai servizi cloud, ai dispositivi o ai processi operativi possono significare che l'ambito deve essere rivisto.
Il processo dovrebbe quindi iniziare con tre domande:
Un’opportunità di canale oltre che una scadenza di conformità
Per MSP e partner di cybersecurity, DCC crea un’importante opportunità per aiutare i clienti a comprendere un requisito che potrebbero non rendersi ancora conto che si applica a loro.
I fornitori di difesa più piccoli è improbabile che abbiano grandi team interni di governance, rischio e conformità. Molti si rivolgeranno al loro partner tecnologico esistente per aiutarli a identificare i propri obblighi, comprendere la loro preparazione e completare il percorso di certificazione.
CyberSmart è un organismo di certificazione DCC accreditato IASME e può valutare le organizzazioni per i Livelli 0 e 1. Il suo servizio può coprire la conferma dell'ambito, la certificazione Cyber Essentials e il successivo processo di valutazione DCC. CyberSmart consente inoltre ai MSP di supportare i clienti del settore della difesa attraverso lo stesso percorso.
Attraverso Hammer Cybersecurity e CyberSmart, i partner possono avviare conversazioni proattive con i clienti prima che l'urgenza si trasformi in panico.
Il messaggio per la catena di approvvigionamento della difesa è semplice: il 31 dicembre può essere la scadenza, ma dicembre non è il mese per iniziare.