הפנטגון מקפיא את שלב 2 בתוכנית הסייבר

משרד ההגנה של ארה"ב הודיע כי הוא מקפיא את שלב 2 של תוכנית Cybersecurity Maturity Model Certification, מהלך שמסמן עצירה משמעותית ביוזמת הדגל שנועדה להסדיר את דרישות הסייבר מול קבלנים בתעשייה הביטחונית. השלב הזה, שהיה אמור להיכנס לתוקף ב-10 בנובמבר, חייב חברות לעבור הסמכה בידי גורם חיצוני כתנאי לעמידה בדרישות ההגנה על מידע לא מסווג אך רגיש.

במקום זאת, הפנטגון ישאיר בשלב זה את שלב 1 בלבד. המשמעות היא שהמחלקה תמשיך להסתמך על הצהרות והערכות עצמיות של חברות באשר לאופן שבו הן מגינות על מידע מבוקר במערכותיהן, לצד חלק מבדיקות שיובלו בידי הממשלה עצמה.

מה הוקפא ומה נשאר בתוקף

ההחלטה אינה מסתכמת רק בדחיית שלב 2. גם שלב 3 של התוכנית, שתוכנן לנובמבר 2027, וכן שלב 4 שנועד להביא ליישום מלא של המודל, הושעו כולם. כך, למעשה, הפנטגון עוצר את מסלול ההחמרה ההדרגתי שנבנה בשנים האחרונות סביב CMMC.

תוכנית CMMC נולדה כבר בתקופת ממשל טראמפ הראשון, ובהמשך עברה התאמות ופישוט בתקופת ממשל ביידן. מטרתה הייתה ליצור תקן סייבר ושרשרת אספקה מחייב עבור בסיס התעשייה הביטחונית האמריקאי, בעיקר על רקע החשש מפני חולשות אבטחה אצל ספקים וקבלני משנה המחזיקים מידע רגיש של מערכת הביטחון.

למה הפנטגון בלם את ההסמכה החיצונית

לפי הודעת משרד ההגנה, מאחורי ההחלטה עומדות תלונות גוברות מצד התעשייה על עלויות ציות גבוהות ועל נטל מנהלי מכביד. במחלקה ציינו כי עסקים רבים, ובייחוד קטנים ובינוניים, התקשו לעמוד בדרישות, עד כדי כך שחלקם בחרו לצאת לחלוטין מהבסיס התעשייתי הביטחוני.

בפנטגון הוסיפו כי לפי נתוני מינהל העסקים הקטנים בארה"ב, עמידה בדרישות CMMC אף תרמה ליציאה של חברות מהשוק הביטחוני, תהליך שלדברי המשרד גורם לעיכובים באספקת יכולות קריטיות לכוחות המבצעיים. במילים אחרות, במשרד ההגנה סבורים כעת שהמחיר הרגולטורי של ההסמכה עלול לפגוע לא רק בעסקים עצמם, אלא גם בקצב ההצטיידות ובתחרות בשרשרת האספקה.

בדיקת 60 יום תחת דגש על מהירות ותחרות

במקביל להקפאה הורה המשרד על בחינה מחודשת של התוכנית לתקופה של 60 יום. הבדיקה נועדה לוודא ש-CMMC תואמת את קווי הרכש שמקדם שר ההגנה פיט הגסת', המדגישים מהירות, פתיחת השוק לשחקנים חדשים והפחתת חסמים רגולטוריים. במסגרת אותה תפיסה, המשרד מבקש לעבור ממודל שמתבסס על ציות ביורוקרטי למודל שהוא מגדיר כ"אמצעי סייבר מדרגיים ועמידים".

קירסטן דייוויס, ראשת מערך המידע של משרד ההגנה, אמרה כי ההחלטה להשעות את דרישות שלב 2 נועדה לתמוך בהנחיית השר לצמצם חסמי ציות לעסקים קטנים ובינוניים. לדבריה, אבטחת סייבר וחוסן תפעולי נותרו יעדים מרכזיים, אך ניתן להשיג אותם גם תוך צמצום "סרט אדום" מיותר מצד הממשלה.

גם תת-שר ההגנה לרכש ותחזוקה, מייקל דאפי, גיבה את ההחלטה ואמר כי היא שומרת על רף אבטחה מחמיר, אך מסירה עלויות מכבידות ומאפשרת לחדשנות ולתחרות להמשיך לצמוח בתוך שרשרת האספקה הביטחונית.

כוח משימה חדש והזמנה להערות מהתעשייה

לצד ההקפאה הקים משרד ההגנה צוות ייעודי לרפורמה ב-CMMC. אחד מתפקידיו יהיה לבחון את התגובות שיתקבלו במסגרת בקשת מידע שפורסמה השבוע לחברות בתעשייה. המשרד מבקש מהחברות לפרט מהם מנועי העלות המרכזיים של עמידה בתוכנית, אילו עומסים מנהליים נלווים ליישומה, ואילו מבקרות האבטחה בתקן NIST 800-171 אכן מפחיתות סיכון באופן ממשי.

עוד מבקש המשרד להבין כיצד חברות כבר משתמשות בכלי סייבר מסחריים ובשירותים מנוהלים, והאם ניתן יהיה להכיר באמצעים הללו במסגרת ציות עתידית במקום לחייב אותן בהערכות נפרדות נוספות. המועד האחרון להגשת תשובות לבקשת המידע נקבע ל-14 באוגוסט.

בפועל, ההחלטה של הפנטגון מאותתת על שינוי כיוון: במקום להמשיך כמתוכנן לעבר מודל הסמכה מחייב והדרגתי, משרד ההגנה בוחר כעת לעצור, לבדוק מחדש את מבנה הדרישות, ולנסות לאזן בין אבטחת מידע מחמירה לבין היכולת לשמור על בסיס ספקים רחב, תחרותי ונגיש יותר.