Seiring meningkatnya serangan siber terhadap rantai pasokan Departemen Pertahanan AS (DoD), kepatuhan terhadap kerangka kerja CMMC (Cybersecurity Maturity Model Certification) menjadi syarat penting bagi para kontraktor. CMMC 2.0 dirancang untuk melindungi data sensitif dan informasi yang diklasifikasikan sebagai Controlled Unclassified Information (CUI) yang digunakan dalam sistem pertahanan.
Baik Anda perusahaan kontraktor maupun institusi pendidikan yang mendukung DoD, memenuhi persyaratan CMMC adalah langkah penting agar tetap bisa mendapatkan kontrak sekaligus berkontribusi pada keamanan nasional. Berikut ini adalah langkah-langkah utama untuk meraih kepatuhan CMMC, disusun secara bertahap dan mudah dipahami.
Glosarium Singkat
Sebelum masuk ke langkah-langkahnya, berikut beberapa istilah penting yang perlu Anda kenali:
- CMMC: Sertifikasi untuk memastikan standar keamanan siber di lingkungan kontraktor DoD.
- DoD: Departemen Pertahanan Amerika Serikat.
- DIB: Defense Industrial Base – Jaringan perusahaan yang menyediakan layanan dan produk ke DoD.
- CUI: Informasi yang sensitif tapi tidak bersifat rahasia, dan tetap perlu dijaga keamanannya.
- FCI: Informasi Kontrak Federal – Data yang dibuat atau diberikan dalam konteks kontrak dengan pemerintah.
- DFARS: Regulasi pengadaan dari DoD.
- NIST: Lembaga Standarisasi AS – Mengeluarkan panduan seperti NIST SP 800-171 untuk perlindungan CUI.
- FedRAMP: Standar keamanan untuk solusi cloud yang digunakan instansi pemerintah.
- ITAR/EAR: Regulasi ekspor teknologi pertahanan dan data sensitif.
- SSP: Rencana keamanan sistem – berisi kontrol dan kebijakan keamanan siber organisasi.
- C3PAO: Organisasi pihak ketiga yang terakreditasi untuk melakukan penilaian CMMC.
Langkah 1: Tentukan Tingkat CMMC yang Diperlukan
CMMC 2.0 memiliki 3 tingkat sertifikasi:
- Level 1 (Dasar) – Untuk organisasi yang menangani FCI. Cukup dengan praktik keamanan dasar seperti antivirus, firewall, dan kontrol akses.
- Level 2 (Lanjutan) – Untuk organisasi yang mengelola CUI. Membutuhkan sistem keamanan yang lebih kompleks seperti SIEM, EDR, MFA, enkripsi, dan DLP.
- Level 3 (Ahli) – Untuk proyek DoD yang sangat kritis. Dibutuhkan sistem keamanan tingkat tinggi dan infrastruktur khusus.
Tentukan level berdasarkan kontrak yang Anda pegang dan jenis data yang Anda kelola.
Langkah 2: Identifikasi Aset yang Termasuk dalam Cakupan CMMC
Catat semua sistem, perangkat, dan personel yang terkait dengan pengelolaan FCI dan CUI:
- Di mana CUI/FCI disimpan dan diproses?
- Siapa yang memiliki akses?
- Kelompokkan aset menjadi: aset CUI, aset keamanan (SPA), dan aset di luar cakupan.
Inventaris yang jelas akan memudahkan proses penilaian dan menghindari celah kepatuhan.
Langkah 3: Identifikasi Perangkat Lunak dan Keras yang Diperlukan
Perangkat Lunak:
- Antivirus, endpoint protection
- SIEM (pemantauan ancaman)
- MFA dan kontrol akses
- Alat enkripsi dan DLP
- Solusi backup & recovery
- Enkripsi untuk USB/penyimpanan eksternal
Perangkat Keras:
- Laptop/desktop dengan enkripsi
- Firewall, router aman
- Server aman atau cloud (FedRAMP)
- Sistem MDM untuk perangkat mobile
Pastikan semua alat memenuhi standar FIPS 140-2 dan kompatibel dengan pendekatan All-In atau Enklave.
Langkah 4: Pilih Strategi All-In atau Enklave
- All-In: Seluruh infrastruktur dimigrasikan ke lingkungan yang sesuai CMMC, misalnya Microsoft GCC High.
- Enklave: Hanya bagian tertentu dari sistem yang menangani CUI ditempatkan di lingkungan yang terpisah dan aman.
Pilih strategi berdasarkan jumlah pengguna CUI dan kompleksitas data flow Anda.
Langkah 5: Rancang Arsitektur Teknologi Anda
Tentukan desain teknis, seperti apakah Anda akan menggunakan sistem on-premise atau cloud seperti Microsoft GCC/GCC High. Pertimbangkan:
- Apakah arsitektur memenuhi persyaratan kontrak?
- Apakah sudah memenuhi standar seperti ITAR/EAR?
- Apakah penyedia cloud sudah disertifikasi FedRAMP?
Langkah 6: Siapkan dan Dokumentasikan Segalanya
Dokumentasi adalah bagian penting dalam proses audit CMMC. Siapkan:
- SSP lengkap: Peta sistem dan alur data
- Daftar aset
- Bukti kontrol keamanan: Tangkapan layar, tautan validasi FIPS, dan lainnya
Langkah 7: Ikuti Penilaian CMMC oleh C3PAO
Langkah terakhir adalah menjalani penilaian oleh C3PAO. Pastikan:
- Cakupan sudah jelas
- Semua dokumen siap
- Semua kontrol sudah diterapkan dan diuji
Waktu dan Manfaat
Rata-rata organisasi memerlukan waktu sekitar 52 minggu untuk mencapai kepatuhan penuh. Meski membutuhkan waktu dan usaha, hasilnya adalah:
- Terlindung dari serangan siber
- Tetap kompetitif dalam pengadaan kontrak DoD
- Ikut berkontribusi menjaga keamanan nasional
Kesimpulan
Mematuhi CMMC bukan hanya soal mendapat kontrak—ini tentang tanggung jawab dalam menjaga informasi penting dan mendukung pertahanan negara. Mulailah dengan langkah-langkah di atas, siapkan dokumentasi yang rapi, dan jalankan audit dengan percaya diri.
Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan endpointprotector indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman.
Hubungi kami sekarang atau kunjungi endpointprotector.ilogoindonesia.id untuk informasi lebih lanjut!
