USA:s Försvarsdepartement har för att lättare kunna sortera ut leverantörer, tagit fram en standard över vilka informationssäkerhetskrav företag som vill leverera produkter och tjänster måste leva upp till. Standarden bygger på ett antal andra standarder såsom NIST, ISO 27000 och CSF med flera Standarden är uppdelad i fem olika nivåer. Vilken nivå som är aktuell kommer att framgå vid respektive upphandling.
Det kommer att vara obligatoriska att uppfylla kraven. Företag som framledes vill kunna leverera till USA:s försvar kommer att kunna certifiera sig emot standarden. Jag kan nog tänka mig att det kommer det i princip vara omöjligt att vara med som leverantör utan att vara certifierad.
Berör det här svenska företag och svensk industri? Ja absolut; CMMC ställer nämligen krav på informationssäkerheten i hela kedjan, vilket gör att även den minsta underleverantör måste kunna leva upp till kraven i standarden. Jag tar för givet att företag som idag levererar direkt till USA:s försvar, redan har pejl på CMMC men hur är det med mindre företag?
Hur vet en underleverantör att den produkt de levererar, inte slutligen kommer att ingå i produkt eller tjänst till USA:s försvar. Om vi själva inte levererar en komponent som ingår i något som sedan skall levereras till USA:s försvar, så kan den organisationen vi förser med komponenter, ha någon annan produkt som gör det.
Även om vi inte tror oss påverkade, vet vi att alla sådana här regler kan användas ur ett konkurrenshämmande syfte, men har man bara en väl fungerande informationssäkerhet som är förankrad i ledningen, är denna standard vara ett hjälpmedel och inte ett hinder. Ytterligare ett skäl att ta informationssäkerhet på allvar.
Ulf Holmerin, vice ordförande ISACA Swedish Chapter
