واکنش صنعت به تعلیق فاز ۲ CMMC توسط پنتاگون: بازخوردهای کارشناسان

شرح خبر

وزارت دفاع آمریکا (پنتاگون) اجرای فاز ۲ برنامه گواهینامه مدیریت ریسک سایبری (CMMC) را به حالت تعلیق درآورده است. این اقدام، ارزیابی‌های اجباری شخص ثالث را متوقف می‌کند، اما تعهدات قانونی برای حفاظت از اطلاعات کنترل‌نشده طبقه‌بندی‌شده (CUI) همچنان پابرجا است. دلیل اصلی این تعلیق، ناکارآمدی اکوسیستم ارزیابان در مقیاس‌پذیری برای پاسخ به تقاضا و هزینه‌های بالای انطباق است که شرکت‌های کوچک و متوسط را از زنجیره تأمین دفاعی خارج می‌کند. یک گروه ویژه اصلاح CMMC طی ۶۰ روز آینده به بررسی برنامه، جمع‌آوری بازخورد صنعت و ارائه توصیه‌ها خواهد پرداخت. کارشناسان صنعت هشدار می‌دهند که خودگویی بدون تأیید مستقل می‌تواند خطر مواجهه با قانون ادعای کاذب را افزایش دهد، چرا که وزارت دادگستری آمریکا قبلاً پرونده‌هایی مانند Aerojet Rocketdyne (۹ میلیون دلار) و Raytheon (۸.۴ میلیون دلار) را به دلیل عدم انطباق واقعی با مقررات حل کرده است. پنتاگون فاز ۲ برنامه CMMC را به دلیل ناکارآمدی اکوسیستم ارزیابان و هزینه‌های بالای انطباق برای شرکت‌های کوچک تعلیق کرد. این تعلیق تنها ارزیابی‌های شخص ثالث را متوقف می‌کند، اما تعهدات قانونی حفاظت از اطلاعات CUI همچنان پابرجا است. گروه ویژه اصلاح CMMC طی ۶۰ روز آینده به بررسی برنامه و جمع‌آوری بازخورد خواهد پرداخت. کارشناسان هشدار می‌دهند که خودگویی بدون تأیید می‌تواند خطر قانونی را افزایش دهد. وزارت دادگستری آمریکا قبلاً جریمه‌های سنگینی برای عدم انطباق واقعی اعمال کرده است. این تصمیم ممکن است باعث تغییر شکل CMMC شود، اما حذف کامل آن غیرمحتمل است. تعلیق فاز ۲ CMMC تأثیر مستقیم بر زنجیره تأمین دفاعی آمریکا دارد و می‌تواند امنیت سایبری شرکت‌های کوچک و متوسط را تحت تأثیر قرار دهد. عدم وجود ارزیابی‌های شخص ثالث ممکن است منجر به خودگویی‌های نادرست و افزایش خطر نقض قوانین شود. این تصمیم همچنین نشان‌دهنده چالش‌های مقیاس‌پذیری در برنامه‌های امنیتی دولتی است و می‌تواند الگویی برای سایر کشورها باشد. شرکت‌های کوچک و متوسط در زنجیره تأمین دفاعی آمریکا از هزینه‌های کمتر انطباق بهره‌مند خواهند شد، اما خطر مواجهه با جریمه‌های قانونی به دلیل خودگویی‌های نادرست افزایش می‌یابد. شرکت‌های ارزیاب (C3PAO) نیز با عدم قطعیت مواجه هستند، چرا که کسب‌وکار آنها بر اساس ارزیابی‌های اجباری بنا شده بود. تأثیر مستقیم بر ایران محدود است، اما این تصمیم می‌تواند الگویی برای ارزیابی برنامه‌های امنیتی در سایر کشورها، از جمله ایران، باشد. شرکت‌های ایرانی فعال در حوزه دفاع و امنیت سایبری می‌توانند از تجربیات آمریکا در این زمینه درس بگیرند. تعلیق ارزیابی‌های شخص ثالث ممکن است منجر به افزایش پرونده‌های قانونی مرتبط با قانون ادعای کاذب شود. شرکت‌ها باید همچنان به خودارزیابی و ارسال امتیاز به SPRS ادامه دهند، اما عدم وجود تأیید مستقل می‌تواند خطر نقض قوانین را افزایش دهد. این تصمیم نشان‌دهنده چالش‌های دولت آمریکا در مدیریت زنجیره تأمین دفاعی و امنیت سایبری است. ممکن است سایر کشورها نیز با چالش‌های مشابهی مواجه شوند و نیاز به بازنگری در برنامه‌های امنیتی خود داشته باشند. SecurityWeek به عنوان یک منبع معتبر در حوزه امنیت سایبری، نظرات کارشناسان صنعت را در مورد تعلیق فاز ۲ CMMC جمع‌آوری و تحلیل کرده است. پنتاگون فاز ۲ CMMC را به دلیل ناکارآمدی اکوسیستم ارزیابان تعلیق کرد. تعهدات قانونی حفاظت از CUI همچنان پابرجا است. کارشناسان هشدار می‌دهند: خودگویی بدون تأیید خطر قانونی دارد.

این صفحه خلاصه و تحلیل فارسی خبر را نمایش می‌دهد. نسخه کامل/اصلی از طریق لینک منبع در دسترس است.