Abbildung von CUI entlang des Digital Thread: Ein Leitfaden für Unternehmen der Verteidigungsindustrie zur Umsetzung des CMMC

Die meisten Unternehmen der Verteidigungsindustrie gehen bei der Festlegung des CMMC-Anwendungsbereichs so vor, dass sie zunächst eine Bestandsaufnahme der Systeme durchführen.

Erfolgreiche Unternehmen verfolgen einen anderen Ansatz: Sie orientieren sich an den „Controlled Unclassified Information“ (CUI).

Eine einzige technische Zeichnung kann innerhalb weniger Stunden vom CAD-System in PLM-Systeme, Zulieferer-Portale, Fertigungssysteme, Testumgebungen, Qualitätsunterlagen und Netzwerke von Subunternehmern gelangen. Jede Weitergabe kann ein weiteres CUI-Repository, eine weitere betroffene Benutzergruppe und eine weitere Compliance-Verpflichtung schaffen. Diese Grenze kann über das Unternehmen hinausreichen, wenn Zulieferer und Subunternehmer dieselben kontrollierten Informationen empfangen, speichern, verarbeiten, übertragen oder weitergeben.

Aus diesem Grund erfahren viele Hersteller der Verteidigungsindustrie, dass ihr CMMC-Geltungsbereich weitaus größer ist als ursprünglich erwartet. Ein unerwartet großer CMMC-Geltungsbereich kann die Kosten für Abhilfemaßnahmen erhöhen, die Vorbereitung auf die Bewertung erschweren und zuvor übersehene Risiken in den Bereichen Engineering und Zulieferer-Netzwerke aufdecken. Je später diese Zusammenhänge erfahren werden, desto schwieriger kann es sein, sie zu beheben, ohne etablierte Arbeitsabläufe zu stören.

Warum Unternehmen der Verteidigungsindustrie Schwierigkeiten mit CMMC haben

Für Hersteller in der Luft-, Raumfahrt und der Verteidigungsindustrie bleibt CUI nicht auf eine Umgebung beschränkt.

Technische Daten werden kontinuierlich ausgetauscht zwischen:

• Konstruktionsteams
• Fertigungsabteilungen
• Zulieferern und Subunternehmern
• Qualitätssystemen
• Programmmanagement
• Test- und Validierungsumgebungen

Da Technik und Fertigung zunehmend digital vernetzt sind, kann CUI schneller zwischen Systemen, Teams und Zulieferern zirkulieren, als Unternehmen dies bemerken. Die Herausforderung besteht darin, zu verstehen, wo CUI vorhanden ist, wie es sich bewegt und wer darauf zugreifen kann.

Unternehmen unterschätzen häufig:

• Welche Systeme CUI verarbeiten
• Welche Zulieferer auf CUI zugreifen
• Welche Exporte und Kopien außerhalb verwalteter Repositorien existieren
• Wie technische Daten zwischen Engineering und der Fertigung zirkulieren
• Wie viele Nutzer mit kontrollierten Informationen interagieren

Diese Lücken treten möglicherweise erst bei der Vorbereitung einer Bewertung zutage, wenn Abhilfemaßnahmen bereits kostspieliger und mit größeren Beeinträchtigungen verbunden sind.

CMMC- und FedRAMP-Bereitschaftsbericht

Dieser gemeinsam mit ABI Research erstellte Bericht informiert über Lücken in der CMMC-Bereitschaft.

Mehr erfahren

Warum der „Digital Thread“ für CMMC wichtig ist 

Die CMMC-Planung sollte mit einer Frage beginnen: Wo befinden sich CUI?

Um diese Frage zu beantworten, reicht eine reine Bestandsaufnahme der Anwendungen nicht aus. Unternehmen müssen verstehen, wie kontrollierte Informationen über den gesamten Produktlebenszyklus hinweg erstellt, gespeichert, verarbeitet, übertragen und weitergegeben werden.

Das bedeutet, den Digital Thread nachzuverfolgen.

Eine technische Zeichnung kann ihren Ursprung in CAD haben, in PLM übertragen werden, nachgelagerte Fertigungssysteme versorgen, in der Qualitätsdokumentation erscheinen und später an Zulieferer oder Wartungspartner weitergegeben werden. Jede nachgelagerte Verbindung kann den Geltungsbereich der Compliance erweitern.

Das Verfolgen des Digital Thread deckt Folgendes auf:

• Versteckte CUI-Speicherorte
• Unverwaltete Datenduplikate
• Risiken durch Zulieferer
• Domänenübergreifende Integrationen
• Vererbte Compliance-Risiken

Für Unternehmen der Verteidigungsindustrie ist dies besonders wichtig, da Engineering-Umgebungen oft im Zentrum des CUI-Ökosystems stehen.

1. CAD-Systeme

Für viele Hersteller der Verteidigungsindustrie taucht CUI zunächst in Umgebungen des Engineering-Prozesses auf.

CAD-Systeme enthalten häufig:

• Technische Zeichnungen
• 3D-Modelle
• Technische Spezifikationen
• Exportkontrollpflichtige technische Daten
• Programmspezifische Konstruktionsinformationen 

Zu stellende Fragen:

• Welche CAD-Umgebungen enthalten CUI?
• Wer hat Zugriff auf Konstruktionsdaten?
• Werden Dateien außerhalb verwalteter Repositorys kopiert?

Viele Unternehmen konzentrieren sich stark auf die Absicherung von E-Mail- und Kollaborationstools, übersehen dabei jedoch die Konstruktionsarbeitsplätze und Konstruktions-Repositorys, die hochsensible technische Daten enthalten.

2. Produktlebenszyklusmanagement (PLM) 

PLM-Systeme können eine zentrale Rolle in der CMMC-Umgebung eines Unternehmens der Verteidigungsindustrie spielen.

PLM-Plattformen enthalten häufig:

• Freigegebene Produktdefinitionen
• Stücklisten (BOMs)
• Technische Änderungen
• Konfigurationsbaselines
• Technische Dokumentation
• Lieferantenbezogene Produktdaten

Da PLM die Bereiche Engineering, Fertigung, Zulieferer und Programmabwicklung miteinander verbindet, kann es zu einer zentralen Drehscheibe für CUI im gesamten Unternehmen werden.

Zu stellende Fragen:

• Enthält das PLM kontrollierte technische Informationen?
• Welche nachgelagerten Systeme nutzen PLM-Daten?
• Welche Zulieferer erhalten Informationen, die aus dem PLM stammen?

Viele Unternehmen stellen fest, dass ihre PLM-Umgebung direkt im CMMC-Anwendungsbereich liegt, da sie kontrollierte Produktinformationen entlang des gesamten Digital Threads verwaltet.

3. Anforderungs- und Engineering-Plattformen 

Anforderungsmanagement und System-Engineering-Umgebungen umfassen in der Regel:

• Behördliche Anforderungen
• Programmspezifikationen
• Verifizierungskriterien
• Technische Einschränkungen
• Einsatz- und Leistungsdaten

Diese Systeme dienen als Grundlage für nachfolgende technische Entscheidungen.

Zu stellende Fragen:

• Enthält die Plattform CUI oder kontrollierte Programmanforderungen?
• Werden Anforderungen über Organisationsgrenzen hinweg ausgetauscht?
• Werden Exporte außerhalb verwalteter Systeme gespeichert?

Da Verteidigungssysteme zunehmend softwaredefiniert und modellbasiert werden, verdienen Anforderungs- und Systemengineering-Plattformen bei der Festlegung des CMMC-Umfangs größere Aufmerksamkeit.

4. Test- und Validierungssysteme 

Validierungsumgebungen generieren hochsensible technische Daten, darunter:

• Testverfahren
• Qualifizierungsunterlagen
• Leistungsergebnisse
• Fehleranalysen
• Verifizierungsberichte

Testdaten können ebenso sensibel sein wie der ursprüngliche Entwurf selbst.

Zu stellende Fragen:

• Wo werden Testergebnisse gespeichert?
• Wer hat Zugriff auf Validierungsdaten?
• Werden Berichte außerhalb kontrollierter Umgebungen weitergegeben?

Testartefakte können über Teams von Engineering und Zulieferern verteilt sein, wodurch zusätzliche Standorte entstehen, an denen CUI identifiziert und geschützt werden muss.

5. Fertigungssysteme 

CUI überträgt sich häufig vom Engineering auf die Fertigung.

Fertigungssysteme können Folgendes enthalten:

• Arbeitsanweisungen
• Produktionsspezifikationen
• Dokumentation der Fertigungsprozesse
• Technische Datenpakete
• Konfigurationsinformationen

Sobald Engineering-Daten in die Produktion gelangen, können kontrollierte technische Informationen (CUI) für einen größeren Kreis von Anwendern in der Fertigung zugänglich werden.

Zu stellende Fragen:

• Welche Fertigungssysteme nutzen Engineering-Daten?
• Werden CUI aus vorgelagerten Systemen repliziert?
  Wer hat in der Produktion Zugriff auf kontrollierte technische Daten?

Fertigungsumgebungen können den CMMC-Grenzwert erheblich erweitern, da kontrollierte Engineering-Daten in Produktionssysteme und Arbeitsabläufe gelangen.

6. Qualitätsmanagementsysteme 

Qualitätssysteme umfassen häufig:

• Prüfungskriterien
• Aufzeichnungen zu Abweichungen
• Korrekturmaßnahmen
• Audit-Dokumentation
• Informationen zur Rückverfolgbarkeit von Produkten

Qualitätsaufzeichnungen enthalten häufig CUI aus Systemen des Engineerings und der Fertigung.

Zu stellende Fragen:

• Beziehen sich die Qualitätsdaten auf kontrollierte technische Informationen?
• Werden Aufzeichnungen extern weitergegeben?
• Welche Zulieferer sind an den Arbeitsabläufen für Korrekturmaßnahmen beteiligt?

7. Umgebungen für die Kollaboration mit Zulieferern 

Durch die Kollaboration mit Zulieferern kann sich der Geltungsbereich von CUI über intern verwaltete Systeme hinaus auf die gesamte Lieferkette in der Verteidigungsindustrie ausweiten.

Verteidigungsunternehmen geben regelmäßig kontrollierte technische Informationen an Zulieferer, Subunternehmer, Hersteller, gemeinsame Entwicklungsteams und Anbieter von Instandhaltungsdienstleistungen weiter. Diese Organisationen sind möglicherweise direkt in den Bereichen Engineering, Fertigung, Qualitätssicherung und Kollaboration mit Zulieferern tätig.

Daher beschränkt sich das Risiko durch Zulieferer nicht nur auf Dateiübertragungen. Unternehmen müssen zudem nachvollziehen, welche Subunternehmer Zugriff auf Systeme mit CUI haben, auf welche Informationen sie zugreifen können und wie dieser Zugriff geregelt ist.

Zu stellende Fragen:

• Welche Zulieferer und Subunternehmer greifen auf CUI zu?
• Auf welche Systeme greifen sie zu?
• Laden sie CUI herunter oder arbeiten sie direkt in kontrollierten Umgebungen?
• Wie wird der Zugriff von Zulieferern gewährt und widerrufen?
• Können kontrollierte Informationen heruntergeladen oder weiterverbreitet werden?

Nicht jeder Zulieferer birgt das gleiche CUI-Risiko. Für die Festlegung des CMMC-Anwendungsbereichs sind die Größe des Zulieferers, die Höhe der Ausgaben oder seine Position in der Lieferkette weniger wichtig als die Frage, ob der Zulieferer CUI empfängt, speichert, verarbeitet oder weitergibt. Ein kleiner Subunternehmer im Bereich Engineering mit Zugriff auf kontrollierte technische Zeichnungen kann größere Auswirkungen auf den CMMC-Anwendungsbereich haben als ein viel größerer Zulieferer, der niemals mit CUI umgeht.

Von der Systeminventarisierung bis zur Datenzuordnung

Eine praktische Methode, um versteckte Bereiche des CMMC-Anwendungsbereichs aufzudecken, besteht darin, eine einzelne CUI über ihren gesamten Lebenszyklus hinweg nachzuverfolgen.

Verfolgen Sie beispielsweise eine technische Zeichnung, während sie im CAD erstellt, im PLM verwaltet, an einen Zulieferer weitergegeben, bei der Prüfung herangezogen und in Dokumentationssystemen von Zulieferern gespeichert wird. Jeder Schritt kann ein weiteres System, eine weitere Benutzergruppe oder eine externe Organisation mit sich bringen, die bei der Festlegung des Anwendungsbereichs berücksichtigt werden müssen.

Beginnen Sie mit:

• einer technischen Zeichnung
• einer Anforderung
• einem Prüfbericht
• einer Fertigungsspezifikation

Fragen Sie sich:

• Wo wird sie erstellt?
• Wo wird sie gespeichert?
• Wo wird sie weitergegeben?
• Wer greift darauf zu?
• Welche Systeme nutzen sie?
• Welche Zulieferer erhalten sie?

Diese Übung kann Systeme, Benutzer, Integrationen, Kopien und Zuliefererverbindungen aufdecken, die bei einer herkömmlichen Anwendungsbestandsaufnahme möglicherweise übersehen werden. Diese Verbindungen helfen Unternehmen dabei, sich ein vollständigeres Bild ihres CMMC-Geltungsbereichs zu verschaffen, bevor bei der Vorbereitung der Bewertung Lücken zutage treten.

Mehr Kontrolle über CUI entlang des Digital Thread

Die Erfassung von CUI wird schwieriger, wenn Konstruktions- und Produktdaten über nicht miteinander verbundene Systeme, unkontrollierte Kopien und Umgebungen von Zulieferern verstreut sind.

PTC-Lösungen unterstützen die Verteidigungsindustrie dabei, Produktdaten, die Kollaboration im Engineering-Bereich, das Konfigurationsmanagement und den Zugriff von Zulieferern entlang des gesamten Digital Threads zu steuern.

Dies kann Unternehmen dabei helfen:

• Systeme zu identifizieren, die möglicherweise in den CMMC-Anwendungsbereich fallen
• Zu verstehen, wie sich CUI über den gesamten Produktlebenszyklus hinweg bewegt
• Den Zugriff auf kontrollierte technische Informationen zu steuern
• Unkontrollierte Datenduplikate zu reduzieren
• Die Kollaboration mit Zulieferern zu stärken
• Mögliche Lücken im Anwendungsbereich frühzeitig zu erkennen

Für viele Unternehmen der Verteidigungsindustrie steht PLM im Mittelpunkt dieser Umgebung, da es technische Zeichnungen, Produktdefinitionen, Konfigurations-Baselines, technische Änderungen und lieferantenbezogene Produktinformationen verwaltet.

Für Unternehmen, die CUI in der Cloud verwalten, bietet das FedRAMP-zertifizierte Windchill+ von PTC eine sichere Umgebung für Konstruktions- und Produktdaten. Die FedRAMP-Zertifizierung stellt eine unabhängig geprüfte Sicherheitsgrundlage dar, die die übergeordnete CMMC Compliance eines Unternehmens unterstützen kann.

Bevor Sie CUI schützen können, müssen Sie wissen, wo sich diese Daten befinden 

Die Organisationen, die CMMC am effektivsten umsetzen, beginnen nicht mit einer Checkliste. Sie beginnen damit, ihre Daten system-, benutzer- und organisationsübergreifend abzubilden. Dazu gehört nicht nur zu verstehen, wo sich CUI intern befindet, sondern auch, wohin sie gelangt, wenn Zulieferer und Subunternehmer Teil des Digital Thread werden.

Beginnen Sie damit, eine technische Zeichnung, eine Anforderung oder einen Prüfbericht durch Ihren Digital Thread zu verfolgen. Die Systeme, Nutzer, Kopien und Zulieferer-Verbindungen, die Sie dabei aufdecken, können Ihnen ein klareres Bild Ihres tatsächlichen CMMC-Anwendungsbereichs vermitteln und aufzeigen, wo möglicherweise zusätzliche Kontrollmaßnahmen erforderlich sind.