Was ist Covered Defense Information?

Covered Defense Information (CDI) bezieht sich auf unklassifizierte kontrollierte technische Informationen oder andere Informationen mit militärischer oder Raumfahrtanwendung, die in den Kategorien “Controlled Technical Information” oder “DoD Critical Infrastructure Information” identifiziert wurden. Die Bundesregierung ist in hohem Maße auf externe Dienstleister und Auftragnehmer angewiesen, um eine breite Palette von Bundesmissionen sowie Geschäftsfunktionen zu unterstützen. Viele dieser Dienste und Funktionen beinhalten den Zugang zu oder die Erzeugung von sensiblen Bundesinformationen, was potenzielle Schwachstellen für die Bundesinformationen und Bundesinformationssysteme schaffen kann.

CDI spielt eine kritische Rolle bei der Wahrung der nationalen Sicherheit und dem Schutz militärischer Geheimdienstinformationen. Es kann sich um alles von Trainingshandbüchern und Blaupausen für Flugzeuge bis hin zu Geheimdienstberichten handeln. Es ist entscheidend, dass diese Art von Informationen ordnungsgemäß gehandhabt und geteilt wird, um sicherzustellen, dass sie nicht in die falschen Hände geraten. Eine unsachgemäße Handhabung und Verbreitung von CDI kann zu schwerwiegenden Konsequenzen führen, einschließlich der Gefährdung der nationalen Sicherheit des Landes, rechtlichen Folgen und Reputationsrisiken für die Beteiligten.

In diesem Artikel bieten wir einen umfassenden Überblick über CDI, einschließlich der Definition, warum es geschützt werden muss und welche Konsequenzen bei unbefugtem Zugriff auftreten können, was zu einem Datenleck und/oder Verstoß gegen Compliance führen kann.

Wesentliche Merkmale von Covered Defense Information

Ein wesentliches Merkmal von Covered Defense Information ist ihr Umfang. Sie ist nicht auf klassifizierte oder geheime Informationen beschränkt, sondern umfasst auch nicht klassifizierte Informationen, die sensibel sind und Schutz erfordern. Solche Informationen beziehen sich auf die technischen, operativen oder wissenschaftlichen Bereiche der Verteidigung, die einen strategischen Vorteil bieten.

Ein weiteres wichtiges Element von CDI ist ihr geschützter Status. CDI unterliegt den Regeln des Defense Federal Acquisition Regulation Supplement (DFARS), die verpflichtende Schutzstandards für Verteidigungsunternehmer und deren Unterauftragnehmer vorschreiben. Die Nichteinhaltung dieser Protokolle kann zu schwerwiegenden Strafen führen, einschließlich, aber nicht beschränkt auf den Verlust der Möglichkeit, sich um zukünftige Verteidigungsaufträge zu bewerben.

Was ist der Unterschied zwischen CDI, CUI und FCI?

Covered Defense Information oder CDI ist ein Begriff, den das Verteidigungsministerium (DoD) verwendet, um nicht klassifizierte kontrollierte technische Informationen zu kennzeichnen. Er gilt für alle nicht klassifizierten Informationen, die unter die Schutzbestimmungen des DoD fallen, einschließlich aller Datenformen, die mit militärischen oder Verteidigungsanwendungen zusammenhängen.

Im Gegensatz dazu bezeichnet Controlled Unclassified Information (CUI) Informationen, die gemäß Bundesgesetz, Verordnung oder Regierungspolitik Schutz- oder Verbreitungskontrollen erfordern. CUI sind keine klassifizierten Informationen, aber sensibel genug, um einen höheren Schutzgrad zu rechtfertigen, als normalerweise nicht klassifizierten Informationen zuteilwird.

Federal Contract Information (FCI) bezieht sich auf Informationen, die nicht für die öffentliche Freigabe bestimmt sind. Sie werden von oder für die Regierung im Rahmen eines Vertrags zur Entwicklung oder Lieferung eines Produkts oder einer Dienstleistung für die Regierung bereitgestellt oder erzeugt. FCI schließt Informationen, die von der Regierung an die Öffentlichkeit weitergegeben werden oder einfache transaktionale Informationen, nicht ein.

Sowohl CDI als auch CUI erfordern einen bestimmten Schutzgrad, der von der Regierung und bestimmten Regulierungsbehörden festgelegt wird. Die Daten in diesen Kategorien dürfen nicht ohne Folgen frei verbreitet werden. Der Hauptunterschied liegt jedoch in der Anwendung dieser Bezeichnungen. CDI konzentriert sich speziell auf verteidigungsbezogene Informationen, während CUI eine breitere Kategorie darstellt, die eine Reihe sensibler Informationen umfasst. FCI hingegen ist eine Untergruppe von CUI, die sich hauptsächlich mit Informationen zu Bundesverträgen befasst.

Zusammenfassend repräsentieren CDI, CUI und FCI alle Formen sensibler, nicht klassifizierter Informationen, die mit Sorgfalt behandelt werden müssen, wobei die wesentlichen Unterschiede in der Art der Informationen, die sie umfassen, und den Kontexten liegen, in denen sie verwendet werden.

Die Bedeutung von CDI für Organisationen und Verbraucher

Covered Defense Information verbessert die Sicherheitslage einer Organisation, indem sie Richtlinien für den Umgang mit sensiblen Informationen bereitstellt. Die Einhaltung dieser Protokolle gewährleistet nicht nur die Sicherheit, sondern beweist auch das Engagement einer Organisation für den Schutz kritischer Informationen. Für Verbraucher oder Beteiligte garantiert der ordnungsgemäße Umgang mit CDI, dass ihre sensiblen Daten, wenn sie unter die Kategorie fallen, mit größter Sorgfalt und Sicherheit behandelt werden, wodurch ihre Privatsphäre und ihr Schutz sichergestellt werden.

Das Versäumnis, CDI zu schützen, birgt zahlreiche Risiken. Zu den regulatorischen Risiken gehören Strafmaßnahmen von Aufsichtsbehörden. Finanzielle Risiken können hohe Strafen oder den Verlust von Geschäften aufgrund von Vertragsbrüchen umfassen. Rechtliche Risiken könnten zu möglichen Klagen führen, während reputationsbezogene Risiken das öffentliche Bild einer Organisation schädigen könnten. Daher ist es unerlässlich, bewährte Verfahren für den richtigen Umgang und die richtige Weitergabe von Covered Defense Information zu implementieren.

Umgang und Weitergabe von Covered Defense Information

Der Umgang und die Weitergabe von Covered Defense Information unterliegen strengen Anforderungen. Dazu gehören der Einsatz angemessener Sicherheitssysteme, die Verwendung von Verschlüsselung für die Speicherung und den Transfer von Informationen sowie die Durchführung regelmäßiger Audits zur Sicherstellung der Compliance. Mitarbeiter müssen angemessen über die Bedeutung von CDI und die Folgen des unsachgemäßen Umgangs mit solchen Informationen geschult werden.

Die Durchsetzung dieser Anforderungen ist ebenso entscheidend. Organisationen müssen strenge Disziplinarmaßnahmen für jegliche Nichteinhaltung vorhalten. Regelmäßige Erinnerungen an die Bedeutung der Einhaltung dieser Protokolle, gepaart mit einer Kultur, die Sicherheit und Diskretion schätzt, können helfen, den richtigen Umgang und die richtige Weitergabe von CDI durchzusetzen.

Bewährte Verfahren für die Implementierung von CDI-Protokollen

Der Umgang mit und der Schutz von Covered Defense Information (CDI) ist ein kritischer Aspekt der nationalen Sicherheit und der Einhaltung staatlicher Vorschriften.

Covered Defense Information (CDI) ist ein Oberbegriff, der unklassifizierte kontrollierte technische Informationen mit militärischer oder Raumfahrtanwendung umfasst, die nicht bereits durch eine andere Kategorie von Controlled Unclassified Information (CUI) geschützt sind. CDI beinhaltet auch alle Informationen, die durch die Defense Federal Acquisition Regulations Supplement (DFARS) geschützt sind.

Die Implementierung von CDI-Protokollen ist eine entscheidende Maßnahme, um die Sicherheit kritischer Verteidigungsinformationen zu gewährleisten. CDI erfordert eine sichere Speicherung, Verarbeitung und Übertragung, um die Daten vor unbefugtem Zugriff und Cyberbedrohungen zu schützen. Die Nutzung von Cybersicherheitsrahmenwerken wie der Empfehlung NIST 800-171 des National Institute of Standards and Technology ist eine bewährte Praxis für die Implementierung von CDI-Protokollen.

Dieses Rahmenwerk fördert proaktive Maßnahmen wie Systemwartung, kontinuierliches Monitoring und anhaltenden Datenschutz. Regelmäßige Software-Updates, Antivirus-Scans und Datensicherungen sind wesentliche Wartungsaufgaben. Zudem ermöglicht kontinuierliches Monitoring die Erkennung jeglicher anomaler Aktivitäten oder Sicherheitsverletzungen, was schnelle Reaktionen zur Schadensminimierung erleichtert.

Eine Kernpraxis bei der Implementierung von CDI-Protokollen ist die Mitarbeiterschulung. Alle Mitarbeiter, die mit CDI interagieren, sollten ein differenziertes Verständnis der CDI-Protokolle haben, einschließlich der Stufen der Klassifizierung, Handhabung und Deklassifizierung. Eine angemessene Sicherheitsbewusstseinsschulung minimiert das Risiko unbeabsichtigter Datenlecks.

Die Befolgung dieser bewährten Praktiken bei der Implementierung von CDI-Protokollen reduziert das Risiko von Cyberangriffen erheblich und gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der Daten. Es versichert den Auftragnehmern und Subunternehmern des DoD, dass sie sensible Verteidigungsinformationen sicher handhaben können. Darüber hinaus bringt es Organisationen in Einklang mit der DFARS-Klausel 252.204-7012, fördert die regulatorische Konformität und schützt sie vor möglichen zivil- und strafrechtlichen Strafen.

Regulatorische Maßnahmen bezüglich Covered Defense Information

Das Verständnis der regulatorischen Maßnahmen im Zusammenhang mit Covered Defense Information ist entscheidend. Die Regierung hat bestimmte Regeln im DFARS festgelegt, die dazu dienen, die Sicherheit und den Schutz von CDI zu gewährleisten. DFARS verpflichtet Auftragnehmer und Unterauftragnehmer, die mit CDI betraut sind, spezifische Sicherheitsmaßnahmen umzusetzen. Diese Maßnahmen sind darauf ausgelegt, die Vertraulichkeit, Integrität und allgemeine Sicherheit der CDI zu schützen. Auftragnehmer und Unterauftragnehmer sind verpflichtet, innerhalb von 72 Stunden nach Entdeckung über Cyber-Vorfälle zu berichten, die CDI potenziell beeinträchtigen könnten.

Ein weiteres wichtiges regulatorisches Instrument ist die Cybersecurity Maturity Model Certification (CMMC), ein einheitlicher Cybersecurity-Standard für zukünftige DoD-Beschaffungen. Das CMMC 2.0-Framework umfasst drei Reifestufen der Cybersicherheit, die im Wesentlichen von grundlegend bis fortgeschritten reichen und sicherstellen, dass alle Organisationen, die mit CDI umgehen, ein angemessenes Niveau an Cybersecurity-Kontrollen und -Prozessen haben. Die Einhaltung dieser Standards und regulatorischen Maßnahmen ist daher entscheidend, um die Sicherheit und Integrität von CDI zu gewährleisten, nicht nur die nationale Verteidigungsinformation zu schützen, sondern auch das Vertrauen in die Beziehungen der Verteidigungsindustrie zu wahren.

Best Practices für den Umgang und das Teilen von CDI

Es ist entscheidend für Organisationen, die mit CDI (Controlled Defense Information) umgehen, Best Practices für deren sichere Handhabung, Weitergabe und Speicherung zu befolgen. Der erste Schritt zu einem effektiven CDI-Management ist die Entwicklung und Aufrechterhaltung einer umfassenden Informationssicherheitsrichtlinie. Diese Richtlinie sollte die Art der CDI, die die Organisation handhabt, die Verantwortlichkeiten der Personen, die mit diesen Daten interagieren, und die Verfahren für ein sicheres Datenmanagement beschreiben. Eine robuste Richtlinie stellt nicht nur die Einhaltung der Vorgaben des US-Verteidigungsministeriums (DoD) sicher, sondern fördert auch eine Kultur des Sicherheitsbewusstseins innerhalb der Organisation.

Zusätzlich zu einer soliden Sicherheitsrichtlinie benötigen Organisationen starke technische Maßnahmen zum Schutz von CDI. Dies umfasst die Implementierung sicherer Netzwerke und Informationssysteme, die mit dem Cybersicherheitsrahmen des National Institute of Standards and Technology (NIST) konform sind. Die Gewährleistung sicherer Verschlüsselung, robuster Zugriffskontrollen und regelmäßiger Systemprüfungen sind entscheidende Komponenten dieser Strategie.

Darüber hinaus sollten Organisationen ein Prinzip des bedingten Zugriffs auf CDI durchsetzen. Dies bedeutet im Wesentlichen, dass nur Personen, die für ihre Arbeit spezifischen Zugriff auf CDI benötigen, diesen auch erhalten sollten. Weiterhin ist es von entscheidender Bedeutung sicherzustellen, dass Mitarbeiter ihre Verantwortlichkeiten im Umgang mit CDI verstehen und regelmäßig in den Informationssicherheitsrichtlinien und -verfahren der Organisation geschult werden.

Wenn es um die Weitergabe von CDI geht, ist es entscheidend, sichere Kommunikationskanäle zu gewährleisten. CDI sollten über verschlüsselte Verbindungen übertragen und sensible Daten sollten, wo immer möglich, unkenntlich gemacht werden. Zusätzlich sollten Organisationen, die mit CDI umgehen, ihre Partner und Lieferanten gründlich überprüfen, um sicherzustellen, dass auch diese sichere Datenhandhabungspraktiken befolgen.

Zuletzt beinhaltet effektives CDI-Management regelmäßige Bewertungen und Aktualisierungen der Sicherheitsrichtlinien, Verfahren und Systeme. Angesichts der schnellen Entwicklung von Bedrohungen und Schwachstellen ist es für Organisationen unerlässlich, auf dem neuesten Stand der Cybersicherheitstrends zu bleiben und notwendige Updates zum Schutz ihrer CDI durchzuführen. Dies umfasst regelmäßige Risikobewertungen, Audits und Penetrationstests, um potenzielle Sicherheitslücken zu identifizieren und zu schließen.

Letztendlich erfordert das Handhaben, Speichern und Teilen von CDI einen umfassenden Ansatz, der robuste Richtlinien, sichere technische Maßnahmen, regelmäßige Schulungen, sichere Kommunikationskanäle und ständige Wachsamkeit beinhaltet. Indem Organisationen diese bewährten Methoden befolgen, können sie die Sicherheit und Integrität ihrer CDI gewährleisten und so ihre Operationen schützen, während sie gleichzeitig mit Vorschriften, die den Schutz von CDI fordern, konform gehen.

Kiteworks unterstützt Organisationen beim Schutz von CDI mit einem Private Content Network

Zusammenfassend ist Covered Defense Information (CDI) ein entscheidender Aspekt der nationalen Sicherheit, der eine breite Palette sensibler Informationen im Zusammenhang mit Verteidigungs- und Raumfahrtanwendungen umfasst. Es ist für Organisationen und Einzelpersonen, die mit CDI umgehen, unerlässlich, sich strikt an regulatorische Maßnahmen, einschließlich DFARS- und NIST-Vorschriften, zu halten. Die ordnungsgemäße Verwaltung von CDI stärkt nicht nur die Sicherheitslage einer Organisation, sondern fördert auch das Vertrauen und die Zuverlässigkeit unter den Verbrauchern. Allerdings kann das Nichtschützen von CDI Organisationen einer Vielzahl von Risiken aussetzen, einschließlich rechtlicher, finanzieller und reputationsbezogener Schäden. Daher sind strenge Handhabungs- und Teilungsanforderungen entscheidend. Durch die Implementierung und Aufrechterhaltung bewährter Praktiken wie regelmäßige Schulungen, Audits, Verschlüsselung und kontinuierliche Überwachung können Organisationen den sicheren Umgang mit CDI gewährleisten und potenzielle Bedrohungen minimieren.

Das Private Content Network von Kiteworks, eine nach FIPS 140-2 Level validierte sichere Plattform für Dateiaustausch und Filesharing, vereint E-Mail, Filesharing, Webformulare, SFTP und Managed File Transfer, sodass Organisationen die Kontrolle behalten und jede Datei schützen und verfolgen können, wenn sie in die Organisation ein- oder aus ihr austritt.

Kiteworks unterstützt die Bemühungen von Organisationen zur Datenverwaltung und zum Schutz kritischer Infrastrukturdaten (CDI) durch Bereitstellung granularer Zugriffskontrollen, sodass nur autorisierte Personen Zugriff auf bestimmte Daten haben, wodurch die Datenmenge, auf die jede Person zugreifen kann, reduziert wird. Kiteworks bietet auch rollenbasierte Richtlinien, die dazu verwendet werden können, die für jede Rolle innerhalb einer Organisation zugängliche Datenmenge zu begrenzen. Dies stellt sicher, dass Personen nur Zugriff auf die Daten haben, die für ihre spezifische Rolle notwendig sind und minimiert weiter die Datenmenge, auf die jede Person zugreifen kann.

Die Funktionen für sichere Speicherung von Kiteworks tragen ebenfalls zur Datenverwaltung und zum Schutz von CDI bei, indem sichergestellt wird, dass Daten sicher gespeichert und nur für autorisierte Personen zugänglich sind. Dies verringert das Risiko unnötiger Datenexposition und hilft Organisationen, die Kontrolle über ihre Daten zu behalten.

Kiteworks bietet zudem eine integrierte Auditspur, die zur Überwachung und Kontrolle des Datenzugriffs und der Datennutzung verwendet werden kann. Dies kann Organisationen dabei helfen, unnötigen Datenzugriff und -nutzung zu identifizieren und zu eliminieren und trägt zur Datenminimierung bei.

Schließlich können die Compliance-Reporting-Funktionen von Kiteworks Organisationen dabei unterstützen, ihre Bemühungen zur Datenminimierung zu überwachen und die Einhaltung von Prinzipien und Vorschriften zur Datenminimierung zu gewährleisten. Dies kann den Organisationen wertvolle Einblicke in ihre Datennutzung geben und ihnen helfen, weitere Möglichkeiten zur Datenminimierung zu identifizieren.

Mit Kiteworks nutzen Unternehmen Kiteworks, um vertrauliche personenbezogene Daten und geschützte Gesundheitsinformationen, Kundenakten, Finanzinformationen und andere sensible Inhalte mit Kollegen, Kunden oder externen Partnern zu teilen. Da sie Kiteworks verwenden, wissen sie, dass ihre sensiblen Daten und ihr unschätzbares geistiges Eigentum vertraulich bleiben und in Übereinstimmung mit relevanten Vorschriften wie der DSGVO, HIPAA, Datenschutzgesetzen der US-Bundesstaaten und vielen anderen geteilt werden.

Die Bereitstellungsoptionen von Kiteworks umfassen On-Premises, gehostete, private, hybride und FedRAMP Virtual Private Cloud. Mit Kiteworks: Zugriff auf sensible Inhalte kontrollieren; diese beim externen Teilen durch automatisierte Ende-zu-Ende-Verschlüsselung, Multi-Faktor-Authentifizierung und Sicherheitsinfrastruktur-Integrationen schützen; alle Dateiaktivitäten einsehen, verfolgen und berichten, nämlich wer was an wen sendet, wann und wie. Schließlich Compliance mit Vorschriften und Standards wie DSGVO, HIPAA, CMMC, Cyber Essentials Plus, NIS2 und vielen weiteren nachweisen.

Um mehr über Kiteworks zu erfahren, vereinbaren Sie heute eine individuelle Demo.

Zurück zum Risiko- & Compliance-Glossar