服务

CMMC 指南：CMMC 2.0 的实际要求

如果您向美国国防部（Department of Defense）供货，或者向给国防部供货的企业供货，那么 CMMC 很可能就是您阅读本页的原因。下面是简明版本，不绕缩写的圈子。

CMMC（Cybersecurity Maturity Model Certification）是国防部用来核实承包商确实在保护受托的敏感信息，而不只是口头承诺的方式。它适用于联邦合同信息（FCI），在较高级别还适用于受控非密信息（CUI），即在国防供应链中流转的、非涉密但仍然敏感的数据类别。CMMC 2.0 分为三个级别。第 1 级是针对仅处理 FCI 的承包商的基本网络卫生，采用自我评估，包含一组基础实践。第 2 级对大多数承包商而言是重头戏：它对应 NIST SP 800-171 中的 110 项控制措施，视合同而定，要求进行自我评估，或由认证评估机构（C3PAO）进行第三方评估。第 3 级在其上再增加一层，针对风险最高的信息，由政府主导评估。适用哪一级由您的合同决定，而不是由您的偏好决定。

企业实际卡在哪里

缺口很少是“我们没有安全措施”。通常是安全措施存在，却没有按评估人员需要看到的方式形成文档：没有系统安全计划（System Security Plan），没有针对已知缺口的行动与里程碑计划（Plan of Action and Milestones），政策只存在于某个人的脑子里而不是纸面上，或者 CUI 的范围边界从未清晰划定，以致现在网络的一半在技术上都属于范围之内。这些都可以修复，但需要实实在在的时间，而且在评估人员到场之前修复，成本要低得多。

我会如何帮您做好准备

我先梳理哪些 CUI 或 FCI 实际接触到您的环境，并划定一条站得住脚的范围边界。这一步出错是企业犯下的最昂贵的单个错误，因为它会把本不必纳入范围的系统拖进来。接下来是对照 110 项控制措施的坦率差距评估，把最重要的事情优先解决的整改计划，以及能让“我们是这样做的”变成评估人员可以核实的内容的文档，即系统安全计划和 POA&M。我会直接告诉您目前处于什么位置、需要付出什么，而不是说让您舒服的话。

国防供应链的期限不会为任何人的内部日程让步。如果某项合同条款让您直面 CMMC 要求，请联系我，让我们弄清您实际所处的位置。