服务

CMMC（网络安全成熟度模型认证）

CMMC 的出现，是因为国防部厌倦了只凭承包商的一句话。多年来，国防供应商依据 DFARS 对安全要求进行自我声明，结果参差不齐：有些认真对待，不少并不认真，敏感信息不断从供应链中最薄弱的环节流出。CMMC 2.0 用真正的核实取代了这种君子协定，与 NIST SP 800-171 中的控制措施挂钩：覆盖大多数承包商的是第 2 级，仅处理联邦合同信息的公司适用较轻的第 1 级，最敏感的工作则适用由政府评估的第 3 级。

如果您的合同要求 CMMC，它既不是可选项，也不能与您的客户商量，它是授标的条件。实际的问题不在于是否合规，而在于如何做到：既不超出预算和时间表，也不去认证超出必要的范围。

我实际做什么

大部分工作并不光鲜，却恰恰是风险藏身之处。我会坦率地对照相关控制措施集评估您的环境，不是走过场、说您想听的话，而是切实看清您现有的做法哪些达标、哪些没有。我帮您正确划定范围，这通常是最能节省成本的地方：很多公司默认把 CUI 边界划得过大，结果去保护那些原本根本不需要承载敏感数据的系统。然后是按真正降低风险、最快解除认证障碍的顺序排列的整改计划，加上系统安全计划和行动与里程碑计划，让您的做法成为 C3PAO 评估人员或您自己的自我评估能够认可的内容。

我不负责认证本身，那是获得认可的评估机构的工作。我所做的，是确保您站到评估机构面前时，不会有意外。

适合哪些组织

国防供应链中任何一环的主承包商和分包商，只要正面对着 CMMC 条款，需要知道具体要满足它需要什么，无论您是从只需要补文档和严格划定范围的强大安全体系起步，还是更接近从零开始。

如果某份合同或某家主承包商正在询问您的 CMMC 状态，请联系我，我们来谈谈您所处的位置以及前进的路径。