关于CMMC的6大核心问题：制造商指南

制造商需知事项

网络安全在制造业不是新话题。当连接设备、创新软件、先进机器人系统进入车间，网络安全就成了话题一部分。网络安全与工业4.0文章同登头条，但炫酷新技术的热度主导了对话。

制造商倾向于将网络安全置于次要位置。对许多人这不再是选项。制造业长期稳居最脆弱和最易遭受网络攻击的前5大行业。医疗、金融服务和政府机构部门都被要求遵守更高安全合规和风险管理标准。制造业尚未被要求更高标准，因此更易遭受网络犯罪。

网络安全成熟度模型认证（CMMC）正逼近行业，以下是制造商需问的6个关键问题。

什么是CMMC？

CMMC代表网络安全成熟度模型认证。该认证采用独特方法确保关键知识产权安全。最初，CMMC仅要求处理国防部（DoD）受控非密信息（CUI）的制造商和供应商遵守。

网络安全成熟度模型认证（CMMC）是认证约30万DoD供应链承包商和分包商具备适当网络安全流程和保护措施的方法。CMMC流程现在要求CMMC第三方评估组织（C3PAO）认证公司合规，并确保CUI安全。

CMMC包含5个成熟度等级，从“基础网络安全卫生”到“先进/进阶”。随着成熟度等级提高，企业为获得认证并保持合规必须遵循的规则和指南也增加。

为什么创建CMMC？

国防部将网络攻击视为重大威胁，特别是对支持大型主承包商的中小分包商。坏人意识到主承包商投入更多资源防攻击，供应链成更易目标。美国国家标准技术研究院（NIST）特别出版物（SP）800-171网络安全要求旨在保护与国防部（DoD）合作承包商的敏感信息，以遵守国防联邦采购条例补充（DFARS）252.204-7012条款。当DoD估计供应链仅少部分符合这些指南时，创建了网络安全成熟度模型认证（CMMC）。

网络攻击不幸是日常发生。“超过80%的国家国防信息存活在合作伙伴网络上，不再是你在做什么或我在做什么的对话；作为集体保护国家国防更重要的是我们在做什么，”Katie Arrington，国防部采购助理部长网络特别助理、CMMC主要推动者之一说道。

2018年12月，中国黑客据报从海军承包商窃取信息，包括舰船维护数据和导弹计划。这些行为直接威胁国家安全。即使像洛克希德·马丁这样的大型DoD供应商拥有顶级网络安全计划，DoD供应链中每个分包商和供应商也必须自我保护，否则将成为网络犯罪分子入口。DoD供应链中仅一个薄弱环节就可能使整个国家面临风险。

我的公司需要CMMC吗？

每家公司都应投资加强网络安全。据Radware调查，每次网络攻击估计成本460万美元。13%调查参与者经历成本达1000万美元或以上的网络攻击，该数字在2018至2019年一年内翻倍。新泽西制造推广计划（NJMEP）网络安全主题专家建议每个制造商将达到相当于“中级网络卫生”或CMMC 2级作为最佳实践。对DoD承包商，成熟度等级将取决于公司在DoD供应链中的位置。

确定DoD供应商、分包商或制造商必须遵守的五个CMMC成熟度等级中的哪一个，将由主DoD承包商决定，或可通过CMMC差距分析发现。所有与DoD有任何业务往来的供应商、分包商或制造商，无论多微小，都需要某级CMMC，但成熟度等级因业务处理的信息和从事工作而异。

若国防工业基础（DIB）公司不具备受控非密信息（CUI）但拥有联邦合同信息（FCI），则需满足FAR条款52.204-21，且必须至少获得CMMC 1级认证。

何时开始认证流程？

现在。DoD供应商、分包商和制造商应尽快开始CMMC认证流程，以避免失去关键DoD合同风险。从开始到结束，流程可能长达一年。2020年6月，CMMC开始出现在RFI中。企业可预期2020年9月RFP提及CMMC，评估将于2020年秋季开始。

立即行动并与熟悉CMMC及其源框架NIST 800-171的顾问合作至关重要。认证始于评估以确定组织当前所在CMMC成熟度等级。下一步执行深度差距分析，然后全服务修复。每个CMMC成熟度等级需不同时间和精力。但尽早开始将减轻公司、领导层和员工负担。

如果不认证会怎样？

对DoD承包商、分包商、供应商或制造商……

达到必要CMMC成熟度等级可能意味着获得下一个DoD合同与否的区别。DoD主承包商将开始要求所有分包商遵守这些关键新规则。任何不遵守这些指南并达到适当CMMC成熟度等级的制造商将无法继续从事DoD业务。

对非DoD制造商……

目前，只有DoD承包商面临未获CMMC而失去DoD工作的风险。然而，中小制造商始终面临网络攻击彻底摧毁业务的风险，有时甚至永无财务恢复可能。此认证为非DoD制造商提供极佳网络安全基线和最佳实践。根据网络安全评估结果，企业可确定哪个成熟度等级最适合他们。

谁能回答我关于CMMC的所有其他问题？

获取CMMC可能是挑战，尤其缺乏正确支持时。认证仍处于起步阶段，为制造商独自导航创造了困难环境。浏览acq.osd.mil/cmmc/faq.html等网站或与NJMEP等顾问合作是开始的最佳方式，将帮助将艰巨过程转化为任何企业的流线型增值。

理解CMMC、哪些企业受影响、何时行动、识别必要成熟度等级可能令人畏惧。别独自面对。网络安全至关重要但可能复杂。与正确团队合作、获得正确信息将被证明无价。

谨慎行事

围绕此话题有太多问题和推进中的发展。早期，许多公司声称能帮忙并收取巨额费用，甚至最终指南版本尚未决定或传达。无数公司出售解决方案或服务帮忙，难以确定信任谁。这不能简单外包给声称熟悉要求的托管服务提供商（MSP）。

1.https://www.radware.com/newsevents/pressreleases/c-suite-2019