国防供应商合规：两大网络安全误区如何塑造未来
据估算，国防工业基础（DIB）涵盖制造与非制造领域约30万家公司，其中99%为员工少于500人的中小企业。
自2017年12月起，所有DIB企业合同均包含国防联邦采购条例补充（DFARS）条款（252.204-7012 - 保护受控非密信息与网络安全事件报告）。近三年来，DIB中存在多个错误认知，两个关键误区值得深究……
误区一：自我认证无关紧要
签署DoD合同即意味着制造商自我认证采用"足够网络安全"保护受控非密信息（CUI）。DFARS条款定义"足够网络安全"为：全面落实NIST特别出版物800-171中的110项安全要求。
许多制造商假设自身网络安全体系达标。CMTC客户初期普遍自评合规度70%-80%，但基础差距分析后的实际平均合规率仅约34%。
过往博客已涵盖网络安全合规常被忽视的法律风险。归根结底，欲与国防部（DoD）合作，必须接受合同条款、从而自我认证合规网络安全态势。
误区二：外包IT服务商万事大吉
许多小企业缺专职IT人员资源，依赖第三方IT服务商。为维持运营，外包商被赋予企业信息系统高权限管理访问权。制造商常假设一切按计划推进。制造商必须监管第三方IT服务商，掌握其具体作为。 制造商与IT服务商的网络安全协同是双向的，企业须深度参与服务商工作的活动与成果。
就风险敞口而言，110项安全要求中约半数直接关联第三方IT服务商通常提供的技术运营与技术方案。某些网络安全措施关乎业务运营基础，政府合理假设所有DoD供应商会主动管理自身风险。制造商与IT服务商必须协同达成DoD合规。DoD供应商长期承担合规责任。
这两大关键误区叠加，将产生巨大技术债与合规债。
政府网络安全合规审计在即，最佳前行路径：监管IT服务商，协同推进整体合规。
建议后续行动
- 聚焦现有DFARS要求。
- 深入理解NIST SP 800-171底层假设。
- 建立稳健的第三方供应商管理流程。
- 深入理解合同流转义务。
如需监管生态全景速览及本文主题深度探讨，可观看CMTC点播网络研讨会。
工业技术