CMMC认证：国防承包商必知的关键洞察

随着网络安全成熟度模型认证(CMMC)即将全面实施，受影响组织正争分夺秒确保通过认证流程。

目标与利害关系

目标明确：组织必须满足最低网络安全标准，以此履行保障国家安全的责任。预计30万家国防工业基础(DIB)组织将很快需要获得五个CMMC等级之一的认证，才有资格竞标联邦合同。简单说：无认证，无合同。从美国政府和国防部视角，DIB在国家防御中扮演关键角色，利害关系向来极高。唯有要求行业遵守更高标准，才能确保数据保护和供应链完整性。

如何走到今天？

国家和非国家行为体的对抗活动持续升级，经济代价惊人——据估计全球达5万亿美元。其他估算显示，2016年美国经济损失在570亿至1090亿美元之间。但CMMC的必要性不仅关乎经济利益，更关乎集体防御。无论大小企业，都为美军战斗力贡献力量，CMMC将让所有企业承担同等问责。

在联邦领域，只需看一眼某款战机即可串联起保障国家安全组织的网络安全重要性。商业领域，Target数据泄露事件显示业务合作伙伴可能成为攻击的薄弱环节。通过强化DIB问责，我们不仅满足新业务要求，更履行增强抗攻击韧性的战略使命。时代变了，商业模式也变了。不管情愿与否，我们已身处"网络战争""网络间谍""网络犯罪"的现代战场，公私实体必须以现代化响应做好准备。

什么是CMMC？

CMMC设五级技术与程序控制，旨在保护国防承包商的受控非密信息(CUI)和联邦合同信息(FCI)。达到CMMC 5级需实施并评估171项技术与程序控制。联邦领域网安专业人员会发现，CMMC大部分控制措施并不陌生。事实上，达到CMMC 3级几乎所有控制均见于NIST SP 800-171。即将需CMMC认证的组织自2016年起已被强制要求满足NIST SP 800-171控制。关键区别在于：组织不再能自我认证并提交行动计划与里程碑(POA&M)来弥补缺口。寻求认证的组织必须由CMMC第三方评估组织(C3PAO)或CMMC认证机构认证的评估师正式评估。虽未公布评估开始日期，但首批CMMC评估师培训已近期启动。

现在该做什么？

CMMC备战是落实网络安全基本功与持续改进以实现更强韧性的演练。CMMC等级累积递进，上一级是下一级基础，达4级必须完全合规3级。每级对应安全实践成熟度，从基础卫生起步，升级至5级的威胁狩猎等高级主动措施。面对171项日益复杂的控制，从何入手？

• 自我教育：理解CMMC规定的技术控制与政策。
  • CMMC 1.0版本
  • CMMC常见问题解答
• 确定适合等级：组织需决定寻求的认证等级。仅存储FCI的组织可能满足于CMMC 1级；存储处理CUI或参与更敏感工作的组织可能需CMMC 3级或更高。国防部将在提案请求中列明CMMC等级要求。
• 知己知彼：理解并记录从内部网络到业务合作伙伴的环境。常言道"不知无以防"，确属实言。必须了解网络分段、系统及攻击面，才能指望防御。
• 自我评估：对照目标认证等级控制措施评估现状。识别未达标控制，规划整改并复评。为未来灵活性，识别达成下一等级所需条件。
• 全员共识：我们强弱取决于最弱一环；理解CMMC旨在缓解国防领域经营风险。部分控制简单或已落地，其他可能需组织各部门支持。可能需审批、增预算、高管赞助。某些控制技术实施难度大。全组织须共识、务实、各司其职支撑使命。
• 保持灵活：CMMC新近推出，在国防部与DIB等大型复杂实体间搭建桥梁。这些组织庞大，CMMC仍有未知数，一个月前已知信息可能变化。保持灵活、耐心，知晓我们都需做得更好以守护所重视的一切。

无论你需CMMC 1级或5级认证，抑或组织根本不与国防部打交道，CMMC标准都是任何组织成熟网络安全态势的路线图。无论起点如何，达成CMMC合规对大小组织均具挑战，但结果是我们迫切需要的改进。保护数据与知识产权既合乎逻辑，也是保持对抗对手技术优势的绝对必要。持续评估与改进网络安全基本功，是实现数字韧性、对抗现代威胁的关键。

Wayne Lloyd是RedSeal联邦首席技术官。