您需要了解的有关 CMMC 认证的信息

随着网络安全成熟度模型认证 (CMMC) 接近全面实施，受影响的组织正在忙着确保他们能够通过认证流程。

目标很简单：组织必须满足最低网络安全标准，并在此过程中尽自己的一份力量来改善国家安全。对于估计有 300,000 个国防工业基地 (DIB) 组织来说，赌注非常高，这些组织很快需要获得五个 CMMC 级别之一的认证，才有资格获得联邦合同。简单地说：没有认证，没有合同。从美国政府和国防部的角度来看，风险一直很高，因为 DIB 在我们国家的国防中发挥着如此关键的作用。确保我们的数据受到保护和供应链完整性的唯一方法是让行业达到更高的标准。

我们是怎么到这里的？

来自国家和非国家行为者的对抗活动继续增加，据估计，经济成本令人震惊——全球 5 万亿美元。其他估计显示，2016 年美国经济的成本在 570 亿至 1090 亿美元之间。然而，对 CMMC 的需求不仅仅是为了经济利益，而是为了集体保护我们自己。大大小小的公司都为美国作战人员的成功做出了贡献，他们都将承担与 CMMC 相同级别的责任。

在联邦领域，只需快速浏览一下某架战斗机，就可以了解保护最终保护和保卫我们国家的组织的重要性。在商业领域，Target 漏洞表明业务合作伙伴如何成为最终促成攻击的薄弱环节。通过让 DIB 承担更多责任，我们不仅可以帮助满足新的业务需求，还可以满足战略要务，以增强抵御攻击的能力。时代变了，我们开展业务的方式也变了。不管你喜不喜欢，我们在现代战场上行动，在那里“战争”、“间谍”和“犯罪”等词都加上“网络”，这意味着私人和公共实体必须准备好做出现代反应。

什么是CMMC？

CMMC 有五个级别的技术和程序控制，旨在保护国防部承包商的受控非机密信息 (CUI) 和联邦合同信息 (FCI)。要达到 CMMC 5 级，组织将需要完成 171 项技术和程序控制的实施和评估。联邦领域的大多数网络安全专业人员会发现大部分 CMMC 控制措施都很熟悉。事实上，要达到 CMMC 级别 3，几乎所有的控制都可以在 NIST SP 800-171 中找到。自 2016 年起，很快将需要根据 CMMC 进行认证的组织已被要求满足 NIST SP 800-171 中概述的控制措施。关键区别在于组织不能再进行自我认证并提交行动计划和里程碑来解决缺陷.寻求认证的组织必须由 CMMC 第三方评估机构或经 CMMC 认证机构认证的评估机构正式评估，CMMC 认证机构是一个负责认证评估人员准备情况的非营利组织。虽然没有给出评估何时开始的日期，但最近已经开始对第一批 CMMC 评估员进行培训。

现在做什么？

CMMC 准备是一项实施网络安全基础和持续改进以实现更大弹性的练习。 CMMC 级别是累积和分层的，以便从一个级别建立到下一个级别，因此要达到级别 4，您必须完全符合级别 3。每个级别都与您的安全实践的复杂程度相关，从基本卫生开始到提升到更高级和更主动的措施，如第 5 级中的威胁搜寻。随着 171 种控制的复杂性不断增加，您会问从哪里开始？

• 自学： 了解 CMMC 概述的技术控制和政策。
  • 这是 CMMC 的第 1 版。
  • 这是 CMMC 的常见问题解答。
• 确定适合您的级别： 组织需要决定他们寻求哪个级别的认证。仅存储 FCI 的组织可能是达到 CMMC 级别 1 的内容，存储和处理 CUI 或参与更敏感工作的组织可能希望获得 CMMC 级别 3 或更高级别的认证。国防部将在提案请求中列出 CMMC 级别要求。
• 了解自己： 了解并记录从内部网络到业务合作伙伴的环境。人们常说“你不知道你无法为自己辩护”，这是真的。您必须先了解您的分段、系统和攻击面，然后才能希望对其进行防御。
• 自我评估： 确定您如何达到组织所寻求的认证级别的控制。确定当前未满足的任何控制措施，计划如何解决问题并重新评估。为了未来的灵活性，确定您的组织需要什么才能达到更高的水平。
• 购买： 我们的力量取决于我们最薄弱的环节；了解 CMMC 旨在帮助降低在国防领域开展业务的风险。一些控制可能很简单或已经完成，而其他控制可能需要您组织的各个部分的支持。您可能需要批准、增加预算或执行支持。从技术角度来看，某些控件可能被证明是一项繁重的工作。整个组织都需要认同、务实并尽自己的一份力量来支持和保护使命。
• 灵活： CMMC 是新的，它在大型复杂实体与 DoD 和 DIB 之间建立了桥梁。这些都是庞大的组织，CMMC 仍然存在未知数，一个月前已知的可能会发生变化。所以要灵活、耐心，并知道我们都需要做得更好来保护我们所珍视的东西。

无论您是需要获得 CMMC 1 级或 5 级认证，还是您的组织甚至不与国防部开展业务，CMMC 制定的标准都是任何组织完善其网络安全态势的路线图。无论您的起点如何，实现 CMMC 合规性都会对小型和大型组织构成挑战，但结果是我们迫切需要的改进。保护我们的数据和知识产权是合乎逻辑的，也是保持对对手的技术优势的绝对必要。网络安全基础实践的持续评估和改进对于实现数字弹性水平至关重要，这将使我们能够应对现代威胁。

Wayne Lloyd 是 RedSeal 的联邦首席技术官。