RSAC：网络安全成熟度模型认证(CMMC)计划即将推出

在RSA Conference 2022的小组会议上，专家小组讨论了美国国防部网络安全成熟度模型认证 (Cybersecurity Maturity Model Certification，CMMC) 计划的意义和机遇。

成都创新互联10多年成都企业网站建设服务;为您提供网站建设,网站制作,网页设计及高端网站定制服务,成都企业网站建设及推广,对成都混凝土泵车等多个方面拥有丰富的网站制作经验的网站建设公司。

FCW和国防系统高级编辑劳伦·威廉姆斯（Lauren Williams）解释说，如果一个组织想要与美国国防部开展业务，它最终必须遵守网络安全成熟度模型认证计划。过去几年，国防部一直在讨论CMMC，将其作为一种为国防承包商带来统一安全标准的方法。2022年，人们正在尝试定义更规范的2.0版本。

美国国防部代理首席信息官凯利·弗莱彻（Kelly Fletcher）表示，CMMC 1.0有五个级别，非常复杂。而新的CMMC 2.0仅具有三个合规级别，旨在实现简化的流程，使组织更容易理解。

“并不是说网络安全的管控不强大，只是这个过程更容易理解，”弗莱彻谈到 CMMC 2.0 时说。

弗莱彻解释道，CMMC 2.0 目前处于规则制定阶段。该计划将在 2023 年 3 月向美国管理和预算办公室 (OMB) 征求公众意见。目前预计 CMMC 将在 2023 年夏天影响美国政府的合同。

“如果你已经在与国防部合作，你应该查看合同的网络安全要求，因为今天合同中的许多要求与 CMMC 的要求相同，”弗莱彻说。

CMMC 认证机构的首席执行官马修·特拉维斯（Matthew Travis）解释说，第三方评估机构将对国防承包商进行评估。Travis 预计，CMMC 将需要持续监控和评估，而不仅仅是时间点的合规性。

DXC Technology的首席信息安全官迈克尔·贝克（Michael Baker）建议，企业现在应该开始关注CMMC，并评估供应链，包括关键分包商。

“我真的会优先考虑，如果你有能力领先于 CMMC，请确保你履行了义务，”贝克说。“这对你的企业来说是正确的事情，因为你不希望你的供应链中存在漏洞，长远来看，你必须向国防部负责，因为你没有做你需要做的事情。"

2020年1月31日，美国推出网络安全成熟度模型认证CMMC 1.0，时任担任美国国防部副部长的Ellen M. Lord宣布这项计划，并预告将在2026财年（2026年9月30日），规范所有新的国防部合约都需具备CMMC的要求。

CMMC的特性主要有下列三点：第一是具有“分层模型”的概念，要求国防部供应商需根据信息的类型与敏感性，逐步实施网络安全标准，同时这项计划还规定了，将信息向下传递给二线供应商的流程。

第二是“评估要求”，有了CMMC评估，将促使部门能够验证出明确的网络安全标准实施情形。

第三是“通过合约实施”，一旦CMMC完全实施，对于处理敏感未分类国防部信息的供应商而言，若要取得合约，供应商本身需具备的条件，是达到特定的CMMC等级。

如此一来，可借由创建分级制度，将安全层级明确订出，而最重要的部分则是，CMMC认证将经由美国国防部授权的第三方评估机构（C3PAOs）进行，以判定供应商是否合格。

其实，在2021年11月，美国国防部就发布了 CMMC 2.0版，与前一版内容相比，最明显的差异，就是网络安全成熟度的认证级别上的变化。

具体而言，美国国防部在原先的CMMC 1.0版中，划分出五种认证等级，由第一级到第五级由低至高排序，包括：基本网络防护（Basic）、中等网络防护（Intermediate）、良好网络防护（Good）、主动防护（Proactive），以及高端防护（Advanced）。

在2.0版将有所调整，省略原本第二级与第四级的过渡阶段，简化为三个等级：第一级为基础防护级（Foundational），第二级为高端防护级（Advanced），第三级为专家防护级（Expert）。同时，CMMC也朝向与NIST标准保持一致。

之所以发展出改进简化的CMMC 2.0版，主要是美国国防部在征求公众意见后，为了让中小企业更容易施行，因而进行改良，其中不仅简化认证标准，减少评估费用，也让合规要求所面临的障碍最小化。

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源：创新互联

猜你还喜欢下面的内容

​RSAC：网络安全成熟度模型认证(CMMC)计划即将推出