CMMC 合规以及 MDM 风格 USB 控制在保护 CUI 中的关键作用

法规更新

美国国防部已将 32 CFR 替换为适用于 CMMC compliance 的 48 CFR 规则，从而为国防承包商建立新的执法框架。该变化标志着更强大、可执行性更高的合规机制的开端，要求组织验证控制措施并弥补任何差距，以满足联邦标准。

这一转变代表着根本性的变化：CMMC不再是“愿景”。合规现在是一项可衡量、可执行的要求，并且与合同资格直接挂钩。

CMMC 的现状：变了什么、为什么重要

CMMC（Cybersecurity Maturity Model Certification，网络安全成熟度模型认证）并不新鲜，但现在变得十分紧迫。在经历了多年的不确定之后，国防部通过 48 CFR 完成了更新，使 CMMC 的执法真正落地。该规则的发布启动了一个短暂的合规倒计时，为组织留出了有限的时间来与要求对齐。

从核心来看，CMMC 证明企业正在满足 NIST 800-171 中概述的标准：保护受控非密信息（Controlled Unclassified Information, CUI）和联邦合同信息（Federal Contract Information, FCI）。对于管理更高敏感度项目的组织，NIST 800-172 增加了额外一层加强的安全要求，旨在保护 CUI 免受高级持续性威胁（Advanced Persistent Threats, APTs）的侵害。它不只是“制定了政策”而已，更在于展示你具备有效的控制能力。FCI 属于 1 级（自我评估），而 CUI 则要求在 2 级和 3 级进行合规，并通过第三方或政府审计进行验证。需要注意的是，3 级要求超出了 NIST 800-171 的范围，并且与 NIST 800-172 中定义的增强保护更为一致。

CMMC 评估等级

• 等级 1： 自我评估（适用于 FCI）
• 等级 2： 第三方评估（需要 C3PAO）
• 等级 3： 政府评估（由 DIBCAC 执行）

所需等级取决于具体的美国国防部（DoD）合同。无论是总承包方还是分包方，合规现在都是经营成本的一部分。

为什么 CUI 保护比你想象的更复杂

Confidential Unclassified Information (CUI) 是支撑政府制造与国防的工程、设计或项目数据。与一般行业不同，许多国防工业基础（DIB）组织在“隔离网络”（air-gapped）环境中运行，以将关键系统与互联网隔离。这意味着它们仍需要大量依赖 USB 驱动器在工作站、制造工具以及合作伙伴之间传输数据。

仅仅禁用 USB 端口并不是一个可行的选项。这些组织需要具备在确保 CUI 不以未加密或未经授权的方式离开受控环境的前提下，安全传输数据的能力。

关键定义与要求

• CUI（Controlled Unclassified Information）： 支持政府或国防项目的敏感工程或项目数据。
• FCI (Federal Contract Information)： 需要予以保护的政府合同相关数据。
• 加密要求： U 盘驱动器上的所有 CUI 都必须使用通过 FIPS 验证的加密方式，通常是 AES-256 标准。
• 审计： CMMC 是基于证据而非基于信任的。企业必须通过评估和证据来证明合规性。

重新思考 MDM：像管理移动设备一样管理 U 盘

Netwrix 的做法以与移动设备相同的纪律来对待可移动介质。Netwrix Endpoint Protector 作为 U 盘驱动器的 MDM，强制加密、监控数据流转，并提供集中式的远程管理。管理员可在 U 盘连接时自动强制加密，将解密密钥与设备分开存储，并通过禁用密钥可用性来立即撤销访问。这种分离实现真正的 MDM 风格控制 ——即使物理 U 盘仍在现场——确保未经授权无法解密或外传数据。管理员还可以按用户或设备信任级别应用细粒度策略，并即使在异地也可远程擦除 U 盘。

这种统一的方法使组织在确保合规和控制的同时维持生产力，尤其适用于传统数据传输方式受限的隔离网络（air-gapped）环境。除加密之外，它还提供全面的控制、可视性以及合规性的证明。

Netwrix Endpoint Protector 提供：

• 文件追踪与影子拷贝（shadowing）： 全面可视地了解写入到任意 USB 驱动器或从中检索到的数据内容。
• 内容感知保护： 用于检测并阻止特定 CUI 类型或元数据的策略。
• 介质清理（sanitization）： 与 NIST 800-88 标准一致的远程清除与覆盖。
• 与 SIEM 工具集成： 在不同环境中对设备活动进行集中监控。

这些能力合在一起，帮助组织弥补一些最难攻克的 CMMC 差距，例如访问控制、加密强制、多因素身份验证的一致性以及数据清理。

更大的图景：通过 Identity 来保护数据

端点防护只是拼图的一部分。为了实现与 CMMC 的全面一致，组织还需要能够看清数据如何流转、以及谁可以访问数据。正是在这里 Netwrix Data Security Posture Management (DSPM) 与 Netwrix Endpoint Protector 相辅相成，帮助识别风险、监控权限，并检测混合环境中的数据流动。

数据安全从 Identity 开始，而 CMMC 强化了这一原则。无论是管理 USB 加密还是强制 least privilege，目标都是相同的：保护正确的数据不离开正确的人员手中。