什么是 CMMC？网络安全认证与合规指南

什么是 CMMC？

Cybersecurity Maturity Model Certification (CMMC) 是由美国国防部（DoD）设计的框架，旨在提升国防工业基础（Defense Industrial Base, DIB）内企业的网络安全态势。它规定了承包商必须满足的安全要求，以保护受控非涉密信息（Controlled Unclassified Information, CUI）和联邦合同信息（Federal Contract Information, FCI），免受网络威胁。

CMMC 框架将 NIST SP 800-171、NIST SP 800-53、ISO 27001、DFARS 252.204-7012 以及其他法规整合为分层模型，以确保国防承包商在与 DoD 开展工作之前遵守必要的网络安全实践。

为什么创建 CMMC

CMMC 的推出旨在解决国防供应链中的网络安全漏洞，并确保所有处理敏感 DoD 数据的承包商遵循严格的网络安全协议。其引入的关键原因包括：

• 在网络威胁不断增加的情况下，加强整个 DIB 的网络安全能力的需求
• 组织未能正确实施 NIST SP 800-171，导致安全漏洞
• 通过第三方验证网络安全就绪情况来提升问责性的需求

DoD 在网络安全合规中的作用

DoD 通过以下方式在网络安全合规中发挥核心作用：

• 制定网络安全标准 — DoD 制定诸如 CMMC、NIST SP 800-171 以及 DFARS（Defense Federal Acquisition Regulation Supplement）等政策。
• 落实合规要求 — 美国国防部(DoD)要求所有国防承包商在获得合同之前，必须满足网络安全要求。
• 开展审计与评估— 美国国防部(DoD)与 CMMC 第三方评估组织（C3PAO）合作，用于评估承包商的网络安全就绪情况。
• 提供指导与资源— 美国国防部(DoD)发布网络安全指南，并为相关项目提供资金支持，帮助中小企业遵循 CMMC 标准。
• 监测与应对网络威胁 — 美国国防部（DoD）与 NSA、CISA 和 FBI 等机构协调合作，以减轻对国防供应链的威胁。

CMMC 的演进：从概念到 CMMC 2.0

在 CMMC 之前，国防承包商被要求遵循 NIST SP 800-171 安全控制。然而，当时并没有独立验证来确认网络安全措施是否得到了正确实施；承包商只需要自行证明其符合性。结果是，许多承包商并未充分落实所要求的安全控制，而国防供应链中的网络入侵事件仍在持续上升。

为了解决这些问题，DoD 于 2019 年推出了 CMMC。其目标是通过对所有 DoD 承包商实施网络安全实践标准化，更好地保护敏感的国防数据；同时通过要求对合规情况进行独立验证来提高问责性。

CMMC 2.0 的关键变更

在 2021 年 11 月，DoD 对原有 CMMC 进行了修订，以简化合规要求并使其更易获得。CMMC 2.0 的主要变更包括：

• 从 5 个成熟度等级降低到 3 个 — 这三个 0 级分别为 Level 1（Foundational）、Level 2（Advanced）和 Level 3（Expert）。
• 重新引入自我评估 — 部分 Level 1 和 Level 2 组织现在可以每年进行自我评估，而不再需要第三方认证。不过，处理高优先级 CUI 的承包商仍需要第三方评估。
• 补救措施的灵活性 — 与 CMMC 1.0 不同，CMMC 2.0 允许组织提交 Plans of Action & Milestones（POA&Ms），为其留出时间来修复不足之处，同时仍可符合签订合同的资格。
• 取消独特的 CMMC 做法 — CMMC 1.0 除了 NIST SP 800-171 之外还包含额外的网络安全要求。CMMC 2.0 取消了这些要求，并与现有的联邦标准保持一致。
• 成本效益和可扩展性提升 — 精简的方法可以降低中小企业的成本。企业现在对需要实施的内容有了更清晰的指导。

CMMC 框架与结构

CMMC 如何与 NIST 网络安全标准对齐

CMMC 与现有的美国国家标准与技术研究院（NIST）网络安全指南高度一致，尤其是：

• NIST Special Publication (SP) 800-171 — 一套包含110项安全控制，用于定义保护 CUI 的最佳实践
• NIST SP 800-172 — 用于在高风险环境中保护 CUI 的增强型安全要求
• NIST 网络安全框架 (CSF) — 用于改进各行业网络安全风险管理的更广泛框架

这种对齐确保已经遵循 NIST 800-171 的组织能够更顺畅地过渡到 CMMC 合规要求。

三个 CMMC 成熟度等级概览

CMMC 2.0 定义了三个网络安全成熟度等级：

• 1 级（基础）侧重于基本的网络卫生实践。
• 2 级（高级）通过要求更高级的安全实践来保护 CUI。
• 3 级（专家）面向处理最敏感 CUI 的承包商。

CMMC 成熟度等级及其要求

1 级：基础网络安全

CMMC 1 级（基础）是面向国防部（DoD）承包商的入门级要求。该框架面向处理 FCI 但不处理、存储或传输 CUI 的组织，施加最基础的网络安全要求，并且仅需进行年度自我评估（无需第三方认证）。

安全要求

CMMC Level 1 的实践源自《联邦采购条例》(Federal Acquisition Regulation，FAR) 52.204-21（受保护承包商信息系统的基本保护）。这 17 项安全实践分为 6 个领域，每个领域都有各自的子领域：

谁需要遵守 CMMC Level 1？

• 处理 FCI 但不处理 CUI 的组织
• 在 DIB 中作为分包商工作，但不处理敏感政府数据的组织
• 为国防部（DoD）提供非关键商品或服务的组织

评估要求

• 组织应开展年度自我评估，并将结果提交给国防部（DoD）。
• 不需要第三方认证，但必须对合规情况进行记录。
• 如果被选中接受审计，组织必须提供已落实 17 项安全实践的证据。

第 2 级：受控非机密信息的高级保护

CMMC 第 2 级（高级）旨在建立强健的网络安全态势，以防止未经授权访问 CUI。对于处理、处理、存储或传输 CUI 的组织而言，这是必需的。

安全要求

第 2 级的 110 项安全控制分为 14 个领域，并包含各种子领域：

谁需要遵守 CMMC 第 2 级？

• 在 DoD 合同下处理、加工或存储 CUI 的组织
• DIB 供应链的一部分的组织
• 需要遵守 NIST SP 800-171 安全要求的组织

评估要求

CMMC Level 2 要求承包商完成两种评估类型中的一种：

• 第三方评估 每 3 年进行一次要求适用于处理关键 CUI 的承包商；要符合承接国防部（DoD）合同的资格，必须具备相应认证。
• 自我评估 （每年）适用于安全风险较低、且不属于优先级承包商的情况。评估结果必须报告给供应商绩效风险系统（Supplier Performance Risk System，SPRS）。

第 3 级：面向高风险承包商的专家级网络安全

CMMC 3 级（Expert）代表 CMMC 2.0 框架中最高水平的网络安全成熟度。它面向在高风险环境中处理最敏感 CUI 的承包商而设计。

安全要求

CMMC Level 3 在 Level 2（NIST SP 800-171）的基础上，通过引入 NIST SP 800-172 中的额外安全控制措施来进一步完善。 这些控制措施可增强组织检测、响应并从复杂网络威胁（包括高级持续性威胁（APT））中恢复的能力。

以下提供 CMMC Level 3 中增强的安全领域：

谁需要遵循 CMMC Level 3？

• 处理对国家安全至关重要的 CUI 的组织
• 参与高价值的 DoD 合同、并需要在应对国家级威胁方面提供最大保护的组织
• 支持任务关键型国防项目的组织

评估要求

与包含自我评估或第三方评估的 Levels 1 和 2 不同，CMMC Level 3 要求每三年进行一次由政府主导的评估。该评估由 DoD 的 Defense Industrial Base Cybersecurity Assessment Center（DIBCAC）执行，需提供对安全控制的详尽文件，并包括渗透测试以及模拟网络威胁场景。

CMMC 合规：对承包商意味着什么

对承包商而言，CMMC 合规是与 DoD 开展业务的前提条件。换句话说，未能达到所需的网络安全成熟度水平，可能会导致失去政府合同资格。

联邦合同信息（Federal Contract Information）与受控非机密信息（Controlled Unclassified Information）的区别

理解 FCI 和 CUI 之间的区别对于确定所需的 CMMC 合规等级至关重要。

CMMC 评估流程与认证要求

CMMC 认证流程会在组织与 DoD（美国国防部）开展合作之前，验证其是否符合网络安全标准。要参与 DoD 合同投标，需要完成认证。

评估类型取决于合同所要求的 CMMC 成熟度等级：

经认证的第三方评估机构

C3PAO 的作用

C3PAO 由网络安全成熟度模型认证授权机构（Cybersecurity Maturity Model Certification Accreditation Body，CMMC-AB）认证，负责为寻求 CMMC Level 2 认证的企业执行正式的网络安全评估。它们会评估企业是否符合 CMMC 安全要求，包括技术控制、政策以及文档。完成评估后，C3PAO 会将评估结果和建议提交给 CMMC-AB 进行最终审查。如果公司满足要求，CMMC-AB 将授予认证，该认证有效期为三年。

C3PAO 的要求

为避免利益冲突，C3PAO 不得在同一家公司中同时担任顾问和评估方。C3PAO 会接受定期审查和审计，以保留其来自 CMMC-AB 的认证资格。若其处理 CUI，则必须遵守严格的网络安全标准，其中包括联邦风险与授权管理计划（Federal Risk and Authorization Management Program，FedRAMP）的要求。

选择 C3PAO

寻求 CMMC Level 2 认证的公司必须从 CMMC Marketplace 雇用获得批准的 C3PAO；CMMC Marketplace 是经认可的评估机构目录。

CMMC 落地实施时间表与合规截止日期

国防部（DoD）于 2024 年 10 月发布了 CMMC 的最终规则，为联邦合同中的实施与合规奠定了基础。最终的 CMMC 项目规则 于 2024 年 12 月 16 日正式成为法律。

为使承包商在全面实施 CMMC 之前有时间进行调整并取得所需认证，推广将在 3 年内分 4 个阶段进行：

获得 CMMC 认证

什么是 CMMC 认证？

成为 CMMC 认证的步骤

认证第三方评估机构（C3PAO）的作用

CMMC 落地实施时间表及合规截止日期

准备 CMMC 评估

为 CMMC 评估做准备对于希望参与 DoD（国防部）投标或与其合作的组织至关重要。下面将重点拆解关键要求、常见挑战以及可帮助你准备的工具/资源。

审计前需要满足的关键要求

在接受 CMMC 评估之前，组织应采取以下步骤：

CMMC 认证流程

1. 确定您所需的 CMMC 级别。 如果您处理 FCI（但不处理 CUI），则为第 1 级；如果您处理 CUI，则为第 2 级或第 3 级。
2. 开展差距分析. 将您当前的网络安全政策与所需级别对应的 CMMC 要求进行对比。识别缺失的控制措施，并制定整改计划。编制安全政策、事件响应和风险管理的相关文档。
3. 制定系统安全计划（SSP）。 记录您的网络安全政策、流程和控制措施如何满足所需的控制要求。
4. 制定行动计划与里程碑（POA&M）。 如发现差距，请概述包含时间表的结构化整改计划，以实现全面合规。
5. 实施所需的安全控制措施。 根据您的 CMMC 级别要求，应用访问控制、加密、MFA、持续监控以及其他安全措施。
6. 进行自我评估。 使用 DoD 的 CMMC Assessment Guide 检查所有必需的控制措施是否已正确实施。
7. 确保合规文档完整。 在审计期间提供合规证据，请保留所有网络安全政策、流程和系统配置的详细记录。
8. 对员工开展网络安全最佳实践培训。 确保所有员工都理解贵司在 CMMC 下的安全政策和合规义务。

常见的合规挑战及应对方法

实现 CMMC 合规可能具有挑战性，尤其是对中小型承包商而言。以下是常见的障碍及解决方案。

• 文档不完整 — 确保创建一份全面的 SSP，详细说明已实施的安全控制措施，并制定事件响应计划，概述贵组织将如何识别、响应以及从网络安全事件中恢复。
• 访问控制不足 — 使用 RBAC 强制执行最小权限，并将 MFA 作为零信任（Zero Trust）框架的一部分来实施。务必采用适当的加密协议。
• 缺乏持续监控 — 使用自动化监控和 SIEM 工具实时监测威胁。
• 供应链安全漏洞 — 确保所有供应商和分包商满足 CMMC 要求。在合同中加入网络安全条款。
• 预算限制 — 在预算紧张的情况下实施所需的安全控制，可以利用价格相对实惠的 合规工具，申请 DoD 资助或财政援助，并优先修补高风险的安全差距。

CMMC 准备就绪的工具与资源

以下资源可在您准备进行 CMMC 评估时，帮助完成关键任务：

• 更深入地了解 CMMC — CMMC 研讨会和培训项目
• 评估贵组织的准备情况 — 来自 CMMC 认证机构的自我评估工具
• 实施处理 CUI 所需的控制措施 — NIST SP 800-171 Toolkit
• 获取端到端的支持 — 获 CMMC 认证的顾问可帮助您了解合规流程，开展差距分析，并为审计做好准备。

当您准备实施特定的安全控制时，可考虑以下这类工具：

• 合规管理 （跟踪进度、实施安全措施并生成所需文档）— Vanta、Drata、CyberStrong
• 实时监控、告警与报告 — Sumo Logic, Splunk
• 风险评估与缓解 — RiskWatch
• 安全弱点检测 — Tenable, Qualys, Nessus
• 强身份验证 — Okta, Microsoft Entra ID

CMMC 对国防工业基础的影响

加强整个国防供应链的网络安全

DIB 由数千家承包商组成，负责处理敏感的 DoD 信息。即使仅一家公司的网络安全薄弱，也可能为整个供应链带来漏洞。

CMMC 要求所有 DoD 供应商都实施强有力且一致的网络安全实践，从而有助于降低 数据泄露、间谍活动以及知识产权被盗的风险。网络安全态势较弱的组织（例如中小型企业）可能需要升级其安全措施，以满足 CMMC 的要求。

合规成为 DoD 合同的必备要求

CMMC 认证正在于 2026 年前逐步纳入 DoD 合同，最终将成为任何与 DoD 开展业务的公司所必须满足的要求。这将对 DIB 产生若干影响：

• 承包商必须投入合规工作，否则将面临失去 DoD 合同的风险。
• 获得 CMMC 认证的公司在争取合同方面将具备竞争优势。

对国防承包商的财务与运营影响

获得 CMMC 认证通常需要承担多种费用，包括以下内容：

• 网络安全顾问，协助设计并实施安全控制
• 对技术的投资，例如加密、MFA 和监控工具
• 用于制定、编写文档并管理安全策略与控制措施的 IT 工作负荷增加
• 对所有人员的培训
• 评估：C3PAO 的二级和三级评估费用可根据公司规模与复杂程度在 10,000 美元到 100,000+ 美元之间浮动，并且每三年需要进行一次；一级自我评估（年度）可能以较低成本实现，但仍需要提供文档。
• 不合规的罚款
• 因失去合同而错失的收入

对 DIB 的主要影响可能包括以下内容：

• 大型承包商将迅速适应，而小型企业可能难以获得认证。
• 对网络安全专业人员和 CMMC 顾问的需求将会增长。
• 合规成本可能会促使更大规模的整合。

更严格的供应链安全与供应商管理

在 CMMC 体系下，主要承包商必须确保所有分包商都满足必要的 CMMC 级别要求——企业在建立合作伙伴关系之前，必须评估供应商的安全性。

对符合 CMMC 的供应商的需求增加，将使遵循要求的企业在竞争中占据优势。然而，符合条件的分包商数量可能减少，从而可能削弱供应链的灵活性。

早期采用者的竞争优势

尽早获得 CMMC 认证的公司，在争取国防部（DoD）合同与合作伙伴关系方面将比竞争对手拥有战略优势。事实上，早期采用者很可能会主导 DoD 的合同机会。

CMMC 及网络安全合规的未来

CMMC 将继续演进。未来版本的 CMMC 可能会引入：

• 对自动化和持续监控提出更多要求
• 强制采用零信任（Zero Trust）安全原则
• 要求使用安全的云服务提供商（例如 FedRAMP High）
• 适用于 DoD 之外的政府部门

为了保持领先，组织应：

• 关注来自 DoD 的 CIO 办公室和 Cyber AB 的更新。
• 加入工作组，参加行业日活动，并参与网络研讨会。
• 保持灵活的网络安全计划，以便适应新的要求。

超越 DoD：为未来法规做好准备

像 CMMC 这样的网络安全成熟度模型正在迅速超越 DoD 领域而变得愈发重要。下面介绍这些模型为何以及在何处扩展，以及这对企业意味着什么。

监管格局的不断扩展

尽管 CMMC 最初是作为国防部（DoD）的倡议启动的，但其他联邦机构和各个行业也开始采用类似模式，以在其供应链中管理网络风险。当前正在引用 NIST SP 800-171，或在自身合同中评估与 CMMC 对齐的框架的机构包括：

• GSA（General Services Administration）
• DHS（Department of Homeland Security）
• DOE（Department of Energy）
• NASA（National Aeronautics and Space Administration）

商业领域开始注意到这一点

金融、医疗、能源和制造等行业面临越来越大的压力，需要保障其数字生态系统。推动这一转变的因素包括以下内容：

• 勒索软件和供应链攻击正在上升。
• 客户、投资者和保险公司正在要求提供网络安全成熟度方面的证据。
• 像 SEC、HIPAA 和 NERC 这样的监管机构正在收紧安全和报告要求。

网络成熟度即竞争优势

采用结构化成熟度模型的组织可以：

• 通过证明自身安全且符合要求，赢得更多合同
• 协商更优惠的网络保险保费
• 与合作伙伴和客户建立信任
• 更快响应审计、事件与监管变更

保险与法律影响

网络保险提供商和法律团队正越来越多地使用网络成熟度水平来：

• 确定保单费率
• 评估责任范围和风险暴露
• 应对数据泄露事件并处理诉讼

具备清晰文档、经过验证的控制措施以及成熟度模型的公司，在发生网络安全事件时更具可辩护性。

迈向全球标准

国际协同也在不断增强。像北约（NATO）这样的国家与联盟，正在探索或采用类似 CMMC 的模型，以保障自身国防和关键基础设施的供应链安全。

值得关注的动向包括：

• 英国的 Cyber Essentials Plus
• 欧盟的 NIS2 指令
• ISO/IEC 27001 成熟度集成
• 跨国公司正在在全球范围内采用 NIST 框架

结论

CMMC 是一项至关重要的框架，因为它建立了一套标准化且可执行的方法，用于在国防供应链的各个环节保护敏感的政府数据。它将网络安全从被动的 IT 职能转变为主动的、覆盖整个组织的责任。

CMMC 合规不再是可选项——而是竞争中的必需条件。现在采取主动立场的公共与私营部门组织，不仅能够满足 DoD 要求，还能将自身定位为值得信赖、具备韧性的合作伙伴。

常见问题

CMMC 具体做什么？

CMMC 是 Cybersecurity Maturity Model Certification（网络安全成熟度模型认证）的缩写。它根据承包商所处理数据的敏感程度，定义了国防部（DoD）承包商必须达到的特定网络安全实践和成熟度等级。对受控非密信息（Controlled Unclassified Information, CUI）以及联邦合同信息（Federal Contract Information, FCI）进行妥善保护，有助于增强国防工业基础（Defense Industrial Base, DIB）的安全性。

CMMC 和 NIST 有什么区别？

在网络安全领域，CMMC 与 National Institute of Standards and Technology（NIST）密切相关——尤其是对国防承包商而言——但它们的用途不同。以下是关键差异。

CMMC 的 3 个等级分别是什么？

CMMC 2.0 定义的三个成熟度等级如下：

请参阅“CMMC 级别与要求”细分部分，了解三种级别的详细讨论。

组织如何获得 CMMC 认证？

获得 CMMC 认证需要一个结构化流程，用于评估并验证贵组织的网络安全实践：

1. 确定您的合同或预期工作所要求的级别（1、2 或 3）。
2. 将您当前的网络安全态势与目标级别的要求进行对比，以识别缺失的控制措施、文档差距以及流程问题。
3. 制定系统安全计划（System Security Plan, SSP）以及行动计划与里程碑（Plan of Action and Milestones, POA&M）。
4. 实施所需的安全控制措施。
5. 聘请 C3PAO（用于 Level 2 评估）。
6. 接受评估。

欲了解详情，请参阅 CMMC 评估流程与认证要求，以及准备参加 CMMC 评估 这两个部分。

CMMC 认证值得吗？

是的，对于许多组织来说，CMMC 认证绝对值得，尤其是那些与美国国防部（DoD）和其他联邦机构合作，或希望开展合作的组织。关键原因包括以下几点：

• 要参与并赢得许多 DoD 合同，必须具备 CMMC 认证。
• CMMC 能帮助您识别并弥补安全方面的差距。这样一来，您就可以降低数据泄露和因勒索软件、网络钓鱼以及供应链攻击等原因造成停机的风险。
• 获得认证可以让您在（即使是）私营部门中也与不合规的竞争对手区分开来。
• CMMC 与正在超越 DoD 之外被采纳的 NIST 标准相一致。因此，通过实现 CMMC 合规，你将更有能力应对未来的联邦、州及行业法规。