美国防部正式强制实施国防供应商网络安全合规要求

主要观点总结

本文介绍了美国国防联邦采购条例补充规定的新要求——网络安全成熟度模型认证2.0（CMMC 2.0），该计划旨在确保国防供应商妥善保护美国防部敏感数据。文章详细阐述了CMMC 2.0的内容、实施计划、争议、以及行业反应。还提到了准备工作的差距和面临的挑战，包括技术、流程变更、内部职责及流程的调整等。

关键观点总结

关键观点1: CMMC 2.0成为美国国防联邦采购条例的新要求

美国防部所有招标和合同都必须包含CMMC 2.0的要求，这是一项三级网络安全框架，要求国防供应商根据所处理数据的敏感程度采取适当的安全控制措施。

关键观点2: CMMC 2.0的实施分为三个阶段

第一阶段，供应商必须完成其网络安全合规性自评；第二阶段，需要通过经认证的CMMC第三方评估机构证明符合CMMC 2级标准；第三阶段，需要获得国防工业基础网络安全评估中心的CMMC 3级认证。

关键观点3: 业界对CMMC 2.0的实施存在争议和混乱

业界专家评估认为，CMMC准备工作方面仍存在差距，该计划合规要求的正式实施或将使国防工业基础和美国防部内部产生混乱。此外，一些人担心这一计划可能迫使小型企业和分包商付出高昂成本，从而严重影响国防工业基础。

关键观点4: CMMC 2.0的实际应用和影响

虽然有人认为该计划可能会带来一些挑战和混乱，但也有人认为它是证明承包商遵守美国国家标准与技术研究所已实施近十年的网络安全法规的机制。同时，随着美国防部分阶段推进CMMC实施，业界的不一致采用可能会导致工业基础以及国防部与其供应商合作方式发生重大变化。