CMMC 檢查清單：DoD 承包商稽核準備指南

什麼是 CMMC（Cybersecurity Maturity Model Certification）？

一家 DoD 承包商失去了一份重要的國防合約，因為他們以為對 NIST SP 800-171 進行自我證明就已足夠。截至 2025 年 11 月 10 日，情況已非如此。Cybersecurity Maturity Model Certification (CMMC) 2.0 是一套 DoD 網路安全認證框架，透過獨立評估來驗證國防承包商是否已實作既有的聯邦安全要求。它不會建立新的安全要求。它為自 2017 年起已在 DFARS 7012 下強制要求的控制措施增加了獨立驗證。

該計畫已編入 32 CFR 170（CMMC Program Rule），並透過 48 CFR 204（DFARS Acquisition Rule）執行。The Cyber AB 是 CMMC 生態系的認證機構。若您為國防部處理 Federal Contract Information (FCI) 或 Controlled Unclassified Information (CUI)，則適用 CMMC。

根據 48 CFR 204.7502，簽約官不得將合約授予未具備所需等級之現行 CMMC 狀態的投標者。您的 CMMC 檢查清單準備應從現在開始，而不是等到招標文件送到您桌上時才開始。

在 CMMC 之前，承包商會對其 NIST SP 800-171 實作進行自評分，並將結果提交至 Supplier Performance Risk System (SPRS)。自我證明在國防工業基礎（DIB）中造成了信任落差，使承包商得以在未經獨立驗證的情況下聲稱合規。

CMMC 透過要求第三方或政府評估來彌補此落差，具體取決於您處理資料的敏感性。您在 System Security Plan (SSP) 中聲稱的每一項控制，都必須經得起受過訓練的評估人員進行審查、訪談與實作技術測試。您的安全營運工具、稽核記錄、存取控制，以及 事件回應程序皆屬於 CMMC 的評估範圍。此框架將這些要求組織為三個認證等級，每個等級都有其各自的評估流程。

誰需要 CMMC 檢查清單？

並非每個與 DoD 互動的組織都面臨相同的 CMMC 要求，但其適用範圍比許多承包商預期的更廣。任何公司只要作為 DoD 合約的一部分而儲存、處理或傳輸 FCI 或 CUI，就必須在獲得合約授予前取得適當的 CMMC 認證等級。

持有包含 DFARS 252.204-7021 條款之 DoD 合約的主承包商，必須證明其具備招標文件所指定等級的現行 CMMC 狀態。此要求會向下延伸至供應鏈：為履行合約而處理 CUI 的分包商，必須獨立符合所需的 CMMC 等級，不能僅依賴主承包商的認證。根據 NDIA supply chain analysis，DFARS 向下流轉要求不受供應鏈層級位置影響而適用。

應維護 CMMC 檢查清單的組織包括：處理 CUI 的國防製造商與供應商、可存取 CUI 環境的 IT 服務供應商與受管服務供應商、承接 DoD 資助合約的研究機構，以及其員工可存取 CUI 系統的人力派遣或專業服務公司。小型企業並不豁免。若您的合約涉及 CUI，則無論公司規模或營收為何，皆適用 CMMC Level 2 要求。

門檻很明確：若您的合約目前包含或將包含 DFARS 252.204-7021，您就需要結構化的合規流程。CMMC 檢查清單可讓您追蹤控制實作、記錄證據蒐集，並在 C3PAO 或 DIBCAC 評估人員發現之前識別缺口。

如何判定您所需的 CMMC 等級

您所需的 CMMC 等級取決於您在 DoD 合約下處理的資訊類型。判定從一個問題開始：您的合約是否涉及 CUI？

將資料類型對應至認證等級

• 僅 FCI（Level 1）： 您的合約涉及基本的 Federal Contract Information，但沒有 CUI 標記。您需實作 FAR 52.204-21 的 17 項實務，並每年進行自我評估。
• CUI（Level 2）： 您的合約包含依據 CUI Registry標示為 Controlled Unclassified Information 的資料。您需實作全部 110 項 NIST SP 800-171 實務，並依合約接受 C3PAO 評估或自我評估。
• 高價值 CUI（Level 3）： 您的合約涉及由 DoD 識別之關鍵計畫中的 CUI。您需實作 134 項實務（110 項來自 NIST SP 800-171，加上 24 項來自 NIST SP 800-172），並接受由政府主導的 DIBCAC 評估。Level 3 以前提條件而言，要求具備現行 Level 2 狀態。

若您的合約未指定 CMMC 等級，請檢視招標文件中的 DFARS 條款。根據 32 CFR 170，簽約官會根據所涉資訊的敏感性決定所需等級。若有疑問，請直接聯絡您的簽約官。等級判定錯誤意味著為錯誤的評估做準備，這會浪費時間與預算。一旦您知道自己的等級，下表將精確顯示該等級的要求。

在使用檢查清單前了解 CMMC 等級

在處理任何 CMMC 檢查清單之前，您需要清楚了解每個認證等級的要求。這三個等級在實務數量、評估類型，以及其保護的資訊類別方面都有顯著差異。

第 1 階段實施已於 2025 年 11 月 10 日開始，主要聚焦於 Level 1 和 Level 2 要求。第 2 階段將於 2026 年 11 月 10 日開始，擴大強制性的 CMMC Third Party Assessment Organization (C3PAO) Level 2 評估。所有適用合約的全面實施將於 2028 年 11 月 9 日之後開始。

所有 Level 2 C3PAO 評估皆依據以下內容，遵循強制性的四階段結構 CMMC 流程：

1. 規劃與準備評估前作業： 定義範圍、提供 SSP 和網路圖，並就評估時程達成一致。
2. 評估是否符合安全要求： 評估人員會檢視文件、訪談人員，並直接測試控制措施。
3. 完成並報告評估結果： C3PAO 會將結果上傳至規定的報告系統。
4. 核發證書並結清 POA&M： 在允許期間內完成未結事項補救，否則將失去您的 Conditional CMMC Status。

評估人員使用三種來自以下內容的強制方法 NIST 171A：檢查（審閱文件、組態、日誌）、訪談（與人員進行結構化討論）以及測試（實作技術驗證）。您不能只靠書面資料通過。

CMMC 目前使用 NIST SP 800-171 Revision 2。根據 DoD CIO 常見問題，DoD 已對 DFARS 條款 252.204-7012 發布類別偏離，以在未來透過制定規則納入 Rev 3 之前，維持 Rev 2 作為評估標準。在此背景下，以下檢查清單可為您提供一條有結構的準備路徑。

評估前整備檢查清單

評估前整備涵蓋在您能夠準確界定範圍、製作文件或與 C3PAO 接洽之前，必須完成的基礎工作。此處識別出的缺口會影響您 CMMC 檢查清單上的每一項目。

資產範圍界定：

• 完成所有五類 CMMC 資產類別的硬體與軟體資產盤點（CUI Assets、Security Protection Assets、CRMA、Specialized Assets、Out-of-Scope）
• 繪製所有資料流，顯示 CUI 進入、流經及離開您環境的位置
• 記錄所有雲端服務供應商連線，以及其是否處理 CUI 或 FCI
• 識別所有外部連線、遠端工作者及供應商存取點
• 驗證範圍外資產在技術與實體上的隔離
• 在 SSP 中記錄 CRMA 風險管理 對每項 CRMA 指定的理由
• 識別所有 Security Protection Assets 及其安全功能

評估整備：

• 已使用以下內容完成對所有 Level 2 實務的差距分析 DoD 評估指南
• 已執行內部模擬評估或 Registered Practitioner Organization (RPO) 整備審查
• 人員已準備好接受評估人員訪談（能清楚說明其安全職責）
• 自我評估分數已提交至 SPRS
• 已從 Cyber AB marketplace 選定 C3PAO，並簽署委任協議

在與 C3PAO 接洽之前完成資產範圍界定並非可有可無。若評估人員在評估期間發現未揭露的 CUI 資產，可能會擴大範圍、延長時程，並將原本可通過的控制措施轉為發現事項。及早做好這一步，對評估結果的影響比 CMMC 準備中的任何其他單一步驟都更大。

CMMC Level 1 檢查清單（基礎控制）

Level 1 需要 17 項實務，來源為 FAR 52.204-21，分布於六個安全領域。這些是處理 FCI 的系統所需的基本防護要求。Level 1 不允許 POA&M：在進行自我評估之前，必須完整實作全部 17 項實務。

存取控制：

• 將系統存取限制於經授權的使用者、程序與裝置
• 限制對經授權使用者可執行之交易類型與功能的存取
• 驗證並控制與外部資訊系統的連線
• 控制張貼於或處理於公開可存取系統上的資訊

識別與驗證：

• 識別所有使用者、代表使用者執行的程序，以及裝置
• 在允許系統存取之前，驗證使用者、程序與裝置的身分

媒體保護：

• 在處置或重複使用前，清除或銷毀資訊系統媒體

實體保護：

• 將系統的實體存取限制於經授權的人員
• 陪同訪客、監控訪客活動，並維護實體存取日誌
• 保護並監控實體設施與支援基礎架構

系統與通訊保護：

• 監控、控制並保護外部與關鍵內部邊界上的通訊
• 為公開可存取元件實作與內部網路隔離的子網路

系統與資訊完整性：

• 及時識別並修正資訊系統缺陷
• 在適當的系統位置提供惡意程式碼防護
• 當有新版本可用時，更新惡意程式碼防護機制
• 定期執行系統掃描，並對來自外部來源的檔案執行即時掃描

對於已具備基本 IT 衛生措施的大多數小型承包商而言，達成 Level 1 合規是可行的。若已實作全部 17 項實務，您在此層級的 CMMC 檢查清單將易於文件化並進行自我證明。更顯著的準備負擔始於 Level 2，屆時必須依據文件化的營運證據評估 110 項實務。

CMMC Level 2 檢查清單（進階控制）

Level 2 對應到 NIST SP 800-171 Revision 2 中 14 個安全領域的全部 110 項實務。此 CMMC 檢查清單依領域家族組織。此處未列出全部 110 個個別實務項目；請使用 DoD 評估指南以取得完整的實務清單與評估目標。

• 存取控制 (AC)： 實作最小權限存取、管理特權帳戶、在閒置後強制工作階段鎖定、控制遠端存取與外部系統的使用，並禁止使用無可識別擁有者的可攜式儲存裝置。
• 稽核與問責 (AU)： 建立並保護系統稽核日誌，檢閱並分析日誌以偵測未經授權的活動，保留稽核記錄以支援事後調查，並提供系統能力以稽核 SSP 中定義的事件。
• 組態管理 (CM)： 建立並維護基準組態、強制執行安全組態設定、追蹤並控制系統變更，並在實作前分析變更的安全影響。
• 識別與驗證 (IA)：強制執行 多重要素驗證於所有網路存取與特權帳戶，管理驗證器強度與生命週期，並採用具抗重放能力的驗證。
• 事件回應 (IR)： 建立可運作的事件處理能力，包括準備、偵測、遏制、復原與使用者通報。測試事件回應能力並追蹤事件。
• 維護 (MA)： 執行系統維護、控制維護工具、清除移出場外維護的設備，並要求遠端維護工作階段使用 MFA。
• 媒體保護 (MP)： 保護包含 CUI 的系統媒體，將媒體上 CUI 的存取限制於經授權的使用者，在處置或重複使用前清除媒體，並在運輸期間控制對包含 CUI 的媒體之存取。
• 人員安全 (PS)： 在授權個人存取包含 CUI 的系統之前進行審查，並確保在人員異動（例如離職與調職）期間及之後保護 CUI。
• 風險評估 (RA)： 定期評估營運與資產風險，掃描 漏洞 於系統與應用程式中，並依據風險評估修補漏洞。
• 安全性評估 (SA)： 定期評估安全控制措施，制定並實施行動計畫，持續監控系統安全控制措施，並產出反映作業環境的最新 SSP。
• 系統與通訊保護 (SC)： 監控、控制並保護邊界上的通訊，實施促進安全性的架構設計與軟體開發技術，並 加密 傳輸中與靜態儲存的 CUI。
• 系統與資訊完整性 (SI)： 識別並處理缺陷，提供惡意程式碼防護，監控系統安全警示，並在有新版本可用時更新惡意程式碼防護。

完成 CMMC Level 2 檢查清單需要數月而非數週的持續投入。先前未實施 NIST SP 800-171 的組織，應在與 C3PAO 接洽之前，儘早開始差距補救工作。

CMMC Level 3 檢查清單（專家級控制措施）

Level 3 在完整的 Level 2 實務集之上，額外加入來自 NIST SP 800-172 的 24 項實務，總計 134 項實務。這些強化要求針對在關鍵 DoD 計畫中保護高價值 CUI 的組織。評估由 Defense Industrial Base Cybersecurity Assessment Center (DIBCAC) 執行，而非 C3PAO，且目前的 Level 2 狀態為先決條件。

額外的 24 項實務聚焦於五個強化控制領域：

• 強化存取控制： 採用動態存取控制方法，與組織風險策略協調，並支援即時存取決策
• 進階組態管理： 建立並維護具備完整性驗證能力、可追蹤變更的組態管理系統
• 強化事件回應： 建立security operations center (SOC)能力，並採用自動化機制支援事件處理
• 供應鏈風險管理：評估與供應商、開發人員及外部提供者相關的風險，並透過合約要求處理該風險
• 進階系統與通訊保護： 採用運用受管理介面的架構能力與系統組態，並使用邊界保護裝置與機制

Level 3 組織還必須展現持續監控、威脅狩獵能力，以及與聯邦網路安全機構的協調能力。由於 DIBCAC 執行政府主導的評估，排程前置時間相當長，因此在開始準備 Level 3 CMMC 檢查清單之前，及早與 DoD 計畫辦公室協調至關重要。

文件與證據檢查清單

文件與證據缺口是 CMMC 評估停滯或失敗的最常見原因。您的 SSP 是任何 CMMC 檢查清單中的核心成品，但評估人員需要涵蓋範圍內每個領域的完整證據套件。

SSP 與文件：

• 涵蓋全部五個類別中所有範圍內資產的完整描述
• 顯示 CUI 資料流與系統邊界的最新網路圖
• 所有安全控制措施及其實施狀態的文件
• 安全控制措施實施的角色與責任
• 事件回應程序與聯絡資訊
• 所有列出的非 POA&M 實務均已完整實施 (AC.L2-3.1.20, AC.L2-3.1.22, CA.L2-3.12.4, PE.L2-3.10.3, PE.L2-3.10.4, PE.L2-3.10.5)

證據蒐集：

• 證明持續監控的系統日誌（AU 領域）
• 存取控制組態與目前授權使用者清單
• 所有範圍內系統的多重要素驗證記錄
• 包含日期與內容的安全意識訓練完成記錄
• 事件回應計畫 及其文件化演練記錄
• 組態基準與變更管理記錄
• 弱點評估結果與修補追蹤
• 密碼學 文件與憑證
• CUI 區域的實體存取日誌
• 媒體清理記錄
• 第三方與雲端服務供應商 CUI 處理文件

認證後維護：

• 每年自我評估，並由高階主管簽署證明
• 每年提交確認聲明至 SPRS
• 持續維護持續監控與稽核記錄
• 環境變更時更新 SSP
• 於到期前啟動重新認證規劃

根據 Cyber AB CAP，若沒有充分文件化的 SSP，評估將無法進行，並預設導致評估失敗。在整個準備過程中持續建立您的 CMMC 檢查清單證據儲存庫，而不是等到評估日期前幾週才開始。

CMMC 檢查清單實作中的常見錯誤

許多承包商對其現有安全計畫充滿信心而著手進行 CMMC，卻在評估準備期間停滯不前。以下是最常見的失敗點以及避免方式。

導致評估失敗的範疇界定錯誤

過度擴大 CUI 環境範疇 會在未提升安全性的情況下增加成本與複雜性。若某系統從未處理、儲存或傳輸 CUI，適當的 Contractor Risk Managed Asset (CRMA) 指定與技術隔離可合法縮小您的評估範圍。然而，根據 CMMC process，CRMA 指定「須由評估人員酌情裁量」。每個 CRMA 都必須在您的 SSP 中有文件化的佐證理由。

同樣危險的是：範疇不足，例如排除包含 CUI 的備份系統、處理 CUI 的雲端服務，或遠端工作者端點。若 CUI 可能經過某系統，則無論是否有非正式聲明，該系統都屬於範疇內。

描述意圖而非現實的文件

根據 Cyber AB CAP，若沒有充分文件化的 System Security Plan，評估將無法進行，並預設導致評估失敗。您的 SSP 是 CMMC 中最關鍵的單一文件，且必須反映實際營運狀態，而非理想化的安全姿態。

常見的證據缺口包括：存取控制清單缺少最近新增的人員、政策缺乏高階管理層背書，以及由非適當擁有者、操作人員或主管簽署的證明文件。

POA&M 管理不當

某些實務不得列入 Plan of Action and Milestones (POA&M)，包括 CA.L2-3.12.4 (System Security Plan)、數項實體保護實務，以及特定存取控制實務。若您在這些控制項存在缺口的情況下進入 C3PAO 評估，可能必須面對一次全新的評估。

若您取得附帶條件的 CMMC 狀態且仍有未結 POA&M 項目，則結案時限是絕對的。根據 DoD CMMC guidance，若未能在文件規定期間內完成 POA&M 結案，您的狀態將到期，且沒有文件化的延長選項。

在所有這些失敗點中，共通關鍵在於時機。從差距到取得 CMMC 認證的時程可能相當長，而錯過期限或重複評估所帶來的成本也相當可觀。下一步是了解實際的預算與時程概況。

CMMC 評估成本與時程預期

預算與時程是承包商開始準備 CMMC 時最常見的兩大關切。兩者都會因貴組織的規模、現有安全成熟度，以及您所需的認證等級而有顯著差異。

典型時程範圍

根據 DoD CIO guidance，雖然沒有固定的準備期間，但產業經驗提供了實用的基準：

• Level 1 自我評估：對於已具備基本控制措施的組織，需時 1-3 個月。
• 具備既有 NIST SP 800-171 計畫的 Level 2： 6-12 個月，涵蓋差距補救、證據蒐集與 C3PAO 排程。
• 從零開始的 Level 2： 12-18 個月或更久，包含控制措施實作、文件撰寫、證據成熟化，以及評估人員可用性。
• Level 3 政府評估： 時程取決於 DIBCAC 排程，且須先具備目前有效的 Level 2 狀態。

C3PAO 的可用性也會拉長這些時程。根據 GAO-26-107955，評估人員量能有限，因此及早接洽非常重要。

成本考量

評估成本取決於您的環境規模與範疇複雜度。主要成本類別包括：用於差距分析與補救支援的顧問與 RPO 費用、C3PAO 評估費用（依組織規模與範疇而異）、針對尚未實作控制措施的技術投資，以及用於文件與證據準備的內部人員時間。 

CUI 範疇較小的小型分包商，支出將低於管理複雜多站點環境的大型主承包商。請及早將這些成本納入您的計畫規劃，以避免在回應招標時出現意外。有了預算與時程規劃後，以下營運實務可協助您充分發揮兩者效益。

使用 CMMC 檢查清單的最佳實務

通過 CMMC 評估不只是勾選 CMMC 檢查清單上的項目而已。這些實務可協助承包商建立評估人員所期望的持續性 CMMC 合規態勢。

先進行 CUI 探索，而非控制措施實作

在部署任何單一安全控制措施之前，先識別 CUI 存在的每個位置。常見位置包括：

• 電子郵件封存與協作平台
• 人資檔案與專案文件
• 供應商文件與會議記錄
• 共用磁碟與雲端儲存

精確描繪 CUI 如何進入您的環境、在何處流轉、儲存於何處，以及從何處離開。此 CUI 對應圖將驅動您的 SSP，並直接決定您的評估範圍。若外部 雲端服務供應商 處理 CUI，則其必須符合 DFARS 252.204-7012(b)(2)(ii)(D) 要求。

在評估前先分割您的網路

適當的分割是縮小評估範圍的主要機制。在內部網路與網際網路之間部署防火牆。使用路由交換器建立區域，將 CUI 環境與一般業務網路分隔，並且 加密 所有經由網際網路傳輸的 CUI。Singularity Platform 的原則強制執行與裝置控制功能可透過控制周邊裝置對處理 CUI 系統的存取，支援此類分割。

以數月而非數天建立證據

建立與 CMMC 控制措施家族對齊的結構化證據儲存庫。持續填充，而非被動因應。該 Level 2 評估指南 要求提供證據，證明控制措施能隨時間持續一致地運作，因此訓練紀錄、稽核日誌樣本、弱點掃描結果及事件回應演練文件都必須顯示持續運作。評估人員評估的是營運成熟度，而不只是技術上的存在。

讓您的人員為訪談做好準備

無法向評估人員說明其安全職責的人員，是經常被低估的失敗點。請進行內部訪談演練。確保範圍內的每個人都能說明自己做什麼、為何這麼做，以及相關內容記錄於何處。

評估人員將訪談數個關鍵角色的人員：

• 安全意識訓練受訓人員
• 資訊安全訓練管理員
• 事件回應團隊 成員
• 稽核監控與日誌審查人員

在這些群組間做好準備可建立信心，並減少評估期間的意外狀況。

落實分包商要求的逐級傳遞

根據一份 NDIA 供應鏈分析，DFARS 252.204-7012 的逐級傳遞要求適用於任何在履約過程中儲存、處理或產生 CUI 的分包商，且「不論其位於供應鏈的哪一層級」。識別所有將處理 CUI 的分包商，並在分包協議中納入 CMMC 條款的逐級傳遞。驗證每個分包商在所需層級具備適當的 CMMC 狀態。不要將 CMMC 要求逐級傳遞給不會處理 CUI 的分包商。

持續一致地套用這些實務，可建立評估人員所重視的營運成熟度。適當的安全工具還可進一步減少維持該態勢所需的人工作業。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

CMMC 2.0 現已可執行，且第 1 階段自 2025 年 11 月 10 日起生效。您的 CMMC 檢查清單必須涵蓋資產範圍界定、SSP 文件、證據蒐集，以及 Level 2 實務的持續維護。最常見的失敗包括：文件描述的是意圖而非實際營運情況、CUI 探索不完整，以及被動式的證據蒐集。 

請在需要取得認證之前很早就開始準備 CMMC 合規，將有限的 C3PAO 量能納入考量，並建置可依設計產生 CMMC 認證證據的監控基礎架構。