什麼是 CMMC 合規？定義、等級與要求

什麼是 CMMC？

網路安全成熟度模型認證（CMMC）是國防部用來驗證承包商是否確實保護敏感資訊的框架。在計畫層級，CMMC Program Final Rule 確立了 CMMC 的目的：保護您在履行 DoD 合約期間處理、儲存或傳輸的受控非機密資訊（CUI）與聯邦合約資訊（FCI）。根據 DFARS 204.7500，CMMC 是「用於評估承包商資訊安全防護的框架」，並規定在 DoD 合約中納入認證等級要求的政策與程序。CMMC 2.0 將原本的五級模型簡化為三級，而 Final Rule 記錄了該更新後的結構。

在 CMMC 之前，承包商以有限的外部驗證，自我證明符合 NIST SP 800-171。如果您提交了誇大的 Supplier Performance Risk System (SPRS) 分數，而稽核發現實際分數嚴重為負，您可能引發 False Claims Act 問題，而不只是合規檢查失敗。這就是 CMMC 存在的營運原因：當涉及 CUI 時，DoD 不再依賴自我證明。

供應鏈事件讓風險更加明確。根據 SentinelLabs report，2022 年攻擊者對 Viasat 的 KA-SAT 衛星網路發動破壞性 wiper 攻擊，導致歐洲與烏克蘭數萬名客戶的通訊中斷。根據 CISA alert，2020 年 SolarWinds 供應鏈入侵事件影響多達 18,000 名客戶。當您的環境涉及 DoD 計畫時，CMMC 會要求您證明自己能保護 CUI，而不只是聲稱可以。

FCI 與 CUI：您的認證等級保護什麼

CMMC 合規將控制措施的文件化與可驗證的證據連結起來，以證明這些控制措施在您的環境中確實有效。CMMC 採用通過/失敗的認證模式。您要嘛透過可驗證證據展示運作中的控制措施，要嘛就無法取得認證。有兩類資訊會決定您的要求：

• Federal Contract Information (FCI)： 政府為您的合約工作提供或產生此資訊，且不打算對外公開。您需依 FAR 52.204-21 的基本保護要求來保護它。
• Controlled Unclassified Information (CUI)： 法律或政府整體政策要求對此資訊進行保護。您需透過符合 NIST SP 800-171 來保護它。

這項區分會影響您如何界定系統範圍、選擇目標等級，以及建立證據計畫。National Archives 的 ISOO 在 ISOO guidance中釐清了其層級關係：「Government contractor 持有的所有 CUI 都是 FCI，但並非所有 FCI 都是 CUI。」如果您正確分類資料，就能正確界定範圍，而範圍界定正是大多數 CMMC 結果的起點。

接下來，確認 CMMC 是否適用於您的合約與供應鏈角色。

CMMC 合規適用對象

如果您是國防工業基礎中的承包商或分包商，並且在履行 DoD 合約期間處理 FCI 或 CUI，則 CMMC 適用於您。您所需的等級取決於您接觸資訊的敏感性，以及該資訊流向何處。

• Level 1 (Foundational): 您僅處理 FCI，不涉及 CUI。這通常適用於基本支援職能，在這些情況下 CUI 不會進入您的系統。
• Level 2 (Advanced): 您處理 CUI，例如技術資料、工程規格、採購敏感資訊或設計文件。當 CUI 沿著supply chain向下流動、當您執行具有 CUI 標記輸出的研發計畫，或當您提供維護含有 CUI 之系統的 IT 服務時，您會看到此等級。
• Level 3 (Expert): 您在 DoD 的最高優先計畫中管理 CUI，在這些計畫中，遭到入侵會為對手帶來實質優勢，或任務影響與資訊聚合會提高您的風險概況。

CMMC 等級具有累積性：當您以較高等級為目標時，您也必須符合其下各等級的要求，而 CMMC Program Final Rule定義了該結構。

一旦您知道自己的等級，就可以將其對應到決定資格的條款、評估與後果。

CMMC 合規如何運作：法規與後果

CMMC 是透過合約語言產生約束力，而非自願採用。兩項聯邦法規賦予其法律效力，而未能符合這些法規的後果不僅僅是稽核失敗。了解法規架構、您的評估途徑，以及不合規實際會讓您付出什麼代價，是正確界定整備工作範圍的基礎。

法規架構

兩項 DFARS 條款將 CMMC 納入您的合約。

• 該 DFARS 252.204-7021 clause要求您「在合約期間內，於下列 CMMC 等級或更高等級，具備並維持有效的 CMMC 狀態。」
• 該 DFARS 252.204-7025 provision要求您在授標前將評估結果發布至 SPRS，並識別將處理 FCI 或 CUI 的系統。

這些條款正是將 CMMC 從指引轉變為合約準入標準的關鍵。

評估途徑

評估途徑會因等級與招標而異。您還必須每年確認持續合規，而 DoD 計畫辦公室會決定您的 Level 2 合約需要自我評估還是 C3PAO 認證。

兩個營運細節通常會影響實務中的結果：

• Level 2 需要符合 NIST SP 800-171 的 110 項要求，如 NIST SP 800-171.
• 在有條件途徑下，當您符合該計畫的最低實作門檻時，Level 2 允許有限的 Plans of Action and Milestones (POA&Ms)，且 DFARS 204.7501 definitions 記錄了 CMMC 狀態術語。

當允許 POA&Ms 時，您仍然面臨明確的時限。根據相同的 DFARS 204.7501 definitions，有條件狀態具有時間限制。

不合規的後果

未持有所需的 CMMC 狀態，將在三個層面帶來後果：合約資格、法律風險，以及履約持續性。

• 合約不具資格是結構性的，而非裁量性的。 如果您未持有所需的 CMMC 狀態，則在合約要求該狀態的情況下，您無法獲得授標或持續履約。
• False Claims Act 風險 會成為您最嚴重的法律風險，當您為了資格、授標或付款而聲稱合規，卻無法以證據支持時。
• 合約終止及其他救濟措施 可能隨之而來，如果您的有條件狀態到期，而您仍無法維持繼續履約所需的狀態。

監管後果是刻意設計得相當嚴重。DoD 設計 CMMC 的目的，是讓不準確的自我證明代價高昂到足以使承包商將證據蒐集視為持續性的營運要求，而非評估前的臨時抱佛腳。

現在您已了解其運作機制，接著可以將所需等級對應到評估人員將驗證的成熟度期望。

了解 CMMC 2.0 成熟度等級

您所需的等級取決於您處理的資訊類型以及您支援的計畫。每個等級都建立在其下方等級之上，因此較高的認證也表示您已滿足較低等級所要求的一切。以下是各等級在實務上的要求。

Level 1：基礎

如果您僅處理 FCI，Level 1 對應於 FAR 52.204-21 的基本防護要求。此等級的 17 項實務涵蓋基本資安衛生：將系統存取限制於授權使用者、在授予存取權限前對人員進行審查、維持與 CUI 相關空間的實體安全，以及確保系統可接受稽核並可復原。您需每年完成一次自我評估，且在此等級不得使用 POA&Ms。自我評估須由公司高階主管簽署，這會對該聲明建立直接責任。

Level 2：進階

如果您處理 CUI，Level 2 直接對應至 NIST SP 800-171 Rev. 2，並要求證據證明 14 個實務領域中的全部 110 項控制措施皆已實作並運作。依據您的招標要求，您可透過自我評估或 C3PAO 第三方評估來滿足此要求；適用哪一種途徑由 DoD 計畫辦公室決定。Level 2 也要求維護系統安全計畫 (SSP)，以記錄每項控制措施如何在您的環境中實作。

Level 3：專家

如果您支援最高優先級的計畫，Level 3 以防禦進階持續性威脅為目標，並在 Level 2 的基礎上加入取自 NIST SP 800-172 子集的強化要求。Level 3 評估由來自 Defense Contract Management Agency 的政府評估人員直接執行。此等級保留給在相關計畫中處理 CUI 的承包商，因為若對手取得存取權，將造成重大的國家安全風險。

一旦您知道自己的等級，接著需要了解它何時適用於您的合約。

CMMC 實施時程

The CMMC Program Final Rule 已於 2024 年 12 月 16 日生效，並採用四階段推行方式，在三年內將要求納入 DoD 合約。並非透過單一開關一次套用至所有合約：DoD 會依招標類型與等級分階段納入 CMMC 用語。

• 第 1 階段（2024 年 12 月 16 日生效）： DoD 可在招標中納入 Level 1 或 Level 2 自我評估要求。如果您的合約已包含 CMMC 用語，您必須在授標前或作為合約條件完成自我評估、將結果提交至 SPRS，並提供年度確認。此階段目前已生效。
• 第 2 階段（約於 2025 年 12 月開始）： DoD 可在招標中要求 Level 2 C3PAO 第三方評估。先前允許自我評估的合約可能轉為要求獨立認證。當第 2 階段招標進入市場時，請確認您合約的評估途徑，因為 C3PAO 排程前置時間可能會壓縮您的準備窗口。
• 第 3 階段（約於 2026 年 12 月開始）： DoD 可納入 Level 3 要求。如果您支援高優先級計畫，請立即開始朝 Level 3 就緒狀態建置。透過 DCMA 安排政府評估人員通常需要較長的前置時間。
• 第 4 階段（約於 2027 年 12 月開始）： 全面實施。DoD 可將 CMMC 要求套用至所有適用合約。任何涉及 CUI 的招標都不會獲得豁免。

實務上的意涵是：如果您的合約包含 CMMC 用語，您的時程已經開始。如果沒有，請在下一個選擇權年度或投標前，向您的合約官與主承包商確認。分階段納入可能影響履約中的合約，而不僅是新授標。

在時程明確後，您可以將所需等級對應到評估人員將驗證的具體控制措施。

CMMC 合規要求：14 個實務領域

對於 Level 2，來自 NIST SP 800-171 的全部 110 項要求對應至 14 個實務領域。評估人員將在每個領域中檢視、訪談並測試控制措施。了解每個領域的要求，有助於您在就緒工作開始前正確界定證據範圍。

身分、存取與人員

• 存取控制： 將系統存取限制於授權使用者與程序。所需成品包括已記錄的使用者帳戶、角色指派、工作階段控制，以及用於遠端存取的 access control practices。
• 識別與驗證： 在授予存取權之前驗證身分。 多重要素驗證、密碼原則，以及特權帳戶控制，都是常見的評估檢查點。
• 人員安全： 在授予 CUI 系統存取權限前先篩選人員，並在任職期間及離職後處理安全風險。離職檢查清單和背景調查流程皆屬於此範疇。

記錄、監控與完整性

• 稽核與可歸責性： 記錄使用者活動和系統事件，保護這些日誌，並保留以供審查。您的 SIEM 日誌保留 設定與保留政策是核心佐證資料。
• 系統與資訊完整性： 處理系統弱點、防範惡意程式碼，並監控安全警示。端點防護設定與修補程式管理紀錄是常見的證據要求。

組態與維護

• 組態管理： 為處理 CUI 的系統建立並強制執行安全組態。基準、變更控制紀錄與軟體清冊可滿足此範疇要求。
• 維護： 控制處理 CUI 之系統上的維護活動，尤其是遠端工作階段。記錄所有維護活動，並限制可執行者。

資料與實體保護

• 媒體保護： 控制 CUI 在實體與數位媒體上的儲存、傳輸與銷毀方式。必須具備淨化、處置及可攜式媒體使用的政策。
• 實體保護：限制對處理 CUI 的系統與環境之實體存取。訪客日誌、門禁卡存取紀錄與實體安全政策可滿足此範疇要求。

風險、評估與訓練

• 風險評估： 定期評估使用 CUI 系統所帶來的營運風險。預期應具備已文件化的 風險評估 流程，並包含結果與補救追蹤。
• 安全評估： 定期評估您的控制措施、維護行動計畫，並持續監控安全性。您的 SSP 與 POA&M 流程可直接支援此範疇。
• 認知與訓練：針對安全職責與角色特定風險對人員進行訓練。評估人員預期看到訓練紀錄、完成情況追蹤，以及角色導向內容的證據。

通訊與事件回應

• 系統與通訊保護： 監控、控制並保護在您的系統間傳輸的資料。 網路分段、傳輸中加密與邊界保護控制是關鍵佐證資料。
• 事件回應：建立、測試並記錄您偵測、遏制及從事件中復原的能力。評估人員希望看到已文件化的計畫、測試證據與事後紀錄。您的 事件回應規劃 文件與測試佐證資料是此範疇中的主要評估重點。

完成範疇需求對應後，您就可以規劃那些最常導致整備工作受阻的摩擦點。

什麼讓 CMMC 合規變得困難

CMMC 以證據為基礎的模型在原則上很直接，但在實務上要求嚴格。多數在整備上遇到困難的團隊，失敗並非因為罕見的技術缺口；而是因為存在需要持續投入與協調才能克服的結構性障礙。以下是最持續出現的四個摩擦點。

• 成本負擔（尤其對小型企業而言）。 如果您的安全成熟度仍處於早期階段，您可能需要工具變更、文件化，以及需要實質投資的持續性證據工作流程。
• 證據作業化。 如果您無法提出日誌、工單、組態，以及控制措施長期一致執行的證明，您將難以通過。
• 雲端供應商相依性。 如果您的雲端供應商處理 CUI，其授權狀態與共同責任邊界可能會阻礙您的認證。
• 範圍界定複雜性。 範圍過大會將不必要的系統納入評估；範圍過小則會遺漏實際的 CUI 流程。

這些障礙都不是無法克服的，但若您太晚開始，所有障礙都需要您無法追回的規劃時間。及早開始差距評估與 SSP，是避免結構性挑戰演變為資格風險的最可靠方式。

常見的 CMMC 合規實作錯誤

大多數失敗源於協調薄弱或文件過時，而不只是控制措施缺口。以下是最常導致評估失敗的錯誤：

• 「只有政策」的陷阱。如果您只展示政策，卻沒有可證明控制措施正在運作的佐證資料，您將無法符合以證據為基礎的評估要求。
• 最後一刻才蒐集證據。如果您在評估前才匆忙整理螢幕截圖，這會顯示成熟度不足，也會削弱對您 SSP 的信心。
• 將 POA&Ms 視為計畫。 如果您將 POA&Ms 當作策略，您可能會因條件狀態逾期而失去資格，而不是實際補齊真正的控制措施缺口。
• 對整備與認證使用相同的 C3PAO。 如果您聘用某個 C3PAO 提供整備支援，就不能再使用同一個組織進行認證評估。

這些問題的共同關鍵都在於時機。將 CMMC 整備視為持續性營運計畫，而非評估前衝刺的團隊，就能避開此清單中的每一項問題。以下最佳實務說明如何分階段建構這項計畫。

CMMC 合規最佳實務

CMMC 整備不是一個有終點的專案：它是一項持續運作的營運計畫。以下五個階段提供您一套結構化方法來建立這項計畫，從初始差距評估一路到人員訓練，而這些訓練將決定您的團隊是否能通過評估中的訪談部分。

• 第 1 階段：評估您目前的狀態。依據 NIST SP 800-171 執行差距評估，並檢視每份合約與投標案，以確認您所需的 CMMC 等級。如果您使用雲端服務，請及早驗證授權狀態與共用責任。從一開始就建立您的 SSP，而不是把它當成評估後才交付的文件。
• 第 2 階段：建立跨職能整備團隊。您需要管理層負責聲明與資源配置、IT 負責技術實作，以及合規負責人負責文件與證據流程。為每個控制領域指派具名負責人，並讓問責成為持續性工作，而非臨時安排。
• 第 3 階段：實施持續性證據蒐集。 將您的 SSP 視為活文件，而不是稽核前才準備的交付成果。為評估人員預期看到的佐證資料建立保存流程，並確認您的 SIEM 日誌保留設定如何支援您的證據敘述。
• 第 4 階段：準確界定範圍。精確記錄 CUI 流程與邊界。準確界定範圍可降低成本，並讓您的控制措施聚焦於最重要之處。
• 第 5 階段：針對已文件化的控制措施訓練人員。 評估人員將進行 Examine、Interview 與 Test。您的員工必須能夠說明控制措施在實務上如何運作，尤其是在 最小權限存取與事件處理方面，因為僅靠文件無法通過訪談部分。

一旦您具備流程紀律，就能將工具對應到證據要求，而不必試圖以表面文件掩蓋缺口。

Unleash AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

如果您處理 DoD FCI 或 CUI，CMMC 就是用來透過以證據為基礎的認證，而非自我證明，驗證您的資安態勢的具約束力框架。 

當您建立持續性證據蒐集、準確界定範圍、將整備作為跨職能計畫執行，並使用能產出 CMMC 評估所要求營運佐證資料的工具時，您就能成功。