參、美國新版 CMMC 2.0 最新發展
2023.09.15
瀏覽數
2609
摘要
整個CMMC圍繞著國防採購合約制度,對於「受控非具分類保密等級資訊」(Controlled Unclassified Information,CUI)的範圍認定,除了由國防供應鏈廠商界定純粹自己產出的資訊外,其餘多由採購合約甲方,亦即由國防合約管理局會同作需單位予以界定。2022年10月25日起CMMC的3個驗證等級不再刻意區別為基礎、進階與專家等級,第一級管制可以採自我認證、第二級管制可以自檢兼採第三方認證、第三級管制則政府部門認證。
其他國家引進CMMC時,往往面臨以下問題:對CMMC法規及標準的遵循無所適從、面臨CUI如何界定的問題、如何在國內取得CMMC的合規性輔導及認驗證的問題、各國國內的合規性輔導是否符合美國Cyber AB及C3PAO的發證要求(台美認驗證對接 )的課題、中小企業面臨合規成本太高的挑戰、取得CMMC認證之優勢廠商如何爭取美國國防合約或國際訂單的難題。
台灣落地推展CMMC則可以從以下三個層面來思考。首先,在組織架構方面,需釐清主責單位、協辦單位、生態系統(認驗證機構、輔導公司、訓練單位)。其次,在法規採納面向,包括供應鏈安全政策、採購法、檔案法、國防產業發展條例、國防採購契約等。最後,在推動策略方面,可考量選項包括自建對接、引進導入、台美合作、企業補助、示範性驗證等。
關鍵字:供應鏈網路安全認證、CMMC、國防合約管理