搜索

[6531] 2020-02-28_美国国防部网空防御能力的重要变革CMMC网络安全成熟度模型解读

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-17
2020-02-28_美国国防部网空防御能力的重要变革CMMC网络安全成熟度模型解读 美 国 国 防 部 网 空 防 御 能 力 的 重 要 变 革 | C M M C 网 络 安 全 成 熟 度 模 型 解 读 E 安 全   2 0 2 0 - 0 2 - 2 8 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 安 恒 信 息 安 服 团 队 0 1 前 言 前 言 安 恒 信 息 安 服 咨 询 规 划 团 队 一 直 关 注 国 内 外 安 全 体 系 的 演 进 ， 此 次 解 读 时 间 比 较 仓 促 ， 希 望 给 业 内 专 家 带 来 一 些 有 益 的 思 考 ， 如 有 不 足 之 处 还 请 大 家 给 予 指 正 。 团 队 还 持 续 跟 进 该 模 型 的 后 续 版 本 以 及 相 关 的 操 作 指 南 ， 欢 迎 联 系 ， 共 同 探 讨 。 0 2 网 络 安 全 成 熟 度 模 型 建 立 背 景 网 络 安 全 成 熟 度 模 型 建 立 背 景 网 际 空 间 安 全 问 题 日 益 凸 显 ， 各 个 国 家 网 络 战 军 备 竞 赛 愈 演 愈 烈 ， 最 近 几 年 各 类 网 络 攻 击 事 件 已 经 对 全 球 各 个 国 家 的 网 络 空 间 安 全 造 成 了 严 重 威 胁 ， 直 接 威 胁 到 经 济 安 全 和 国 家 安 全 ， 并 认 为 恶 意 网 络 行 动 者 已 经 并 将 持 续 针 对 国 防 工 业 基 地 ( D I B ) 部 门 和 国 防 部 ( D o D ) 的 供 应 链 发 起 攻 击 ， 国 防 部 供 应 链 的 知 识 产 权 和 某 些 非 机 密 信 息 的 总 损 失 可 能 削 弱 美 国 的 技 术 优 势 和 创 新 ， 并 显 著 增 加 国 家 安 全 风 险 。 美 国 国 防 部 负 责 采 购 与 维 持 的 副 部 长 办 公 室 ( O U S D ( A & S ) ) 认 为 之 前 的 N I S T 等 网 络 安 全 控 制 类 标 准 不 能 满 足 当 今 的 网 络 防 御 要 求 ， 为 此 ， 在 2 0 1 9 年 5 月 底 对 合 作 的 研 究 机 构 卡 内 基 梅 隆 大 学 和 约 翰 霍 普 金 斯 大 学 应 用 物 理 实 验 室 有 限 责 任 公 司 提 出 了 整 合 现 有 体 系 标 准 ， 开 发 网 络 安 全 成 熟 度 模 型 认 证 ( C M M C ) 框 架 的 要 求 ， 将 要 保 护 的 信 息 数 据 类 型 和 敏 感 性 以 及 相 关 的 威 胁 范 围 相 结 合 ， 形 成 来 自 多 个 网 络 安 全 标 准 、 框 架 和 其 他 参 考 的 成 熟 流 程 和 网 络 安 全 最 佳 实 践 。 参 考 整 合 的 各 类 网 络 安 全 标 准 有 ： N I S T   S P   8 0 0 - 1 7 1 N I S T   S P   8 0 0 - 1 7 1 B N I S T   S P   8 0 0 - 5 3 N I S T   C S F   V 1 . 1 C E R T   R M M   V 1 . 2 C I S   C o n t r o l s I S O   2 7 0 0 0 1 和 I S O   2 7 0 3 2 A I A   N A S 9 9 3 3 其 他 成 熟 的 网 络 安 全 最 佳 实 践 体 系 （ U K   N C S C 、 A U   A C S C 、 F A R 等 ） 但 与 N I S T   S P     8 0 0 - 1 7 1 之 类 的 安 全 标 准 体 系 不 同 ， 除 了 网 络 安 全 控 制 标 准 外 ， C M M C 将 更 广 泛 地 “ 衡 量 一 家 公 司 网 络 安 全 实 践 和 安 全 运 营 过 程 制 度 化 的 成 熟 度 ” 。 C M M C 将 实 现 多 个 级 别 的 网 络 安 全 。 除 了 评 估 公 司 实 施 网 络 安 全 控 制 措 施 的 成 熟 度 外 ， C M M C 还 将 评 估 公 司 网 络 安 全 实 践 和 流 程 的 成 熟 度 / 制 度 化 水 平 。 从 美 国 国 防 部 各 级 官 员 对 于 网 络 安 全 成 熟 度 模 型 认 证 的 要 求 可 以 看 到 美 国 正 在 倾 力 打 造 国 防 相 关 的 信 息 数 据 保 护 和 安 全 防 御 体 系 ， 强 制 要 求 所 有 国 防 相 关 企 业 快 速 落 地 网 络 安 全 成 熟 度 模 型 认 证 ( C M M C ) 框 架 。 美 国 国 防 部 首 席 信 息 安 全 官 （ 美 国 国 防 部 首 席 信 息 安 全 官 （ C I S O ） 凯 蒂 ） 凯 蒂 · 阿 灵 顿 （ 阿 灵 顿 （ K a t i e   A r r i n g t o n ） ） 任 何 涉 及 到 美 国 联 邦 合 同 信 息 （ F C I ） 的 企 业 都 必 须 满 足 基 本 的 网 络 安 全 成 熟 度 要 求 ， 涉 及 到 美 国 受 控 未 分 类 信 息 （ C U I ） 的 企 业 和 组 织 都 需 要 达 到 网 络 安 全 成 熟 度 安 全 认 证 的 第 三 级 ， 而 涉 及 到 国 家 安 全 的 企 业 和 组 织 必 须 满 足 四 五 级 要 求 ， 才 能 应 对 各 类 高 级 持 续 威 胁 （ A P T ） 黑 客 组 织 攻 击 ， 保 障 国 家 安 全 。 美 国 国 防 部 负 责 采 购 和 维 持 事 务 的 副 部 长 埃 伦 美 国 国 防 部 负 责 采 购 和 维 持 事 务 的 副 部 长 埃 伦 · 洛 德 （ 洛 德 （ E l l e n   L o r d ） ） 国 防 部 意 识 到 认 证 成 本 对 于 中 小 型 企 业 可 能 是 沉 重 的 负 担 ， 并 将 与 这 些 企 业 合 作 以 确 保 其 符 合 合 规 标 准 。 该 部 门 去 年 向 5 , 2 0 0 个 小 型 企 业 国 防 承 包 商 提 供 了 C M M C 合 规 培 训 ， 并 预 计 将 来 会 运 行 类 似 的 计 划 。 国 防 部 还 计 划 直 接 向 大 型 承 包 商 提 供 帮 助 ， 以 转 嫁 给 较 小 的 分 包 商 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。 A B
国 防 部 （ 国 防 部 （ D o D ） 解 释 创 建 ） 解 释 创 建 C M M C 原 因 ： 原 因 ： 国 防 部 （ D o D ） 的 承 包 商 现 在 已 经 非 常 清 楚 过 去 几 年 来 席 卷 整 个 美 国 的 防 网 络 安 全 要 求 。 2 0 1 5 年 ， 美 国 国 防 部 发 布 了 《 国 防 采 办 联 邦 法 规 补 充 》 （ 称 为 D F A R S ） ， 该 法 规 要 求 私 人 D o D 承 包 商 根 据 N I S T   S P   8 0 0 - 1 7 1 网 络 安 全 框 架 采 用 网 络 安 全 标 准 。 这 是 政 府 主 导 的 努 力 的 一 部 分 ， 旨 在 保 护 美 国 国 防 供 应 链 免 受 国 内 外 网 络 威 胁 ， 并 降 低 该 部 门 的 整 体 安 全 风 险 。 自 从 D F A R S 通 过 以 来 ， 已 有 超 过 3 0 万 美 国 国 防 部 承 包 商 争 先 恐 后 地 了 解 D F A R S 并 在 其 公 司 内 实 施 N I S T   S P   8 0 0 - 1 7 1 标 准 以 符 合 法 规 要 求 。 一 些 公 司 拥 有 内 部 资 源 以 使 其 自 己 能 够 合 规 ， 而 另 一 些 公 司 则 将 该 任 务 外 包 给 了 托 管 服 务 提 供 商 ， 例 如 S y s A r c ， 后 者 帮 助 D o D 承 包 商 遵 守 其 网 络 安 全 要 求 。 尽 管 国 防 部 通 过 在 合 同 授 予 过 程 中 使 其 成 为 “ 竞 争 优 势 ” 来 激 励 合 规 性 ， 但 许 多 承 包 商 还 是 选 择 推 迟 合 规 性 。 由 于 D F A R S   2 5 2 . 2 0 4 - 7 0 1 2 法 规 的 采 用 速 度 很 慢 ， 实 际 效 果 无 法 满 足 国 家 级 网 络 防 护 的 需 求 ， 所 以 国 防 部 发 布 了 网 络 安 全 成 熟 度 模 型 认 证 （ C M M C ） ， 以 确 保 适 当 水 平 的 网 络 安 全 控 制 和 流 程 适 当 并 已 到 位 ， 以 保 护 D o D 承 包 商 系 统 上 的 受 控 未 分 类 信 息 （ C U I ） 。 0 3 C M M C 网 络 安 全 成 熟 度 模 型 认 证 体 系 解 读 网 络 安 全 成 熟 度 模 型 认 证 体 系 解 读 A 首 先 C M M C 是 一 个 基 于 数 据 保 护 为 中 心 的 安 全 成 熟 度 评 价 体 系 。 在 这 套 体 系 里 面 ， 重 点 提 到 保 护 目 标 是 C U I - 受 控 的 非 机 密 信 息 ， 那 这 个 定 义 清 晰 的 界 定 了 所 保 护 数 据 的 范 围 ， 任 何 绝 密 / 秘 密 的 涉 及 国 家 安 全 的 数 据 信 息 不 包 含 在 内 ， C U I 是 政 府 创 建 或 拥 有 的 ， 或 组 织 实 体 为 政 府 创 建 或 拥 有 的 或 代 表 政 府 创 建 或 拥 有 的 信 息 ， 这 些 信 息 是 法 律 ， 法 规 或 政 府 范 围 内 的 政 策 要 求 或 允 许 机 构 使 用 保 障 或 传 播 控 制 措 施 进 行 处 理 的 信 息 。 在 C M M C 体 系 文 档 中 没 有 明 确 针 对 所 保 护 数 据 信 息 的 分 类 分 级 做 明 确 的 定 义 和 说 明 ， 直 接 引 用 在 美 国 的 国 家 档 案 网 站 中 C U I 的 分 类 与 细 分 子 类 的 详 细 描 述 说 明 ， 以 及 细 分 子 类 的 分 类 指 南 和 示 例 。 B C U I 数 据 信 息 的 总 体 分 类 包 括 ： 关 键 基 础 设 施 、 防 御 、     出 口 管 制 、 金 融 、 出 入 境 、 情 报 、 国 际 协 定 、 执 法 、 法 律 、 自 然 和 文 化 资 源 、 北 约 、 核 、 隐 私 、 采 购 与 供 应 链 、 专 有 业 务 信 息 、 临 时 信 息 、 统 计 、 税 务 。 C 重 点 分 析 涵 盖 的 这 1 7 个 域 ， 1 7 个 域 都 是 围 绕 着 对 数 据 的 全 生 命 周 期 的 保 护 ， 从 数 据 的 创 建 、 收 集 、 存 储 、 传 输 使 用 到 销 毁 进 行 保 护 和 监 控 。 我 们 可 以 提 取 其 中 几 个 比 较 重 要 的 点 来 做 分 析 ， 第 1 个 ， 数 据 保 护 的 需 求 在 业 务 系 统 开 发 的 早 期 就 得 以 介 入 ， 这 一 点 和 欧 盟 的 通 用 数 据 数 据 保 护 条 例 G D P R 中 的 P B D 是 很 类 似 的 。 第 2 个 ， 重 点 关 注 了 对 数 据 的 访 问 控 制 和 身 份 认 证 ， 以 及 对 数 据 访 问 的 审 计 追 溯 ， 有 三 个 域 涵 盖 了 这 方 面 的 安 全 能 力 。 D 接 着 基 于 以 数 据 为 中 心 的 安 全 能 力 分 类 方 法 对 整 个 1 7 个 域 做 一 个 分 类 ， 基 于 数 据 保 护 的 身 份 与 访 问 管 理 基 于 数 据 保 护 的 身 份 与 访 问 管 理 包 括 访 问 控 制 A C 、 身 份 认 证 I A 、 审 计 和 问 责 制 A U ， 基 于 数 据 保 护 的 业 务 系 统 设 基 于 数 据 保 护 的 业 务 系 统 设 计 开 发 运 维 计 开 发 运 维 包 括 系 统 和 通 讯 保 护 S C 、 系 统 和 信 息 完 整 性 S I 、 安 全 评 估 C A ， 基 于 数 据 保 护 的 安 全 运 营 基 于 数 据 保 护 的 安 全 运 营 包 括 风 险 管 理 R M 、 态 势 感 知 S A 、 配 置 管 理 C M 、 事 件 响 应 I R 、 资 产 管 理 A M 、 运 维 M A ， 基 于 数 据 保 护 的 人 员 安 全 基 于 数 据 保 护 的 人 员 安 全 包 括 安 全 意 识 和 培 训 A T 、 人 员 安 全 P S ， 数 据 保 护 技 术 措 施 数 据 保 护 技 术 措 施 包 括 介 质 保 护 M P 、 物 理 安 全 保 护 P E 、 数 据 备 份 与 恢 复 R E 。 E 可 以 看 到 在 这 1 7 个 域 里 面 所 涉 及 多 个 安 全 实 践 ， C M M C 体 系 文 档 中 对 每 一 条 实 践 的 描 述 说 明 实 际 上 还 是 比 较 简 单 的 ， 所 以 在 实 际 的 落 地 过 程 活 动 中 ， 还 需 要 结 合 行 业 和 组 织 的 业 务 场 景 来 开 发 细 粒 度 的 实 践 指 南 ， 用 于 指 导 组 织 建 立 相 关 的 安 全 管 理 制 度 流 程 以 及 部 署 合 适 的 安 全 技 术 手 段 ， 并 通 过 安 全 运 营 实 现 P D C A ， 从 而 通 过 其 所 适 配 级 别 的 C M M C 安 全 成 熟 度 认 证 。 0 4 C M M C 标 准 执 行 思 路 解 读 标 准 执 行 思 路 解 读 C
全 新 的 网 络 安 全 标 准 由 独 立 第 三 方 组 织 全 新 的 网 络 安 全 标 准 由 独 立 第 三 方 组 织 C 3 P A O 进 行 审 核 进 行 审 核 C M M C 通 过 创 建 具 有 五 个 级 别 的 新 的 网 络 安 全 标 准 和 一 个 第 三 方 审 核 机 构 C 3 P A O 来 执 行 审 核 ， 从 而 解 决 了 这 些 问 题 。 C M M C 的 第 一 级 对 应 于 基 本 的 网 络 安 全 ， 第 三 级 大 致 对 应 于 N I S T   S P   8 0 0 - 1 7 1 标 准 ， 而 第 四 级 及 以 上 则 包 括 针 对 高 级 威 胁 的 防 护 。 C M M C 的 第 三 方 认 证 机 构 将 评 估 所 有 3 0 0 , 0 0 0 多 家 国 防 工 业 基 础 公 司 ， 根 据 他 们 的 网 络 安 全 状 况 为 其 分 配 一 个 级 别 （ 从 1 到 5 ） 鉴 于 新 的 攻 击 手 法 和 攻 击 态 势 ， 信 息 安 全 标 准 的 采 用 尤 其 重 要 。 安 全 地 使 用 这 些 数 据 （ 在 整 个 供 应 链 中 集 成 数 据 ） ， 不 仅 需 要 增 强 网 络 安 全 性 ， 而 且 还 需 要 更 加 谨 慎 的 关 注 信 息 安 全 性 。   C M M C 框 架 的 概 念 是 针 对 一 系 列 国 防 部 信 息 泄 露 而 产 生 的 。 这 使 得 国 防 部 重 新 评 估 了 其 对 国 家 标 准 与 技 术 研 究 院 （ N I S T ） 发 布 的 S P 8 0 0 - 1 7 1 中 安 全 控 制 的 要 求 ， 认 为 该 标 准 不 足 以 抵 御 日 益 增 长 和 演 变 的 威 胁 ， 尤 其 是 来 自 国 家 行 为 网 络 攻 击 的 威 胁 。 各 级 成 熟 度 安 全 要 求 各 级 成 熟 度 安 全 要 求 根 据 C M M C 网 站 发 布 的 信 息 ， C M M C 的 初 始 实 施 仅 适 用 于 国 防 部 。 但 C M M C 草 案 使 用 了 C U I 术 语 ， 而 不 是 D F A R S   2 5 2 . 2 0 4 - 7 0 1 2 中 使 用 的 涵 盖 国 防 信 息 （ C D I ） ， 这 表 明 ， 该 模 型 在 国 防 部 之 外 的 潜 在 作 用 更 为 广 泛 。 根 据 C M M C 要 求 ， 所 有 与 国 防 部 开 展 业 务 的 公 司 ， 包 括 分 包 商 ， 都 必 须 经 过 认 证 。 C M M C 将 各 类 网 络 安 全 标 准 （ 如 N I S T   S P   8 0 0 - 1 7 1 、 N I S T   S P   8 0 0 - 5 3 、 I S O   2 7 0 0 0 1 和 I S O   2 7 0 3 2 ） 的 相 关 部 分 合 并 为 一 个 统 一 的 网 络 安 全 标 准 。 但 与 N I S T   S P     8 0 0 - 1 7 1 不 同 ， C M M C 将 更 广 泛 地 “ 衡 量 一 家 公 司 网 络 安 全 实 践 和 安 全 运 营 过 程 制 度 化 的 成 熟 度 ” 。 一 级 可 以 是 一 级 可 以 是 “ 简 单 到 你 的 公 司 有 防 病 毒 软 件 吗 ？ 你 在 更 新 你 的 杀 毒 软 件 吗 ？ 你 在 更 新 你 的 密 码 吗 ？ 简 单 到 你 的 公 司 有 防 病 毒 软 件 吗 ？ 你 在 更 新 你 的 杀 毒 软 件 吗 ？ 你 在 更 新 你 的 密 码 吗 ？ C M M C 框 架 确 定 了 网 络 安 全 的 框 架 确 定 了 网 络 安 全 的 1 7 个 特 定 方 面 （ 来 自 于 个 特 定 方 面 （ 来 自 于 N I S T   8 0 0 - 1 7 1   r e v 1 ） ， 一 级 遵 从 性 ） ， 一 级 遵 从 性 只 需 要 在 只 需 要 在 1 7 个 方 面 中 的 每 一 个 中 建 立 一 个 基 本 的 个 方 面 中 的 每 一 个 中 建 立 一 个 基 本 的 “ 控 制 控 制 ” 措 施 。 措 施 。 第 二 阶 段 是 一 个 过 渡 阶 段 ， 需 要 实 施 第 二 阶 段 是 一 个 过 渡 阶 段 ， 需 要 实 施 N I S T   8 0 0 - 1 7 1   r e v 1 的 另 外 的 另 外 4 8 个 控 件 以 及 个 控 件 以 及 7 个 新 的 个 新 的 “ 其 他 其 他 ” 控 件 ， 通 过 制 定 新 的 流 程 、 规 划 和 预 算 ， 帮 助 企 业 为 更 高 层 次 做 好 准 备 。 控 件 ， 通 过 制 定 新 的 流 程 、 规 划 和 预 算 ， 帮 助 企 业 为 更 高 层 次 做 好 准 备 。 最 大 的 飞 跃 是 第 三 级 ， 这 是 处 理 受 控 非 保 密 信 息 的 最 低 要 求 ， 公 司 必 须 从 第 一 级 和 第 二 级 所 需 的 最 大 的 飞 跃 是 第 三 级 ， 这 是 处 理 受 控 非 保 密 信 息 的 最 低 要 求 ， 公 司 必 须 从 第 一 级 和 第 二 级 所 需 的 1 7 项 控 制 上 升 到 项 控 制 上 升 到 1 1 0 多 项 。 这 些 标 准 也 同 样 源 于 国 家 标 准 多 项 。 这 些 标 准 也 同 样 源 于 国 家 标 准 N I S T   8 0 0 - 1 7 1   r e v 1 。 。 第 四 级 和 第 五 级 为 第 四 级 和 第 五 级 为 “ 非 常 关 键 的 技 术 公 司 非 常 关 键 的 技 术 公 司 ” 的 最 敏 感 合 同 增 加 了 额 外 的 控 制 。 这 些 标 准 将 源 于 的 最 敏 感 合 同 增 加 了 额 外 的 控 制 。 这 些 标 准 将 源 于 N I S T   8 0 0 - 1 7 1   R e v B 、 国 际 标 准 组 织 （ 、 国 际 标 准 组 织 （ I S O ） 、 航 空 工 业 协 会 （ ） 、 航 空 工 业 协 会 （ A I A ） 和 其 他 机 构 发 布 或 正 在 制 ） 和 其 他 机 构 发 布 或 正 在 制 定 的 标 准 。 定 的 标 准 。 C M M C 2 0 2 0 执 行 时 间 表 执 行 时 间 表 1 月 月 ： 来 自 工 业 界 、 学 术 界 和 网 络 安 全 界 的 1 3 位 专 家 — — 其 中 一 半 有 小 企 业 背 景 — — 齐 聚 一 堂 ， 组 成 了 一 个 C M M C “ 认 证 机 构 。 这 基 本 上 是 一 个 独 立 的 、 非 盈 利 的 、 由 行 业 资 助 的 委 员 会 ， 负 责 监 督 第 三 方 评 估 员 的 培 训 和 认 证 。 国 防 部 和 委 员 会 之 间 的 详 细 谅 解 备 忘 录 正 在 起 草 中 。 3 - 4 月 月 ： D O D 的 在 线 “ 市 场 ” 将 上 线 ， 在 那 里 寻 求 C M M C 认 证 的 公 司 可 以 找 到 并 雇 佣 第 三 方 认 证 公 司 。 5 - 6 月 月 ： 五 角 大 楼 将 完 成 正 式 的 规 则 制 定 过 程 ， 并 发 布 一 份 新 的 国 防 部 联 邦 采 购 条 例 （ D F A R ） ， 说 明 C M M C 的 工 作 原 理 。 7 月 月 ： 国 防 采 购 部 门 （ D A U ） 将 开 始 提 供 C M M C 在 线 课 程 ， 五 角 大 楼 将 发 布 前 1 0 个 “ 探 路 者 ” 合 同 的 信 息 请 求 （ R F I ） ， 每 个 合 同 预 计 将 影 响 约 1 5 0 个 承 包 商 和 分 包 商 。 其 中 一 些 合 同 只 要 求 C M M C 一 级 ， 其 他 三 级 ， 而 “ 一 个 或 两 个 ” 可 能 要 求 四 级 或 五 级 。 9 月 ： 月 ： 根 据 行 业 反 馈 ， 五 角 大 楼 将 发 布 1 0 份 探 路 者 合 同 的 正 式 征 求 建 议 书 （ R F P ） 。 实 际 的 证 书 将 在 数 周 或 数 月 后 颁 发 。 企 业 如 何 准 备 企 业 如 何 准 备 C M M C 审 核 审 核 如 上 所 述 ， 各 种 C M M C 级 别 要 求 N I S T   S P   8 0 0 - 1 7 1 版 本 1   和 N I S T   S P   8 0 0 - 1 7 1 版 本 B 中 概 述 的 不 同 控 件 。 国 防 部 承 包 商 应 确 定 他 们 希 望 获 得 的 C M M C 等 级 ， 然 后 实 施 必 要 的 控 制 措 施 。 对 于 已 经 实 施 了 所 有 N I S T   S P   8 0 0 - 1 7 1 控 制 措 施 的 国 防 部 承 包 商 ， 他 们 结 合 标 准 ， 配 合 外 部 咨 询 公 司 成 功 通 过 C M M C 审 核 直 至 C M M C   3 级 方 面 应 该 没 有 问 题 。 拥 有 足 够 资 源 和 安 全 人 员 的 D o D 承 包 商 或 供 应 商 可 以 在 内 部 满 足 适 当 的 C M M C 网 络 安 全 级 别 。 内 部 I T 部 门 可 以 使 用 美 国 国 家 标 准 技 术 研 究 院 （ N I S T ） 提 供 的 “ 自 我 评 估 手 册 - N I S T 手 册 1 6 2 ” 。 该 手 册 是 由 N I S T 创 建 的 ， 旨 在 协 助 为 国 防 部 提 供 产 品 和 服 务 的 美 国 国 防 部 承 包 商 。 不 幸 的 是 ， 该 手 册 仅 涵 盖 N I S T   S P   8 0 0 - 1 7 1 版 本 1 （ 适 用 于 C M M C   3 级 认 证 ） ， 目 前 尚 无 N I S T   S P   8 0 0 - 1 7 1 版 本 B 的 自 我 评 估 手 册 。 如 果 承 包 商 不 具 备 满 足 N I S T   S P   8 0 0 - 1 7 1 版 本 1 或 版 本 B 要 求 的 专 业 知 识 ， 则 国 防 部 承 包 商 可 以 选 择 将 要 求 外 包 给 提 供 C M M C 合 规 性 服 务 的 第 三 方 C M M C 顾 问 。 美 国 有 许 多 合 格 且 经 验 丰 富 的 托 管 安 全 服 务 提 供 商 （ M S S P ） ， 他 们 专 门 提 供 法 规 遵 从 服 务 并 为 需 要 实 施 N I S T 网 络 安 全 控 制 的 国 防 部 承 包 商 监 控 网 络 安 全 。 合 格 的 M S S P 将 能 够 执 行 此 评 估 并 执 行 通 过 C M M C 审 核 所 需 的 任 何 补 救 工 作 。 N I S T   S P   8 0 0 - 1 7 1 自 我 评 估 手 册 下 载 ： h t t p s : / / n v l p u b s . n i s t . g o v / n i s t p u b s / h b / 2 0 1 7 / N I S T . H B . 1 6 2 . p d f A B C D
外 包 ： 与 外 包 ： 与 C M M C 顾 问 合 作 顾 问 合 作 对 于 许 多 国 防 部 承 包 商 而 言 ， 满 足 C M M C 网 络 安 全 要 求 的 最 有 效 方 法 是 将 任 务 外 包 给 专 门 从 事 C M M C 咨 询 的 托 管 安 全 服 务 提 供 商 （ M S S P ） 。 请 记 住 ， 国 防 部 承 包 商 仍 然 要 最 终 负 责 确 保 其 公 司 满 足 适 当 的 网 络 安 全 要 求 ， 因 此 选 择 您 确 定 可 以 信 任 的 M S S P 至 关 重 要 。 通 过 将 N I S T 网 络 安 全 工 作 外 包 给 合 格 的 提 供 商 ， 国 防 部 承 包 商 应 节 省 大 量 时 间 和 金 钱 ， 以 保 持 和 遵 守 C M M C 。 外 包 供 应 商 将 具 有 差 距 分 析 和 系 统 安 全 计 划 所 需 的 所 有 必 需 文 档 模 板 ， 以 及 监 视 和 响 应 安 全 事 件 所 需 的 高 级 工 具 。 他 们 还 将 拥 有 执 行 合 规 性 所 需 的 补 救 步 骤 所 需 的 资 源 ， 以 及 在 需 要 进 行 C M M C 审 核 时 将 证 明 已 达 到 合 规 性 的 法 律 文 件 并 得 到 维 护 。 1 .   C M M C 准 备 情 况 评 估 准 备 情 况 评 估 认 证 的 第 一 步 是 让 D o D 承 包 商 完 成 第 三 方 准 备 情 况 评 估 ， 以 查 看 D o D 承 包 商 距 离 适 当 C M M C 级 别 概 述 的 最 低 要 求 有 多 近 或 多 远 。 就 绪 评 估 旨 在 发 现 可 能 无 法 满 足 所 有 必 需 控 制 要 求 的 不 足 的 系 统 设 置 和 流 程 。 仔 细 研 究 公 司 的 网 络 和 程 序 是 确 保 合 规 性 的 第 一 步 。 C M M C 准 备 状 况 评 估 的 结 果 可 能 会 揭 示 以 下 问 题 ：   如 何 控 制 对 信 息 系 统 的 访 问   管 理 人 员 和 信 息 系 统 管 理 员 的 培 训 方 式   数 据 记 录 如 何 存 储   如 何 实 施 安 全 控 制 和 措 施   事 故 响 应 计 划 如 何 制 定 和 实 施 没 有 差 距 分 析 ， 就 不 可 能 知 道 组 织 在 达 到 要 求 的 C M M C 级 别 之 前 需 要 进 行 哪 些 更 改 。 M S S P 的 专 业 人 员 使 用 他 们 的 发 现 来 制 定 补 救 计 划 ， 该 计 划 将 纠 正 任 何 问 题 并 使 我 们 的 客 户 符 合 C M M C 的 要 求 。 差 距 分 析 将 帮 助 国 防 部 承 包 商 执 行 他 们 自 己 的 补 救 计 划 ， 或 者 他 们 可 能 选 择 让 第 三 方 （ 例 如 M S S P ） 为 他 们 进 行 补 救 。 整 改 计 划 整 改 计 划 C M M C 准 备 情 况 顾 问 应 根 据 准 备 情 况 评 估 中 概 述 的 结 果 制 定 补 救 计 划 。 或 者 从 头 开 始 可 能 涉 及 更 广 泛 的 开 发 符 合 当 今 网 络 安 全 标 准 的 兼 容 网 络 和 过 程 。 修 复 计 划 提 供 了 不 符 合 当 今 标 准 的 详 细 过 程 文 档 ， 精 心 研 究 的 计 划 还 可 以 使 国 防 部 承 包 商 更 轻 松 地 对 其 系 统 进 行 必 要 的 更 改 。 持 续 的 网 络 安 全 监 控 和 报 告 持 续 的 网 络 安 全 监 控 和 报 告 一 旦 修 复 计 划 完 成 并 且 D o D 承 包 商 的 系 统 和 程 序 符 合 相 应 的 C M M C 级 别 ， M S S P 将 拥 有 适 当 的 工 具 和 过 程 来 监 视 ， 检 测 和 报 告 D o D 承 包 商 系 统 中 的 网 络 安 全 漏 洞 。 如 果 D o D 承 包 商 未 将 合 规 性 外 包 给 M S S P ， 则 他 们 可 以 选 择 自 行 报 告 网 络 事 件 ， 因 为 他 们 具 有 监 视 和 检 测 此 类 事 件 的 工 具 。 0 5 总 结 总 结 网 络 安 全 成 熟 度 模 型 认 证 ( C M M C ) 框 架 包 含 五 个 成 熟 度 过 程 和   1 7 1   个 跨 越 五 个 成 熟 度 级 别 的 网 络 安 全 最 佳 实 践 。 C M M C   成 熟 度 过 程 使 网 络 安 全 活 动 制 度 化 ， 以 确 保 它 们 是 一   致 的 、 可 重 复 的 和 高 质 量 的 。 从 2 0 1 8 年 美 国 的 加 州 消 费 者 隐 私 法 案 （ C C P A ） 到 欧 盟 的 通 用 数 据 保 护 条 例 G D P R ， 再 到 国 内 数 据 安 全 成 熟 度 模 型 以 及 个 人 隐 私 法 案 的 落 地 ， 全 球 对 与 数 据 安 全 和 用 户 隐 私 安 全 的 要 求 愈 加 严 格 ， 而 C M M C 从 创 立 的 背 景 要 求 来 看 是 对 《 国 防 采 办 联 邦 法 规 补 充 》 （ 称 为 D F A R S ） 要 求 遵 循 的 N I S T   S P   8 0 0 - 1 7 1 强 有 力 的 补 充 优 化 ， 而 实 际 上 成 熟 度 模 型 认 证 ( C M M C ) 是 将 数 据 安 全 的 要 求 进 一 步 和 多 种 标 准 以 及 最 佳 实 践 相 融 合 ， 把 信 息 数 据 安 全 的 要 求 提 到 最 重 要 的 维 度 ， 关 注 安 全 运 营 过 程 的 成 熟 度 ， 弥 补 了 传 统 网 络 安 全 控 制 类 防 护 要 求 的 不 足 ， 更 符 合 现 现 代 网 际 空 间 对 抗 形 式 下 对 与 高 级 威 胁 的 防 御 保 护 要 求 。 0 6 附 录 附 录 A .       标 准 文 件 翻 译 - 安 恒 信 息 安 全 服 务 咨 询 规 划 团 队 译 制 B .         名 词 注 释 C M M C ： 网 络 安 全 成 熟 度 模 型 认 证 ； N I S T ： 美 国 国 家 标 准 与 技 术 研 究 院 ； D o D ： 美 国 国 防 部 ； D I B ： 国 防 工 业 基 地 ； C U I ： 受 控 未 分 类 信 息 ； F C I ： 联 邦 合 同 信 息 ； A P T ： 高 级 可 持 续 性 威 胁 ； D O M A I N ： 域 ； L e v e l ： 级 别 。 C .       参 考 来 源 h t t p s : / / w w w . c p o m a g a z i n e . c o m / c y b e r - s e c u r i t y / d e p a r t m e n t - o f - d e f e n s e - n o w - r e q u i r e s - d e f e n s e - c o n t r a c t o r s - t o - o b t a i n - c y b e r s e c u r i t y - c e r t i f i c a t i o n - h o w - d i f f i c u l t - w i l l - i t - b e / ? u t m _ c a m p a i g n = c o s c h e d u l e & u t m _ s o u r c e = t w i t t e r & u t m _ m e d i u m = d a t a p r i v a c y a s i a & u t m _ c o n t e n t = D e p a r t m e n t % 2 0 o f % 2 0 D e f e n s e % 2 0 N o w % 2 0 R e q u i r e s % 2 0 D e f e n s e % 2 0 C o n t r a c t o r s % 2 0 t o % 2 0 O b t a i n % 2 0 C y b e r s e c u r i t y % 2 0 C e r t i f i c a t i o n % 3 B % 2 0 H o w % 2 0 D i f f i c u l t % 2 0 W i l l % 2 0 I t % 2 0 B e % 3 F h t t p s : / / w w w . c o m p l y u p . c o m / c m m c - a c c r e d i t a t i o n - b o d y - r f i - u p d a t e / h t t p s : / / w w w . f b o . g o v / i n d e x ? s = o p p o r t u n i t y & m o d e = f o r m & i d = 4 a 4 b 5 3 9 a 0 e 3 4 7 e 5 4 0 b 3 0 b 3 1 2 1 9 1 6 0 3 1 c & t a b = c o r e & _ c v i e w = 0 h t t p s : / / w w w . i n s i d e g o v e r n m e n t c o n t r a c t s . c o m / 2 0 1 9 / 0 7 / d o d - a n n o u n c e s - t h e - c y b e r s e c u r i t y - m a t u r i t y - m o d e l - c e r t i f i c a t i o n - c m m c - i n i t i a t i v e / h t t p s : / / w w w . a c q . o s d . m i l / c m m c / d r a f t . h t m l h t t p s : / / w w w . a c q . o s d . m i l / c m m c / d o c s / C M M C _ M o d e l _ M a i n _ 2 0 2 0 0 2 0 3 . p d f h t t p s : / / m p . w e i x i n . q q . c o m / s / x k q J Q i n x e 4 A Y d S u 6 f s s p W Q 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 干 货   |   R S A C   主 题 演 讲 简 介 及 P P T 分 享 预 告 图 片 直 播   |   E 安 全 带 你 直 击 R S A C 2 0 2 0 现 场 前 瞻 ｜ 2 0 2 0   R S A   C o n f e r e n c e ： 网 络 安 全 的 根 本 是 人 在 保 护 人 美 国 V o a t z 选 举 投 票 应 用 发 现 漏 洞       可 能 更 改 或 暴 露 选 民 投 票 方 式 美 国 国 防 部 新 网 安 标 准 二 ： 网 安 成 熟 度 等 级 划 分 和 新 增 变 化 E F G
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理