2020年初，美國國防部發(fā)布了網(wǎng)絡(luò)安全成熟度模型（CMMC）。2020 年六月后，開始在建議征求書（RFP） 和資訊征求書（RFI） 中納入CMMC相關(guān)要求，并計(jì)劃在2026 年之前讓CMMC 成為所有國防部采購項(xiàng)目的必要條件。

　　美國平均每年因網(wǎng)絡(luò)安全所造成的損失達(dá)六千億美金。從超音速武器到皮革工廠，目前國防部大約有三十萬家供應(yīng)商，而其中約有二十九萬家基本上沒有任何的網(wǎng)絡(luò)安全措施。美國政府近幾年決定加大力度整頓國防供應(yīng)鏈體系，而網(wǎng)絡(luò)安全被視為首要議題。在此之前，國防部要求供應(yīng)商遵循DFARS 252.204-7012 以及NIST 800-171 里的相關(guān)規(guī)定。然而問題在于，其一由廠商自我核查不具備監(jiān)督性，其二是國防部并未就此系列標(biāo)準(zhǔn)的細(xì)節(jié)給予過多的關(guān)注。正因?yàn)橐陨显?，美國國防部才會制定新?biāo)準(zhǔn)體系，CMMC 以NIST 800-171 作為基準(zhǔn)，加入更多規(guī)則以及審查方式。最大的不同便是今后供應(yīng)商須經(jīng)由國防部授權(quán)的第三方評估單位（C3PAOs） 評估認(rèn)證，國防部將會依據(jù)相關(guān)特性，要求符合的CMMC 等級。

　　CMMC 分為五級，而每一級皆由process及practice兩部分組成。供應(yīng)商要獲得某一層級的認(rèn)證，則必須符合該層級和以下所有層級的process及practice的標(biāo)準(zhǔn)要求。

　　對于供應(yīng)商而言，符合CMMC標(biāo)準(zhǔn)模型非常重要，因?yàn)楣?yīng)商經(jīng)過評估后達(dá)到的水平等級將決定他們有資格獲得哪些國防部的項(xiàng)目合同，但是符合CMMC標(biāo)準(zhǔn)模型又有哪些挑戰(zhàn)呢？

　　挑戰(zhàn)與困難

　　CMMC中要求的能力領(lǐng)域非常廣泛，涵蓋了從物理安全到人員安全再到資產(chǎn)管理的所有領(lǐng)域。但是，CMMC的目標(biāo)不僅是要求供應(yīng)商滿足模型的要求，而且要求其具備全面的網(wǎng)絡(luò)安全能力，如果具備這種全面能力則足以應(yīng)對未來的威脅。

　　準(zhǔn)備CMMC評估的供應(yīng)商必須考慮其 ICS網(wǎng)絡(luò)環(huán)境，沒有哪一個(gè)制造廠商不使用ICS系統(tǒng)，現(xiàn)代的攻擊通常會跨越IT / OT邊界， 另外，有部分CMMC能力要求不適用于 ICS網(wǎng)絡(luò)環(huán)境。在ICS網(wǎng)絡(luò)環(huán)境中的資產(chǎn)發(fā)現(xiàn)，威脅檢測，事件響應(yīng)等都和IT網(wǎng)絡(luò)同等重要。

　　盡管CMMC有許多特殊的要求，但就大部分要求而言可以歸納為通用的考慮因素。如果沒有任何思路，下邊將講述4方面的注意點(diǎn)，為ICS網(wǎng)絡(luò)符合CMMC的相關(guān)要求做以指導(dǎo)和參考。

　　幾個(gè)注意點(diǎn)

　　（ 1 ） 掌握ICS網(wǎng)絡(luò)環(huán)境中的資產(chǎn)

　　如果不了解網(wǎng)絡(luò)中的資產(chǎn)，就無法保護(hù)連自己都不知道的東西，也不能對網(wǎng)絡(luò)安全方案做出決策。目前碰到的很多用戶，他們不知道自己的ICS網(wǎng)絡(luò)中擁有多少設(shè)備以及設(shè)備中的漏洞信息，也不了解這些資產(chǎn)如何通信和如何連接的。沒有這些信息，就無法確定降低風(fēng)險(xiǎn)的策略。

　　如果在ICS網(wǎng)絡(luò)環(huán)境中資產(chǎn)沒有可見性，就不可能解決ICS網(wǎng)絡(luò)對CMMC的合規(guī)性要求，這不僅意味著對資產(chǎn)本身（包括其屬性）的可見性，而且還意味著對風(fēng)險(xiǎn)和漏洞的可見性，例如未經(jīng)授權(quán)的Internet連接或未修補(bǔ)漏洞的設(shè)備。

　　（ 2 ） ICS網(wǎng)絡(luò)架構(gòu)的健壯性

　　ICS網(wǎng)絡(luò)環(huán)境中的資產(chǎn)，屬性和通信的可見性也是回答此問題的關(guān)鍵。CMMC的重點(diǎn)是在國防部供應(yīng)商中建立更強(qiáng)大的整體網(wǎng)絡(luò)安全態(tài)勢，其中，建立強(qiáng)大的ICS網(wǎng)絡(luò)安全的方法非常重要。

　　一旦了解了ICS設(shè)備的通信，就可以驗(yàn)證 ICS網(wǎng)絡(luò)體系架構(gòu)是否具有強(qiáng)大能力，例如，確保設(shè)備僅按預(yù)期與Internet通信而不出現(xiàn)非預(yù)期的其他通信鏈接，或者執(zhí)行更加網(wǎng)格化的分段隔離策略。

　　（ 3 ） 了解哪些漏洞可能是系統(tǒng)面臨風(fēng)險(xiǎn)

　　CMMC的許多要求都集中在識別和解決系統(tǒng)或者設(shè)備漏洞上。對于 ICS網(wǎng)絡(luò)，這可能意味著未修補(bǔ)的CVE，設(shè)備故障或使用未經(jīng)授權(quán)的端口訪問等。CMMC能力域中要求能夠檢測到此類漏洞并確定其優(yōu)先級，以便持續(xù)管理和解決面臨的風(fēng)險(xiǎn)。

　?。?4 ） 是否能夠檢測ICS系統(tǒng)面臨的威脅

　　與IT系統(tǒng)的威脅檢測相比，檢測ICS威脅是一種截然不同的方式。IT威脅通常由端點(diǎn)檢測和軟件檢測和阻止為主，但大部分嵌入式 ICS設(shè)備不支持該種方法，而且IT團(tuán)隊(duì)不具備管理權(quán)限。因此， ICS威脅檢測方法需要結(jié)合ICS的行為分析和流量分析等方法。

　　總結(jié)

　　盡管CMMC中提到的要求比上面提到的更加深入，但其中許多與上述的4個(gè)注意點(diǎn)緊密相關(guān)。從以上提及的 ICS安全性的四個(gè)注意點(diǎn)出發(fā)，將為合規(guī)工作提供一個(gè)良好的起點(diǎn)。

　　本文通過介紹美國國防部實(shí)施的CMMC模型，也給我國在國防領(lǐng)域、關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域供應(yīng)商評估體系建設(shè)提供一些思路，從剛開始就將網(wǎng)絡(luò)安全問題納入到供應(yīng)商能力評估列表中有助于后續(xù)應(yīng)對更加復(fù)雜的國際環(huán)境和威脅。