<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/5-0_670x460-1.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">在萬物聯網的時代，各種手機、平板電腦，或能上網的終端設備，都可能成為資安漏洞，為此美國推出了網路安全成熟度模型認證（CMMC）來評估整體網路安全。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>長達三年的 COVID-19 疫情讓工作與生活型態大幅轉變，加速了企業數位轉型的進程，也造成資安事件頻傳。據美國智庫「戰略暨國際研究中心」（The Center for Strategic and International Studies, CSIS）估計，光是 2017 年，全球網路犯罪就造成近 6,000 億美元的損失，而攻擊者近年更逐漸將目標轉移至美國國防工業供應鏈上。</p>
<p>&nbsp;</p>
<p>為了在不斷演進的威脅下，確保國家機密資訊安全，防止機敏資料外洩，美國國防部（Department of Defense, DoD）在 2020 年首次發布了網路安全成熟度模型認證（Cybersecurity Maturity Model Certification, CMMC）框架，也於 2021 年 11 月推出 CMMC 2.0，預計將於 2026 年財政年度起全面實施。</p>
<p>&nbsp;</p>
<p>隨著 CMMC 2.0 規範即將落實，包含外國供應商、分包商在內等，所有美國國防供應鏈相關廠商，未來都必須確保經手資訊符合評鑑標準，究竟 CMMC 影響的範疇為何？臺灣企業應該如何看待 CMMC？在深入討論這些問題之前，首先讓我們回答最根本的問題———為什麼會有 CMMC 出現？</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>為什麼會有 CMMC 出現？</b></span></h2>
<p>在萬物聯網（Internet of Everything, IoE）的時代，企業間所有資訊往來都能透過網路進行，然而這種便捷也為攻擊者帶來「順藤摸瓜」的機會：先入侵供應鏈中資安薄弱的環節，再潛伏起來，伺機獲取真正重要的目標。類似的資安事件近幾年在全球範圍不斷傳出，除了台積電和日本汽車大廠 TOYOTA 都曾受到供應鏈攻擊，就連美國財政部、商務部、司法部在 2020 與 2021 年也相繼遭駭客入侵，追溯源頭時，才發現攻擊者早在 2019 年就入侵了供應鏈 SolarWinds 的區網伺機以待。</p>
<p>&nbsp;</p>
<p>面對俄烏戰爭、美中角力、原物料短缺及通膨危機，避免斷鏈危機再現已成為全球企業首要共識，SolarWinds 事件無疑是敲響了駭客將供應鏈作為跳板進攻的警鐘。隨著供應鏈依存度越來越高，網路惡意活動的影響範疇已不再只是個人或企業，更威脅著經濟和國防。趨勢科技臺灣區總經理洪偉淦認為，在供應商數量增加、安全等級又不盡相同之下，供應鏈的資安風險早已大幅增加，更遑論疫情推動的遠距辦公型態，讓駭客更能針對脆弱環節下手，攻擊成功機率也隨之大增。</p>
<p>&nbsp;</p>
<p>在資安事件層出不窮下，如何確保供應鏈穩定，已成為重中之重。臺灣科技大學資訊工程學系鄧惟中教授解釋，其實 CMMC 推出的最主要目的，就是提供一個評估框架，讓甲方評估自身機敏資訊從供應商、承包商或轉包商洩漏的風險。反過來說．通過評估也能成為供應鏈方最強而有力的推薦函．向美國國防部或其他委託人證明自身的資安防護強度值得信賴。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>CMMC 適用範圍為何？等級和分類的差異在哪？</b></span></h2>
<p>在評估、加強承包商對網路安全的重視，及增強國防工業基地安全性和彈性的概念架構下，CMMC 分層制定網路安全標準規範：1.0 將資訊依類別分為五個級別；2.0 則改以類型和敏感性劃分為三級。鄧惟中教授強調，除了等級上的調整之外，CMMC 2.0 也更加扣合國家標準，能讓相關廠商更有效地遵循法令，也能讓國防部更能按照級別，驗證網路安全標準的實施情況。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/5-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">CMMC 其實就是代碼的倉儲品管，確認原物料正常，才能避免不可控的危機發生。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>CMMC 2.0 三個級別為基礎防護級（Foundational）、進階防護級（Advanced）及專家防護級（Expert）。等級一的「基礎防護級」適用所有處理聯邦合約資訊（Federal Contract Information, FCI）的公司，由於內容不會造成國家安全威脅，規範主要著眼於基本的網路衛生，廠商必須符合聯邦採購條例（Federal Acquisition Regulation, FAR） 52.204-21 中的 15 個控制項。</p>
<p>&nbsp;</p>
<p>等級二的「進階防護級」側重應對受管制非機密資訊（Controlled Unclassified Information, CUI）的公司。承包商與分包商必須制定安全計劃，達成美國國家標準與技術研究院（National Institute of Standards and Technology, NIST）SP 800-171R2 中 110 項資安控制項，包括其中針對非聯邦組織（NFO）的 61 個項目。</p>
<p>&nbsp;</p>
<p>等級三的「專家級」則是針對處理美國國防部最高優先計畫的 CUI 承包商而制定。除了基礎級和進階防護級的標準之外，專家級廠商還必須符合 NIST 800-172 中部分控制項基準。</p>
<p>&nbsp;</p>
<p>對於三個等級的合規性評估，國家資通安全研究院王家宜副主任進一步解釋，基礎防護級的廠商僅需每年進行一次自我評估，進階級的評鑑方式及頻率則根據項目機密性與重要程度細分。若採購項目不涉及國家安全，評鑑方式將與基礎防護級相同；若涉及國家安全資訊，就需通過正式授權的第三方評估機構（CMMC Third Party Assessor Organization, C3PAO）3 年 1 次的評鑑。</p>
<p>&nbsp;</p>
<p>至於專家防護級的合約，因屬最高優先採購等級，採購項目涉及的國家安全資訊最多、保密需求高，評鑑由國防工業基地網路安全評估中心 （Defense Industrial Base Cybersecurity Assessment Center, DIBCAC）進行，頻率同為 3 年 1 次。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/5-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">一般企業遵守 CMMC 的守則就行，但國防的評估更為嚴謹，平均 3 年就要重新評估規則。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>臺灣應如何看待 CMMC ？</b></span></h2>
<p>自 2020 年首度推出以來，CMMC 就受到各國政府的廣泛關注，像是五眼聯盟（Five Eyes）中的澳洲、加拿大、英國，以及非北約盟友的日本、南韓，目前都已加入推動 CMMC 的行列。王家宜副主任指出，近期國內也有部分機關單位辦理「CMMC 合規」研討會，或透過「供應鏈資安成熟度平臺」持續推廣。若政府能結合民間企業，持續推動並協助中小企業取得 CMMC 認證，將使更多臺灣企業得以加入美國國防部供應鏈之舞台。</p>
<p>&nbsp;</p>
<p>從另一個角度來看，若企業有意承攬美國國防部供應鏈中的業務項目，了解 CMMC 規範也是勢在必行。王家宜副主任強調，雖然 CMMC 是美國國防部用來規範與其合作的承包商而制定，但實際上，同樣適用於各類產業的供應鏈安全。在 CMMC 全面實施前，臺灣國防廠商應儘速了解 CMMC 相關評鑑機制與控制項目之要求。</p>
<p>&nbsp;</p>
<p>儘管 CMMC 是由美國國防部主導推動，但隨著各國紛紛加入行列，等於間接讓臺灣國防產業也有了打入國際市場的契機。洪偉淦總經理認為，有鑑於 CMMC 將於 2026 年落實，此政策勢必影響美國境內及全球合作廠商，臺灣的美系供應鏈廠商也必須符合規範。在美國國防供應鏈中，近 30 萬家廠商資安成熟度認證受到要求下，CMMC 儼然已成為目前規模最大的供應鏈資安法規，可想見未來或許也將成為其他領域供應鏈資安規範的參考。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜臺灣科技大學資訊工程學系 鄧惟中教授、國家資通安全研究院 王家宜副主任、趨勢科技臺灣區 洪偉淦總經理；責任編輯｜曹盛威、劉品萱）</p>
