美國防部要求承包商須具備網路安全認證

• 發布日期：109-02-21
• 發布單位：刑事警察大隊

參考網站：
行政院國家資通安全會報技術服務中心 美國防部要求承包商須具備網路安全認證https://www.nccst.nat.gov.tw/NewsRSSDetail?lang=zh&RSSType=news&seq=16355
美國國防部(Department of Defense, DOD)於1/31宣布，2020年9月底前，該部將要求部分競標國防部合約之承包商具備網路安全驗證，此一驗證將奠基於國防部所發表之「網路安全成熟度模型驗證1.0」(Cybersecurity Maturity Model Certification, CMMC)，承包商必須依據專案之機密性，取得不同等級之安全驗證。目前美國國防部將CMMC分為五個等級，從第一等級基本網路防護(Basic)、中等網路防護(Intermediate)、良好網路防護(Good)、主動防護(Proactive)，到第五等級進階防護(Advanced)。負責採購業務之國防部副部長Ellen Lord指出，網路安全風險威脅美國政府及其合作夥伴之國防產業與國家安全，每年全球因網路竊盜所損失之金額高達6千億美元。在現今競爭環境中，不管是資訊或技術都是重要基石，且對駭客而言，攻擊第二線供應商比攻擊一線供應商更有吸引力，而CMMC將同時規範第一線與第二線供應商之網路安全準備度。

國防部資通安全長Katie Arrington表示，第一等級基本防護很容易就可達到，包含詢問合約商是否部署或定期更新防毒軟體，以及是否定期更新密碼等問題；第二等級防護則注重承包商之網路安全程序，確定承包商有效地記錄、管理、審查及最佳化網路安全部署。未來國防部在承包商提案競標專案時，都會根據專案需求，提出不同等級之CMMC驗證要求，相關驗證將由獨立第三方負責執行。依照美國國防部規劃，2020年6月底前會公布包含CMMC驗證之合約，9月底前會公布包含CMMC驗證之專案需求。預計2026年，美國國防部所有新合約將都包含CMMC驗證要求。