達成CMMC Level 2合規 是做什麼的？
使用時機
- 當**國防工業基地（DIB）的組織，根據DoD合約儲存、處理或傳輸受控非機密資訊（CUI）**時。
- 當合約包含DFARS 252.204-7012（保護/事件通報）、-7019/-7020（NIST 800-171自評 + SPRS）或新的**-7021**（CMMC要求）條款時。
- 準備接受C3PAO第三方評估或DoD主導評估時。
- 當你必須根據NIST SP 800-171 DoD評估方法論計算、提交或改善SPRS分數時。
- 正在撰寫或修正110項要求的系統安全計畫（SSP）與POA&M時。
- 針對屬於CUI/FCI邊界內的資產進行範圍界定時（CUI資產、安全保護資產、承包商風險管理資產、範圍外）。
先決條件
- 了解哪些合約涉及CUI及相關的CUI類別（請查閱合約及DoD CUI註冊表）。
- 具備資產清單與網路架構圖，以便在評估控制措施前定義CMMC評估範圍。
- 具備NIST SP 800-171 Rev 2的要求及DoD評估方法論的評分權重。
- 有文件化的SSP（缺少SSP本身即為一項未通過的要求 —— 3.12.4）。
- 確認所有觸及CUI的外部服務提供者（ESP）/雲端服務，是否滿足**FedRAMP Moderate（或同等級）**要求。
工作流程
1. 確定適用性與CUI類別
確認合約要求CMMC Level 2（有CUI，不僅是FCI）。僅含FCI的合約為Level 1（適用15項FAR 52.204-21要求）。從合約與DoD CUI註冊表中識別CUI類別。
2. 界定環境範圍
將每項資產歸類至CMMC範圍類別之一：
- CUI資產 — 處理/儲存/傳輸CUI（納入範圍，針對所有適用控制措施進行評估）。
- 安全保護資產 — 為CUI環境提供安全保護（納入範圍）。
- 承包商風險管理資產 — 可能但非預期處理CUI；透過政策管理。
- 特殊資產（物聯網/營運科技、政府提供設備、測試設備）— 需文件化，有限度評估。
- 範圍外 — 與CUI環境有物理或邏輯隔離。
刻意縮小範圍 — 一個較小、分隔良好的CUI飛地，遠比扁平網路更容易通過認證。
3. 實施110項要求（NIST SP 800-171 Rev 2）
涵蓋14個家族（3.1–3.14）。針對每項要求，先實施，再於SSP中撰寫如何達成。高槓桿早期勝利項目：MFA（3.5.3）、FIPS驗證密碼學（3.13.11）、稽核日誌（3.3.x）、存取控制與最小權限（3.1.x）、以及事件回應（3.6.x）。
4. 使用DoD評估方法論評分（SPRS）
從110開始，減去每項未滿足要求的加權值（1、3或5分）；少數控制項可獲得部分分數（例如MFA、FIPS密碼學）。結果即為SPRS分數（最高110；方法論底限為−203）。將分數、SSP日期及評估範圍提交至SPRS（或更高層級評估則使用eMASS）。
5. 建立合規的POA&M
為每項未滿足的要求，記錄負責人、補救措施與里程碑。CMMC規則下的限制： Conditional狀態要求分數至少達80%（≥ 88分，滿分110），僅POA&M合格的要求可延期（權重最高的安全要求必須完全滿足 — 請核對32 CFR Part 170確認資格），且所有POA&M項目必須在180天內關閉，才能將Conditional轉換為Final。
6. 評估（自評或C3PAO）
- Level 1及部分Level 2 = 每年自評，並在SPRS中提交確認聲明。
- Level 2（多數CUI合約） = 每三年一次C3PAO認證評估。
- Level 3 = 在Level 2基礎上，由DoD（DIBCAC）進行評估，並加入SP 800-172增強要求。 評估者針對每個目標，根據證據（檢視/訪談/測試）判定為符合 / 不符合 / 不適用。高階主管需提交年度確認聲明，確認持續合規。
7. 維持認證
認證有效期為三年，需每年提交確認聲明。維持SSP、在有變更時重新評分、保持證據更新，並將重大變更回饋至評估流程。
關鍵概念
| 概念 | 定義 |
|---|---|
| FCI | 聯邦合約資訊 — Level 1保護此類資訊（FAR 52.204-21）。 |
| CUI | 受控非機密資訊 — Level 2保護此類資訊（NIST 800-171）。 |
| 110項要求 | SP 800-171 Rev 2的安全要求，涵蓋14個家族。 |
| SPRS | 供應商績效風險系統 — 用於提交800-171分數的平台。 |
| DoD評估方法論 | 1/3/5分加權制度，用於從110分計算分數。 |
| C3PAO | CMMC第三方評估組織 — 執行Level 2認證。 |
| POA&M | 行動計畫與里程碑 — 有限度使用，為達成Final狀態需在180天內關閉。 |
| Conditional vs Final | Conditional = 仍有開放的POA&M（分數≥ 80%）；Final = 所有控制措施皆已滿足。 |
| ESP | 外部服務提供者 — 需滿足FedRAMP Moderate / 同等級要求才能處理CUI。 |
| 範圍類別 | CUI / 安全保護 / 承包商風險管理 / 特殊 / 範圍外。 |
工具與系統
- NIST SP 800-171 Rev 2 — 110項要求（以及用於評估目標的800-171A）。
- DoD NIST SP 800-171評估方法論 — 評分權重。
- 32 CFR Part 170（CMMC計畫規則）與48 CFR / DFARS 252.204-7021（採購規則）。
- SPRS — 分數提交；SAM.gov — 註冊。
- SP 800-172 / 800-172A — Level 3的增強要求。
- GRC / 合規工具 — 用於管理SSP、POA&M及證據（例如Xacta、RegScale、類似FutureFeed的追蹤器）。
常見情境
- 主承包商將CUI傳遞給分包商。 分包商需要自己的Level 2範圍、SSP、SPRS分數，以及（很可能）C3PAO認證。
- 分數低於88分。 優先處理權重最高的未滿足要求（5分項，其次3分項），以跨越條件門檻並縮小POA&M。
- 雲端環境儲存CUI。 確認該服務已獲得FedRAMP Moderate授權或滿足同等級要求；文件化責任歸屬。
- 扁平網路。 重新劃分範圍，建立一個分隔的CUI飛地，以在投資控制措施前減少評估面。
- 年度確認聲明到期。 高階主管需在SPRS中提交確認聲明，逾期未提交將影響合約資格。
輸出格式
使用 assets/template.md 產生一份CMMC Level 2就緒報告，內容包含：
- 適用性與CUI類別 — 為何Level 2適用。
- 範圍 — 按範圍類別分類的資產，以及CUI邊界圖參考。
- 各家族控制措施狀態 — 14個家族中，符合/不符合/不適用。
- SPRS分數 — 計算後的分數、扣分項目、與110分及88分門檻的差距。
- POA&M — 未滿足的要求、資格檢查、負責人、180天里程碑。
- 評估路徑 — 自評 vs C3PAO、目標日期、確認聲明負責人。
- 補救路線圖 — 依分數權重與工作量排序。
使用 scripts/process.py 從控制措施狀態JSON計算SPRS分數、標記POA&M資格問題，並回報與條件認證門檻的差距。