CMMC Compliance Without the GCC High Price Tag: Know Your Options

By Matt Howard

November 21, 2025

如果您是国防工业基地（DIB）的一员，并且正在努力实现CMMC（网络安全成熟度模型认证）合规，您可能反复听到过同样的建议：迁移到Microsoft GCC High。虽然这个经过FedRAMP授权的云环境确实是实现合规的一条路径，但它并非唯一选择——而且对许多组织而言，其成本高得令人望而却步。

好消息是？有一种更智能、更经济的替代方案，能让您继续使用Microsoft Office 365商业云，同时仍能实现CMMC合规。但为了理解这为何重要，我们首先需要了解CMMC评估的运作方式。

两种场景的对比：评估范围是什么？

在CMMC评估中，并非所有云架构都是平等的。关键区别在于一个核心问题：您的云提供商能否解密您的受控非密信息（CUI）？

场景A：传统云架构（提供商可以解密）

在传统云设置中——例如Box、Dropbox或标准的Microsoft Office 365——您的云提供商控制着加密密钥。这意味着他们可以解密您的数据。

问题在于：当您的提供商能够访问您的CUI时，您的系统和云提供商都落入CMMC评估边界之内。这意味着：

• 您的客户系统必须满足全部110项CMMC 2级要求。
• 您的云提供商也必须满足全部110项要求。
• 提供商必须是FedRAMP授权方或接受自身的CMMC评估。
• 您实质上需要负责确保供应商的合规性。

这就是为什么许多顾问推动DIB组织转向GCC High——这是一个FedRAMP授权的环境，能满足这些要求。但代价高昂，既包括迁移费用，也包括持续的订阅费用。

场景B：零知识加密（提供商无法解密）

现在想象另一种架构：您控制加密密钥，而您的云提供商仅存储他们无法访问的加密数据。这就是"零知识"模型。

在这种场景下，会发生显著的变化。只有您的客户系统需要接受评估。云提供商可能完全落在CMMC评估边界之外，因为：

• 数据在抵达云端之前，已在您的设备上完成加密
• 您控制加密密钥，而非提供商
• 解决方案使用经过FIPS 140-2验证的加密算法
• 提供商仅存储他们无法解密的加密数据块
• 密钥与加密数据保持分离

这正是Virtru的工作原理——这对于CMMC合规而言是一个改变游戏规则的优势。

Virtru如何实现在Microsoft 365商业云上的CMMC合规

Virtru使用可信数据格式（TDF，一种被美国国防部、情报界和北约采用的开放标准）将每个CUI文件封装在一个安全的容器中。该容器将访问控制直接绑定到数据本身，然后使用经过FIPS 140-2验证的加密算法对所有内容进行加密。

当您使用Virtru共享CUI时，会发生以下情况：

对于电子邮件附件

当您将受Virtru保护的文件作为Outlook附件发送时，看似附件的东西实际上是一个指向文件的链接。实际文件存储在Virtru的FedRAMP Moderate授权环境中——而非Microsoft商业云中。Microsoft永远无法访问您的未加密CUI。

对于电子邮件内容

受Virtru保护的电子邮件正文文本会被转换为密文。许多组织采用最佳实践，即仅将CUI作为文件附件共享（而非放在电子邮件正文中），以便在Microsoft商业云和CUI数据之间建立清晰的隔离。

对于文件共享

通过Virtru Secure Share共享的文件托管在Virtru的FedRAMP环境中，并具备完整的加密控制。您可以完全控制谁可以访问数据、访问时长以及在何种条件下访问——即使数据已被共享后也是如此。

核心结论：合规无需倾家荡产

Virtru支持110项CMMC 2级控制措施中的27项，解决了围绕CUI的适当保护和访问控制的相当一部分要求。结合您的其他安全措施，Virtru提供了：

• 用于安全文件共享的DFARS 7012合规性
• FedRAMP Moderate授权存储环境
• 使提供商脱离评估范围的零知识架构
• FIPS 140-2验证的加密
• 与您现有的Microsoft 365商业云无缝集成
• 无需昂贵的GCC High迁移

继续使用商业云：您需要了解的事项

Microsoft Office 365商业云未经FedRAMP授权，绝不应在未受保护的情况下用于存储或共享CUI。然而，当CUI被妥善包含在加密控制（如Virtru的TDF容器）中时，这些数据将保持充分的保护，并且Microsoft无法访问。

这种区别至关重要。使用Virtru，加密的CUI仅存储在FedRAMP授权的环境中，并且通过Virtru Private Keystore，只有您持有密钥。

为您的C3PAO评估做准备

根据CyberAB 2025年10月的市政厅会议，仅有83家经认可的C3PAO来评估整个DIB中20万到30万家国防组织。一些评估员可能对与Microsoft商业云一起使用时，受Virtru加密的CUI如何保护需要额外的说明。

如果您的评估员有疑问，Virtru随时准备提供：

• 额外的技术资源
• 其他成功评估的先例
• DFARS和国防部的补充指南
• 与您的客户成功经理直接沟通

未来之路

对于数百家DIB组织而言，Virtru已经证明，CMMC合规并不需要放弃您现有的Microsoft 365商业云环境。通过实施零知识加密，使您的云提供商脱离评估边界，您可以以迁移到GCC High所需成本的一小部分实现合规。

准备好探索更经济实惠的CMMC合规路径了吗？请联系Virtru，了解我们如何帮助您保护CUI、满足CMMC要求，并继续使用您当前的Microsoft 365商业云环境。