无需昂贵GCC High也能实现CMMC合规：深入了解替代技术方案

无需昂贵GCC High也能实现CMMC合规：了解你的选择

如果你是国防工业基地的一员，并且正在努力实现网络安全成熟度模型认证合规，你可能反复听到同一条建议：迁移到 Microsoft GCC High。虽然这个经过 FedRAMP 授权的云环境确实是通往合规的一条路径，但它并非唯一选择——而且对许多组织来说，其成本高得令人望而却步。

好消息是？有一个更智能、更经济实惠的替代方案，让你可以继续留在 Microsoft Office 365 商业云上，同时仍然实现 CMMC 合规。但为了理解这为何重要，我们首先需要了解 CMMC 评估的运作方式。

两种场景的对比：评估范围有何不同？

在 CMMC 评估方面，并非所有云架构都生而平等。关键区别在于一个核心问题：你的云提供商能否解密你的受控非密信息？

场景 A：传统云（提供商可以解密）

在传统的云设置中——例如 Box、Dropbox 或标准的 Microsoft Office 365——你的云提供商控制着加密密钥。这意味着他们可以解密你的数据。

问题在于：当你的提供商能够访问你的受控非密信息时，你的系统和云提供商都处于 CMMC 评估范围内。这意味着：

你的客户系统必须满足全部 110 条 CMMC 2 级要求。
你的云提供商也必须满足全部 110 条要求。
该提供商必须获得 FedRAMP 授权或接受他们自己的 CMMC 评估。
你基本上需要负责确保供应商的合规性。

这就是为什么许多顾问推动国防工业基地组织转向 GCC High——它是一个经过 FedRAMP 授权的环境，符合这些条件。但其代价高昂，包括迁移费用和持续的订阅费。

场景 B：零知识加密（提供商无法解密）

现在想象一种不同的架构：一种由你控制加密密钥，云提供商仅存储他们无法访问的加密数据的模型。这就是“零知识”模型。

在这种情况下，会发生一些显著的变化。只有你的客户系统需要接受评估。云提供商可能完全处于 CMMC 评估范围之外，因为：

加密发生在数据接触云端之前，在你的设备上进行
你控制加密密钥，而非提供商
该解决方案使用经过 FIPS 140-2 验证的加密
提供商仅存储他们无法解密的加密数据块
密钥与加密数据保持分离

这正是 Virtru 的工作原理——它彻底改变了 CMMC 合规的游戏规则。

Virtru 如何实现在 Microsoft 365 商业云上的 CMMC 合规

Virtru 使用可信数据格式（一个被美国国防部、情报界和北约采用的开放标准）将每个受控非密信息文件包装在一个安全容器中。这个容器将访问控制直接绑定到数据本身，然后使用经过 FIPS 140-2 验证的加密技术对所有内容进行加密。

当你使用 Virtru 共享受控非密信息时，会发生以下情况：

对于电子邮件附件 当你发送受 Virtru 保护的文件作为 Outlook 附件时，看起来像是附件的内容实际上是一个指向文件的链接。实际文件存储在 Virtru 的 FedRAMP 中等授权环境中——而不是在 Microsoft 商业云中。Microsoft 永远无法访问你未加密的受控非密信息。

对于电子邮件正文 受 Virtru 保护的电子邮件正文内容会被转换为密文。许多组织采用最佳实践，仅以文件附件形式共享受控非密信息（而非在电子邮件正文中），以便在 Microsoft 商业云和受控非密信息数据之间建立清晰的分离。

对于文件共享 通过 Virtru Secure Share 共享的文件托管在 Virtru 的 FedRAMP 环境中，并具有完整的加密控制。你可以完全控制谁可以访问数据、访问多长时间以及在何种条件下访问——即使在数据被共享之后也是如此。

结论：在不超出预算的情况下实现合规

Virtru 支持 110 条 CMMC 2 级控制中的 27 条，解决了围绕受控非密信息进行适当保护和访问控制的大部分要求。当与其他安全措施结合使用时，Virtru 提供了：

用于安全文件共享的 DFARS 7012 合规性
FedRAMP 中等授权存储环境
使提供商处于评估范围之外的零知识架构
经过 FIPS 140-2 验证的加密
与你现有的 Microsoft 365 商业云无缝集成
无需昂贵地迁移到 GCC High

关于继续使用商业云：你需要知道什么

Microsoft Office 365 商业云未经 FedRAMP 授权，绝不应被用于存储或共享未受保护的受控非密信息。然而，当受控非密信息被恰当地包含在加密控制中时——例如在 Virtru 的可信数据格式容器中——这些数据将保持充分保护且 Microsoft 无法访问。

这一区别至关重要。借助 Virtru，加密的受控非密信息仅存储在 FedRAMP 授权环境中，并且通过 Virtru 私有密钥库，只有你持有密钥。

为你的 C3PAO 评估做准备

根据 CyberAB 2025 年 10 月的市政厅会议，仅有 83 家经认可的 C3PAO 来评估整个国防工业基地中总计 20 万至 30 万家国防组织。一些评估员可能需要额外的澄清，以了解与 Microsoft 商业云一起使用时，受 Virtru 加密的受控非密信息是如何受到保护的。

如果你的评估员有疑问，Virtru 随时准备提供：

额外的技术资源
其他成功评估的先例
来自 DFARS 和国防部的补充指导
与你的客户成功经理直接沟通

前行之路

对于数百家国防工业基地组织而言，Virtru 已经证明，实现 CMMC 合规并不需要放弃你现有的 Microsoft 365 商业云环境。通过实施零知识加密，使你的云提供商处于评估范围之外，你可以以迁移到 GCC High 成本的一小部分实现合规。