CMMC介质清理方法：遵循NIST 800-88指南

需要遵守CMMC以获得政府合同的公司面临着大量工作。保护其系统免受入侵、保护数据免遭泄露、恶意行为者和窥探，都是该计划的重要组成部分。信息安全中一个容易被忽视的方面是处置。

当您更换过时的计算机时，旧硬件及其上的数据会如何处理？
当您更新文档时，旧的纸质副本会如何处理？
当数据不再有用，或您不再被允许持有它（例如合同被撤销）时，数据如何被销毁？

保护CUI和FCI不仅仅在于您持有它的时候；还在于确保它不会通过非正当渠道离开您的掌控。幸运的是，即使您的公司没有仔细考虑过，政府也已经考虑到了，并制定了一个相关的框架：NIST SP 800-88。

BLUF - 核心要点 公司需要遵守CMMC以获得政府合同，重点在于保护系统、保护数据和清理介质。NIST SP 800-88提供了介质清理指南，包括对不同类型介质进行清除、清除（高级）和销毁。不当清理会导致失去合同和认证、面临法律处罚和声誉受损。企业应分析其环境以制定适当的清理协议，确保合规并保护敏感信息。介质清理包括有效处理物理和数字介质。

什么是NIST 800-88？

NIST SP 800-88 简单来说就是“介质清理指南”。它本质上是综合性NIST信息安全控制文件的一个子文件。NIST SP 800-53包含了网络安全和信息安全中您能想到的一切，包括清理。NIST SP 800-171源自800-53，侧重于保护特定数据；类似地，FedRAMP基于它构建，侧重于云信息安全。CMMC基于NIST SP 800-171。因此，所有这些都引用相同的基本要求来清理数据，并控制在通过处置渠道离开您生态系统的信息。为了在所有这些问题上保持一致性，政府制定了NIST SP 800-88作为清理工作的标准化文件。

NIST SP 800-88最初于2006年发布。2014年修订为第1修订版，最近，第2修订版于2025年9月发布。您可以在此处阅读当前文件。

CMMC是否需要NIST 800-88？

是的。

CMMC将介质保护列为1级要求。 MP.L1-3.8.3 – 介质处置 在处置或释放以供重用之前，对包含联邦合同信息的信息系统介质进行清理或销毁。 2级则有更多相关信息。确定： [a] 在处置前是否清理或销毁了包含CUI的系统介质；以及 [b] 在释放以供重用前是否清理了包含CUI的系统介质。虽然CMMC并未特别说明NIST SP 800-88是相关文件，但它引用了NIST SP 800-171，而800-171本身指引您参考800-88以获得介质清理要求。

为什么介质清理很重要？

当前正在使用或存储在您系统中的信息是明显的目标，但通常，更简单的攻击途径是在事后进行“垃圾搜寻”。即使信息已经过时，对于骗子或欺诈活动来说，它仍然可能相关和有用。这也不是毫无根据的恐惧。例如，近年来有许多医疗系统在未先适当清理的情况下处置硬盘的案例。这些硬盘在回收市场或二级市场上被发现或购买后，可以查看并恢复患者的受保护健康信息。迄今为止，已有数十万患者记录因此泄露。

另一个涉及不当清理的知名案例是摩根士丹利在2020年的事件；他们在2016年关闭了两个数据中心，并聘请了一家供应商来销毁所用设备上的数据。该供应商没有正确擦除驱动器，2019年，一家回收商发现这些数据中心的驱动器上存在未加密的数据。显然，CMMC要求进行介质清理也是其中的重要部分。

不当介质清理会面临哪些处罚？

非常多。 如果您因联邦合同而获得CMMC认证，并被发现存在不当的介质清理行为，您可能会立即失去合同和认证。仅此一项就足以对企业造成毁灭性打击，这还没算上违约处罚和国防部的追责。法律后果也可能随之而来。根据您运营的地点，您暴露的数据可能会让您面临HIPAA或GDPR等隐私保护法，以及各种州级和行业级法规的制裁。这些法规确实经常导致非常严厉的经济处罚。

即使超越了法律和经济处罚，被发现不当处理信息的企业也会失去大量信任和声誉，这使得继续开展业务变得更加困难。即使您解决了问题的根源，您也可能会失去合同，转而流向过去未被证明存在安全问题的竞争对手。所有这些甚至还没有谈及数据本身可能发生的事情。根据被泄露数据的类型，它可能助长身份盗窃、商业秘密和知识产权流失，在某些情况下，甚至可能危及政府机密和其他受保护信息，从而危及生命。

哪些介质需要被清理？

我们经常遇到的一个问题是，从数据而非介质本身的角度来思考介质清理。这与界定范围时面临的问题类似；与其弄清数据流动和存储的位置并加以保护，不如构建更有限的流动路径以减小威胁面并缩小必要的安全范围。对于介质清理，不是要弄清楚哪些数据在离开生态系统时需要销毁；而是要弄清楚哪些介质（纸质文件、硬盘等）曾存储过这些数据，并对它们进行清理。

从NIST SP 800-171中的讨论，您可以更清楚地看到这一点。 “该要求适用于所有待处置或重用的系统介质，包括数字和非数字介质。例如：工作站、网络组件、扫描仪、复印机、打印机、笔记本电脑和移动设备中的数字介质；以及非数字介质，如纸张和缩微胶片。” 介质可以指任何以可能保留数据的方式存储或处理数据的东西。纸张和硬盘是常见的例子，但磁带、光盘、照片、CD和DVD、手机以及其他设备也都算在内。即使是您可能认为无法存储信息的办公设备也可以存储数据。许多现代打印机都有存储待打印项目的硬盘，这意味着可以从中提取数据，因此需要进行清理。虽然CMMC的要求仅规定如果介质曾包含FCI或CUI则应进行清理，但许多企业也因其他原因需要清理介质。由于HIPAA的要求，健康和个人信息需要清理。业务信息，如人力资源和财务文件，应进行清理以保护业务运营。许多企业发现，清理离开其生态系统的大部分介质（无论其内容如何）是一种良好做法。

NIST SP 800-88规定了什么？

NIST 800-88在其最新修订版中是一份48页的文件，因此出于显而易见的原因，我们不会在这里全文复制。无论如何，您都可以免费直接阅读。但我们可以浏览并总结最相关的细节。不过，请确保为您的业务使用实际文件，而不是我们的摘要。

定义介质类型

800-88首先做的事情之一就是定义两种介质类型。第一种是硬拷贝介质。这是信息的物理表现形式，即受控文档的典型打印件。他们详细说明此类别可以包括多种不同类型的介质，包括缩微胶片、胶卷、打印机色带和其他物理物品。如果它可以从垃圾箱中捡出并当场读取，那么它基本就是硬拷贝。

第二种是ISM，即信息存储介质。这是存储受控信息的数字表示（代码的1和0）的介质。硬盘、固态硬盘、RAM、光盘、内存和其他设备都构成ISM。他们还提到了易失性和非易失性ISM之间的区别。计算机RAM仅在通电和使用时保留其内容，断电后则不存储任何内容，因此不如硬盘等更永久的存储介质那样是清理的重点。

描述三个层级的清理

NIST 800-88的另一个部分是描述三个层级的清理。层级越低，清理往往越不彻底，因此仅以该级别清理就释放介质的风险越大。这并不意味着您必须对所有东西都进行完全的第三级清理，但这确实意味着需要对不同的介质进行不同级别的处理。

第1级：清除（Clear）。 清除是通过正常方式使数据无法访问的过程。覆盖硬盘上的数据、从闪存驱动器中删除数据、将工作站恢复出厂设置；这些都会清除数据。但数据不一定消失，只是更难通过正常方式访问。将已清除的硬盘插入计算机的人不会立即访问数据。然而，这些系统通常不会移除数据；它们只是移除对数据的访问。一个比喻是图书馆；删除卡片目录并不会使书籍无法访问，只是让您更难找到您要找的特定书籍。第1级对于介质的内部重用很有用。您可以清除闪存驱动器并在业务内部重用，这仍然足够安全。
第2级：清除（Purge）。 第二层级使用专门的工具使数据不太可能或无法恢复。使用软件将硬盘“归零”，或使用消磁器清除磁性存储，可以使恢复数据变得不可行。虽然一些高度先进的技术仍然可能恢复这些数据，但对于除了极其感兴趣的民族国家之外的所有人来说，进行这种努力在经济和动机上都是不可能的。第2级对于介质的外部重用很有用。如果您停用一个数据中心，您可以清除所有驱动器并转售以收回部分成本，而不是损失所有硬件投资。 NIST 800-88还包括了一些关于加密作为一种清除机制的讨论。当密钥被销毁时，经过充分加密的数据可以被有效清除。800-88对此进行了详细说明，并附加了要求，即加密必须符合FIPS-140标准或更优标准才能生效。
第3级：销毁（Destroy）。 第三层级使用物理销毁技术，使介质无法操作到无法恢复的程度。用于纸质文件的多阶段粉碎、用于压碎硬盘的粉碎机，或将介质焚烧成其组成碳原子的焚化，都属于此层级。第3级显然仅适用于无法重用的介质。

关于实施适当介质清理协议的提示

NIST SP 800-88的另一个主要方面是关于如何制定和实施介质清理协议的大量提示和指导。它们对此没有规定性；您需要自行确定需要满足哪些安全级别（针对哪些框架）、需要保护哪些类型的数据、哪些介质需要清理，以及如何处理这些清理工作。该文档所做的是为您提供在决策时需要考虑的各种因素。这基本上又是范围界定，适用于介质离开您生态系统的情况。所有这一切的关键在于，确定信息和介质的流动，并确保在介质因任何目的离开时，有适当的政策来处理它们。

我们的Ignyte Assurance Platform可以在这方面提供帮助，就像在所有合规工作中一样。鉴于介质清理的实施是合规的一部分，在平台内跟踪所有这些都很容易。要了解我们如何提供帮助，请预约通话以查看实际演示。实际上，遵守NIST SP 800-88最困难的部分是投入最初的思考，以跟踪、界定范围，并确定对于任何给定的介质，哪个级别的清理是相关的。但是，由于清理具有超越CMMC合规性的好处，企业无论如何都需要将大量思考付诸实践。无论如何，在当今信息驱动的世界中，适当的介质清理是必需的，因此正确实施它不是可选的。像NIST 800-88这样的文档可以提供帮助，但没有什么可以替代分析您自己的环境和介质，以确定需要做什么以及如何做。

深入解析NIST 800-88：CMMC合规中的介质清理技术指南

本文详细阐述了CMMC合规框架下，如何依据NIST SP 800-88指南对物理和数字存储介质进行有效的数据清理，包括清除、清除（高级）和销毁三个层级的技术要求与实施策略。