CMMC合规无捷径：识别软件供应商的空洞承诺

没有万能解决方案：识别软件供应商的空洞承诺

对于国防工业基地的安全负责人来说，压力正在不断增加。要继续承接国防部合同，实现CMMC 2级合规已非"可有可无"，而是生存必需。

虽然供应商发布了大量关于满足CMMC要求的有用信息，但其中也存在很多噪音——部分内容甚至具有误导性。

要获得CMMC 2级认证，您必须在所需的110个控制项中获得满分。许多供应商发布了共享责任矩阵或客户责任矩阵，但当一个软件供应商声称能解决110个CMMC 2级控制项中的100多个时，就该仔细阅读细则了。

CMMC合规要求国防承包商证明其能够安全处理受控非密信息。虽然关于CMMC作为合规标准的结构和推出存在很多争议，但几乎所有人都同意其期望结果是通过保护敏感信息来加强国家安全。

在CMMC评估中，评估人员不仅仅是检查110个框框，他们是在评估这些控制项内嵌套的320个评估目标。要通过评估，组织需要获得满分，或者在短期内解决任何小差距的计划。

供应商夸大数字的最常见方式是声称您可以从其云托管提供商继承控制项。虽然继承在特定背景下是有效的，但某些供应商将这种逻辑推向了极限。

想象一下坐在评估人员对面。他们会查看您的办公室——您的员工可以访问CUI的地方——然后问：“但是谁在监视站在您大厅里的承包商？“如果您的回答是"我的加密供应商处理这个问题”，您很可能会失败该目标。

许多软件供应商吹捧FedRAMP等效性而非FedRAMP授权。如果您的供应商是"等效的”，这意味着在发生CUI泄露时您的组织承担所有风险。

Virtru不会过度承诺CMMC合规性。我们采取保守和诚实的方法：Virtru帮助您满足110个CMMC控制项中的27个。这些是直接适用于我们能力的控制项。

作为安全负责人，您的目标不仅仅是购买软件来勾选CMMC框框。目标是按照CMMC、DFARS和NIST要求保护CUI，确保敏感信息得到安全管理。