CMMC עוסק בהגנה על מידע בשרשרת האספקה הביטחונית בארה״ב. השאלה הראשונה היא איזה מידע תטפלו בו במסגרת החוזה ואיזו דרישת הערכה חלה על המערכות שלכם.
רמה 1 ו־FCI
רמה 1 עוסקת במידע חוזי פדרלי, FCI, ובדרישות ההגנה הבסיסיות שב־FAR 52.204-21. הערכה עצמית מתועדת וההצהרה הנדרשת הן חלק מהתהליך. השתמשו במדריך הרשמי העדכני ולא בספירת בקרות ממקור לא רשמי.
רמה 2 ו־CUI
רמה 2 עוסקת במידע מבוקר שאינו מסווג, CUI, לפי 110 הדרישות של NIST SP 800-171 Revision 2. חשוב להבין את מסלול ההערכה ואת גבולות המערכת. הסמכת ISO או בדיקת אבטחה קודמת אינן שקולות אוטומטית לכך.
בודקים את מצב היישום
המידע הרשמי מתאר כרגע עצירה בשלב הראשון של היישום, עם הערכות עצמיות ברמות 1 ו־2. יש לבדוק את דרישות החוזה ומדיניות היישום בעת הגשת הצעה. העצירה אינה מסירה חובות קיימות להגנה על מידע.
מתכוננים לפני רכישת כלים
בררו אם מדובר ב־FCI או ב־CUI, אילו סעיפים חלים ומה הרמה הנדרשת. מפו מערכות וספקים שמטפלים במידע החוזי, ותכננו את הבקרות והראיות בהתאם.