Certificazione U.S. Cybersecurity Maturity Model (CMMC)

Il programma CMMC prevede tre livelli:

Livello 1: salvaguardia di base di FCI

• Focus: protezione delle informazioni riservate del cliente (FCI), ad esempio informazioni di base come numeri di contratto e programmi di consegna. Questo livello è progettato per essere più semplice da raggiungere per le organizzazioni più piccole che non gestiranno informazioni critiche per la sicurezza nazionale. 
• Requisiti: 15 pratiche di base di cybersicurezza, ad esempio cambiare regolarmente le password e usare un software antivirus.
• Valutazione: autovalutazione annuale.
• Applicabilità: obbligatorio per tutti gli appaltatori che gestiscono FCI in qualche modo. Questo è il livello più comune.

Livello 2: protezione estesa di dati CUI

• Focus: protezione dei dati CUI, ad esempio dati sensibili soggetti a controlli di salvaguardia o diffusione. Questo livello è progettato per proteggere le informazioni critiche per la sicurezza nazionale.
• Requisiti: 110 requisiti di sicurezza allineati a NIST SP 800-171 r2, ad esempio, mantieni un piano di sicurezza del sistema (SSP, System Security Plan), identifica, registra e monitora gli asset CUI e implementa un programma di analisi delle vulnerabilità per identificare e correggere le debolezze della sicurezza.
• Valutazione: definita dal contratto. Alcuni contratti potrebbero richiedere un'autovalutazione, mentre altri potrebbero richiedere una valutazione di terze parti da parte di un'organizzazione di valutazione di terze parti CMMC (C3PAO).
• Applicabilità: obbligatorio per gli appaltatori che gestiscono dati CUI.

Livello 3: protezione di livello superiore dei dati CUI contro le minacce persistenti avanzate

• Focus: protezione di dati CUI altamente sensibili su programmi critici. Si concentra su ulteriori protezioni contro le minacce persistenti avanzate (APT, Advanced Persistent Threats).
• Requisiti: tutti i requisiti di livello 2, oltre a ulteriori pratiche di NIST SP 800-172 per una maggiore sicurezza, ad esempio, sviluppare un piano di risposta agli incidenti completo, implementare un programma di monitoraggio continuo completo e valutare e gestire il rischio di sicurezza della catena di fornitura.
• Valutazione: valutazione guidata dal governo da parte del Defense Industrial Base Cybersecurity Assessment Center (DIBCAC).
• Applicabilità: richiesta per gli appaltatori che lavorano ai progetti governativi più sensibili. Questo è il livello meno comune.
• Prerequisito: prima di poter ottenere la certificazione CMMC di livello 3, un appaltatore deve già avere quella di livello 2.

In sostanza, più alto è il livello CMMC, più sensibili sono i dati gestiti e più rigorosi sono i requisiti di cybersicurezza.

Puoi utilizzare Google Cloud e Google Workspace per soddisfare i requisiti di conformità CMMC della tua organizzazione a tutti i livelli, facendo affidamento sui servizi autorizzati FedRAMP High di Google. Google Cloud e Google Workspace mantengono entrambi l'autorizzazione a operare (ATO) FedRAMP High per i servizi inclusi nell'ambito.

Google fornisce la seguente documentazione di guida per aiutarti a soddisfare i tuoi requisiti di conformità CMMC:

• Guida all'implementazione di Google Workspace per CMMC
• Guida all'implementazione CMMC di Google Cloud

Inoltre, Google fornisce le seguenti lettere di attestazione prodotte da un'organizzazione di valutazione di terze parti indipendente:

• Lettera di attestazione C3PAO CMMC di Google Workspace (Google Cloud previsto entro agosto 2025)
• Lettera di attestazione di conformità NIST SP 800-171 per Google Cloud e Google Workspace

Per Google Cloud, devi utilizzare il confine dei dati di Assured Workloads per FedRAMP High e utilizzare la matrice di responsabilità del cliente (CRM) CMMC durante la configurazione dei sistemi per supportare la conformità CMMC. Contatta il team di vendita di Google o il tuo rappresentante Google Cloud per ottenere la documentazione di cui sopra, ad esempio il CRM.

Per Google Workspace, devi utilizzare i servizi autorizzati FedRAMP High per la conformità CMMC, nonché Assured Controls Plus per abilitare l'archiviazione dei dati esclusivamente all'interno degli Stati Uniti. Se necessario, puoi disattivare un servizio che non è ancora stato autorizzato da FedRAMP.

• Lettera di attestazione C3PAO CMMC di Google Cloud
• Lettera di attestazione C3PAO CMMC di Google Workspace
• Guida all'implementazione CMMC di Google Cloud
• Guida all'implementazione CMMC di Google Workspace
• Certificazione CMMC del Dipartimento della Difesa
• Regolamenti definitivi del programma CMMC
• Guida alla valutazione CMMC del CIO del Dipartimento della difesa degli Stati Uniti