清流雙月刊 NO.32

34 清流雙月刊 《網路安全成熟度認證》（ Cybersecurity Maturity Model Certification, CMMC ）主要目的是在評估國防部承包 商在網路安全領域的能力。（ Source: Office of the Under Secretary of Defense for Acquisition & Sustainment , https:// www.acq.osd.mil/cmmc/draft.html ） CMMC 的認證級別 CMMC 有 5 項認證級別，各項級別彼 此相依，即每項級別需遵守較低級別之規 定，以驗證對網絡安全標準的遵守情況； 另承包商須通過較低級別後，才能升級到 下個級別。包括： 1 級別 1 ： 基礎防護（ Basic ） ─保護「聯邦 合同資訊」（ Federal Contract Information ，下稱 FCI ）。例如 公司必須使用防毒軟體或確保員 工定期更改密碼，以保護 FCI 。 1 Abigail Stokes, M. C. (2020). The cybersecurity maturity model certification explained: What defense contractors need to know. CSO (Online), Retrieved from https://search.proquest.com/docview/2387511629?accountid=13838. 級別 2 ： 中等防護（ Intermediate ） ─保 護「受控非機敏資訊」（ Con- trol led Unclassi f ied Informa- t ion ，下稱 CUI ）。 CUI 為美國 法規要求保護或傳播措施之任何 資訊，但不包含機密資訊。例如， 承包商需通過美國商務部國家標 準技術研究院的 NIST 800-171 ， 來保護 CUI 。 MJIB