ما مستوى CMMC الذي نحتاجه؟

يحدد المستوى عقدك ونوع المعلومات التي تتعامل معها، من Federal Contract Information في المستوى الأدنى إلى Controlled Unclassified Information في المستويات الأعلى. نؤكد المستوى المنطبق أثناء تحديد النطاق.

كيف يرتبط CMMC بـ NIST SP 800-171؟

تُبنى مستويات CMMC الأعلى على ضوابط NIST SP 800-171 لحماية Controlled Unclassified Information. إذا كنت قد عملت بالفعل نحو 800-171، فإن جزءاً كبيراً من هذا الجهد ينتقل مباشرة إلى جاهزية CMMC.

هل يمكن لـ tr3labs أن تمنحنا شهادة CMMC؟

لا. في المستويات الأعلى، يُجري التقييم جهة تقييم خارجية معتمدة، وهي C3PAO. تجهزك tr3labs وتبني الضوابط والأدلة وتدعمك طوال التقييم؛ نحن لسنا جهة C3PAO.

أمن المعلومات

CMMC

Cybersecurity Maturity Model Certification (CMMC)

CMMC هو برنامج وزارة الدفاع الأمريكية الذي يتحقق من أن متعاقدي الدفاع يحمون معلومات العقود الفيدرالية والمعلومات غير المصنفة الخاضعة للرقابة. ننقلك من الفجوة إلى الجاهزية للتقييم وفق المستوى الذي تتطلبه عقودك.

احجز مكالمة لتحديد النطاق

ما هو CMMC

CMMC هو برنامج Cybersecurity Maturity Model Certification الذي تديره وزارة الدفاع الأمريكية للشركات في سلسلة التوريد الخاصة بها. ويتطلب من المتعاقدين والمتعاقدين من الباطن الذين يتعاملون مع Federal Contract Information (FCI) أو Controlled Unclassified Information (CUI) استيفاء ممارسات أمن سيبراني محددة قبل أن يتمكنوا من الحصول على عقود معينة أو الاحتفاظ بها.

يضم النموذج مستويات متدرجة. يمكن استيفاء متطلبات المستويات الأدنى من خلال تقييم ذاتي، بينما تتطلب المستويات الأعلى، المبنية على ضوابط NIST SP 800-171 لحماية CUI، تقييماً من جهة تقييم خارجية معتمدة تُعرف باسم C3PAO. يحدد العقد ونوع المعلومات المعنية المستوى المطلوب.

هيكل المعيار

المستوى 1 · التأسيسي
يغطي الحماية الأساسية لـ Federal Contract Information من خلال مجموعة محددة من الممارسات يؤكدها المتعاقد عبر تقييم ذاتي سنوي.
المستوى 2 · المتقدم
يتوافق مع المجموعة الكاملة من الضوابط في NIST SP 800-171 لحماية Controlled Unclassified Information، ويُستوفى عبر تقييم ذاتي أو عبر تقييم C3PAO بحسب العقد.
المستوى 3 · الخبير
يُبنى على المستوى 2 ويضيف مجموعة فرعية من الضوابط المستمدة من NIST SP 800-172، تقيّمها الحكومة لأكثر البرامج حساسية.
المجال · الوصول والهوية
يجمع ممارسات التحكم في الوصول والتعريف والمصادقة التي تحد ممن يمكنه الوصول إلى الأنظمة التي تحتوي على FCI أو CUI.
المجال · الحماية والكشف
يضم حماية الأنظمة والاتصالات، وحماية الوسائط، وممارسات التدقيق والمساءلة التي تحرس المعلومات وتسجل ما يحدث لها.
المجال · التشغيل والاستجابة
يغطي إدارة التهيئة والصيانة والاستجابة للحوادث وممارسات تقييم المخاطر والأمن التي تبقي البيئة تحت السيطرة مع مرور الوقت.
المجال · الأشخاص والجانب المادي
يعالج التوعية والتدريب وأمن الأفراد والحماية المادية حتى لا يصبح الموظفون والمرافق نقطة الضعف.
SSP وPOA&M · العمود الفقري للأدلة
يصف System Security Plan كيفية استيفاء كل ممارسة، وتتتبع Plans of Action and Milestones أي ممارسات لم تُطبّق بعد.

من يحتاج إليه

متعاقدو الدفاع والمتعاقدون من الباطن في سلسلة توريد وزارة الدفاع الأمريكية
الشركات التي تتعامل مع Federal Contract Information أو Controlled Unclassified Information
الموردون الذين تتطلب عقودهم أو بنود التمرير لديهم الآن مستوى CMMC معيناً

ما تحصل عليه

تعريف للنطاق وتقييم للفجوات مقابل مستوى CMMC المطلوب
System Security Plan وPlans of Action and Milestones
ممارسات مطبقة مع مجموعة أدلة مرتبطة
تقييم جاهزية داخلي ودعم طوال التقييم الرسمي

تعتمد المدد على المستوى الذي تتطلبه عقودك، ومقدار CUI الذي تتعامل معه، وحالة ضوابطك الحالية. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.

الإصدار الحالي

البرنامج الحالي هو الذي أنجزته وزارة الدفاع الأمريكية في إصدارها التنظيمي لعام 2024، مع دخول قاعدة CMMC الأساسية حيز التنفيذ في أواخر عام 2024. وهو يرسي النموذج ثلاثي المستويات ويُطرح عبر إطلاق تدريجي، بحيث تظهر متطلبات التقييم والاعتماد في طلبات العروض على مراحل بدلاً من دفعة واحدة. ثم تضيف قاعدة اكتساب مصاحبة البنود المطابقة إلى العقود. إذا كنت قد عملت بالفعل نحو NIST SP 800-171، فإن هذا الجهد ينتقل إلى الجاهزية؛ أكّد المستوى والمرحلة المنطبقين مقابل عقودك المحددة وبنود التمرير لديك، لأن ما ينطبق اليوم قد يختلف عن مسودة سابقة من البرنامج.

التكلفة

توجد تكلفتان جنباً إلى جنب. تتقاضى tr3labs رسوم استشارة وتنفيذ محددة، تُعرض مسبقاً بمجرد أن نفهم حجمك ومستوى CMMC الذي تتطلبه عقودك ومقدار Controlled Unclassified Information الذي تتعامل معه. وحيث يتطلب مستواك تقييماً من جهة تقييم خارجية معتمدة، تتقاضى جهة C3PAO تلك رسومها بشكل منفصل وفق جدولها الخاص، ولا تزال مستويات التقييم الذاتي تحمل تكلفتك الداخلية للتحضير والإقرار؛ tr3labs ليست أبداً المقيّم أو جهة C3PAO أو الجهة المنظّمة. نحدد العمل معك بدلاً من تقديم عرض سعر دون معرفة.

كيف توصلك tr3labs إلى هناك

النطاق وتقييم الفجوات

نؤكد مستوى CMMC الذي تتطلبه عقودك، ونحدد نطاق التقييم والأنظمة التي تتعامل مع FCI أو CUI، ونقيسك مقابل ممارسات NIST SP 800-171 لتعرف بالضبط ما هو ناقص.

بناء الضوابط

نساعدك على تطبيق الممارسات المطلوبة، وكتابة System Security Plan وPlans of Action and Milestones، ووضع السياسات والضوابط التقنية لحماية المعلومات ضمن النطاق.

التدقيق الداخلي والأدلة

نجري تقييماً داخلياً مقابل الممارسات ونجمع الأدلة التي سيتوقعها المقيّم، بحيث تُغلق الفجوات قبل أن يبدأ أي تقييم رسمي.

دعم الجاهزية للتقييم

نجهزك لتقييم ذاتي أو لتقييم من جهة C3PAO في المستويات الأعلى، وندعمك حتى النتيجة؛ tr3labs ليست جهة C3PAO ولا تصدر شهادات CMMC.

CMMC وISO 27001

كلاهما يطلب منك إثبات ضوابط الأمن لطرف خارجي، لذا تفترض الفرق غالباً أن أحدهما يستوفي الآخر، لكنهما يخضعان لجهات مختلفة.

	CMMC	ISO 27001
يغطي	FCI وCUI في سلسلة توريد الدفاع الأمريكية	نظام إدارة أمن المعلومات، أي قطاع
من يطلبه	عقود وزارة الدفاع الأمريكية	العملاء والشركاء والمناقصات حول العالم
الفكرة الأساسية	استيفاء ممارسات محددة من NIST SP 800-171 عند مستوى مطلوب	تشغيل نظام إدارة أمن معلومات قائم على المخاطر وتحسينه مع الوقت
نموذج التدقيق	تقييم ذاتي أو تقييم C3PAO بحسب المستوى	تدقيق اعتماد من جهة معتمدة
مبني على	NIST SP 800-171، وفي المستوى 3، SP 800-172	ضوابط الملحق A وبنود نظام إدارة أمن المعلومات
كثيراً ما يُحتفظ به مع	NIST CSF وSOC 2	SOC 2 وPCI DSS

الأسئلة الشائعة حول CMMC

ما مستوى CMMC الذي نحتاجه؟: يحدد المستوى عقدك ونوع المعلومات التي تتعامل معها، من Federal Contract Information في المستوى الأدنى إلى Controlled Unclassified Information في المستويات الأعلى. نؤكد المستوى المنطبق أثناء تحديد النطاق.
كيف يرتبط CMMC بـ NIST SP 800-171؟: تُبنى مستويات CMMC الأعلى على ضوابط NIST SP 800-171 لحماية Controlled Unclassified Information. إذا كنت قد عملت بالفعل نحو 800-171، فإن جزءاً كبيراً من هذا الجهد ينتقل مباشرة إلى جاهزية CMMC.
هل يمكن لـ tr3labs أن تمنحنا شهادة CMMC؟: لا. في المستويات الأعلى، يُجري التقييم جهة تقييم خارجية معتمدة، وهي C3PAO. تجهزك tr3labs وتبني الضوابط والأدلة وتدعمك طوال التقييم؛ نحن لسنا جهة C3PAO.

المعايير ذات الصلة

NIST CSF ISO 27001 SOC 2

قراءات ذات صلة

AILLM

نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي

شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.

قراءة 9 دقائق

VAPTPenetration testing

كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق

شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.

8 دقائق قراءة

SOC 2ISO 27001

SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار

دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.

قراءة 8 دقائق

جاهز لمعالجة CMMC؟