AGGIORNAMENTO: Il presente articolo, originariamente pubblicato su 26 maggio 2021, è stato aggiornato per riflettere gli ultimi sviluppi in materia di conformità alla norma CMMC 2,0 . Ora include linee guida aggiornate sulla preparazione alla revisione contabile, mappature dei controlli aggiornate e nuove approfondimenti su come il programma “ Tanium ” sostenga la conformità continua e la maturità operativa nell’ambito della base industriale della difesa.
Il CMMC 2,0 sta trasformando il modo in cui il Dipartimento della Difesa (DoD) impone agli appaltatori di proteggere le informazioni non classificate soggette a controllo (CUI) e le informazioni relative ai contratti federali (FCI) nell’ambito della base industriale della difesa (DIB), introducendo rigorosi requisiti di sicurezza informatica che tutti gli appaltatori sono tenuti a soddisfare.
Partendo dalle basi del modello CMMC 1,0, il modello CMMC 2,0 aggiornato rafforza l’obiettivo del Dipartimento della Difesa (DoD) di salvaguardare la sicurezza nazionale attraverso la definizione di standard di sicurezza informatica solidi, scalabili e applicabili. Esso richiede agli appaltatori di dimostrare il proprio livello di maturità in materia di sicurezza informatica attraverso un quadro di riferimento articolato in livelli, misurabile e basato su attività di audit, garantendo la responsabilità e l’adeguamento alle minacce in continua evoluzione e alle aspettative di conformità.
Tuttavia, il tempo a disposizione per prepararsi al CMMC 2,0 sta per scadere. Con le valutazioni ora attive nel sistema di valutazione “Supplier Performance ” (SPRS) dell’ Risk ( ) (si apre in una nuova scheda), si prevede che la conformità diventi un requisito contrattuale una volta che il CMMC sarà formalmente integrato nel “Defense Federal Acquisition Regulation Supplement” (DFARS) dell’ (si apre in una nuova scheda) nel corso di quest’anno. Gli appaltatori devono ora passare dalla fase di pianificazione a quella di esecuzione.
Eppure, nonostante l’intensificarsi dei controlli, molte organizzazioni stanno ancora cercando di mettersi al passo.
Se siete appaltatori del Dipartimento della Difesa, il CMMC 2,0 non è solo l’ennesimo acronimo: è la vostra nuova realtà. Questo quadro di riferimento aggiornato in materia di sicurezza informatica dell’ , disponibile all’indirizzo , sta ridefinendo il modo in cui la base industriale della difesa protegge i dati sensibili e non è più facoltativo.
Whether you're beginning your compliance journey or preparing for a third-party assessment, this comprehensive guide will walk you through everything you need to know about CMMC 2,0—including how Tanium simplifies and helps accelerate your path to compliance.
Che cos’è il CMMC 2,0 e perché è importante
Il CMMC 2,0 introduce una struttura modernizzata con tre livelli distinti di maturità in materia di sicurezza informatica, in sostituzione del modello originale a cinque livelli. Ciascun livello è commisurato alla sensibilità dei dati trattati e definisce in modo più dettagliato i corrispondenti requisiti di sicurezza.
Il modello pone l’accento sui progressi misurabili e sulla convalida formale, richiedendo agli appaltatori di dimostrare la conformità tramite autovalutazioni, valutazioni condotte da terzi o verifiche condotte dalle autorità pubbliche, a seconda del livello di certificazione richiesto.
In pratica, ciò significa che il Livello 2 del CMMC comprende tutti i 110 controlli previsti dalla norma SP 800-171 del National Institute of Standards and Technology (NIST), mentre il Livello 3 include un sottoinsieme della norma SP 800-172. Tali livelli rafforzano le pratiche di sicurezza informatica attraverso ambiti chiaramente definiti quali il controllo degli accessi, la gestione delle configurazioni e la formazione sulla sensibilizzazione; ciascuno di essi è concepito per costruire una cultura della sicurezza resiliente e garantire la responsabilità lungo l’intera catena di fornitura.
Storicamente, la sicurezza informatica della catena di fornitura si è basata in larga misura su modelli fondati sulla fiducia e su strumenti obsoleti quali fogli di calcolo e questionari binari, lasciando così aperte lacune critiche in termini di visibilità e responsabilità.
Il programma CMMC affronta queste sfide imponendo pratiche di sicurezza informatica standardizzate e misurabili in tutta la base industriale della difesa. Il suo scopo non è solo quello di garantire la conformità, ma anche di promuovere una cultura della sicurezza proattiva e resiliente. Richiedendo agli appaltatori di dimostrare il proprio livello di maturità attraverso audit e un processo di miglioramento continuo, il CMMC 2,0 contribuisce a ridurre i rischi lungo l’intera catena di fornitura, promuovendo misure di protezione coerenti e applicabili.
Orientarsi nella conformità CMMC può risultare complesso, ma non deve necessariamente esserlo. In questo breve video riceverete una panoramica chiara e concisa su cosa sia il CMMC e sul motivo per cui è importante per le organizzazioni che fanno parte del DIB. Questo video offre una sintesi chiara e concreta per aiutarvi ad andare avanti con fiducia.
Il CMMC 2,0 rappresenta, in definitiva, l’evoluzione degli standard di sicurezza nel settore della difesa, allineando formazione, quadri di riferimento e valutazioni per garantire che tutti gli appaltatori — indipendentemente dalle loro dimensioni — possano soddisfare l’obiettivo del Dipartimento della Difesa (DoD) di tutelare la sicurezza nazionale attraverso una difesa informatica resiliente e responsabile.
Comprendere i livelli CMMC 2,0 : dal livello base a quello avanzato
Il CMMC 2,0 semplifica il modello originale a cinque livelli, riducendolo a tre livelli progressivi, ciascuno allineato a specifici standard federali e requisiti di valutazione.
Tuttavia, non tutte le organizzazioni devono soddisfare lo stesso standard. È qui che entra in gioco il modello a livelli:
| Livello CMMC | Scope | Requisiti | Tipo di valutazione |
|---|---|---|---|
| Livello 1 (Base) | Per le organizzazioni che gestiscono esclusivamente FCI | 17 pratiche fondamentali in materia di sicurezza informatica conformi alla norma FAR 52,204-21 | Autovalutazione annuale |
| Livello 2 (Avanzato) | Per le organizzazioni che gestiscono informazioni classificate (CUI) | 110 controlli in linea con la norma SP 800-171 dell’ NIST | Valutato ogni tre anni da un ente di valutazione indipendente certificato (C3PAO) |
| Livello 3 (Esperto) | Per le organizzazioni che sostengono programmi fondamentali del Dipartimento della Difesa | Un sottoinsieme delle pratiche SP 800-172 di NIST incentrato su requisiti potenziati in materia di ricerca delle minacce, analisi e difesa proattiva | Valutazioni condotte dal Dipartimento della Difesa |
Ogni livello si basa su quello precedente, rafforzando la capacità dell’organizzazione di Detect, reagire alle minacce informatiche e riprendersi da esse.
Obiettivi principali del corso CMMC 2,0
Allora, qual è esattamente l’obiettivo del corso CMMC 2,0 ?
In sostanza, si tratta di innalzare gli standard di sicurezza informatica lungo l’intera catena di approvvigionamento della difesa. Ecco quali sono i suoi obiettivi:
- Proteggere le informazioni sensibili (CUI/FCI)
- Allinearsi agli standard esistenti in materia di sicurezza informatica (ad esempio, SP 800-171 dell’ NIST)
- Creare un modello collaudato e scalabile
- Garantire la responsabilità attraverso le valutazioni
- Promuovere la maturità e la trasparenza nell’attuazione
Chi deve essere conforme allo standard CMMC?
Qualsiasi organizzazione — commerciale, accademica o di altro tipo — che gestisca informazioni classificate come FCI o CUI nell’ambito di un contratto con il Dipartimento della Difesa (DoD), compresi gli appaltatori principali e i subappaltatori, deve raggiungere il livello appropriato previsto dal CMMC 2,0.
Requisiti per la conformità allo standard CMMC 2,0
Le organizzazioni che intendono ottenere la conformità devono dimostrare:
- Individuazione e inventario delle risorse in tempo reale
- Gestione delle vulnerabilità e delle patch
- Identità e controllo degli accessi
- Garanzia dell'integrità del sistema
- Configurazioni di base sicure
- Monitoraggio continuo e risposta agli incidenti
...il tutto deve essere documentato, verificabile e costantemente aggiornato.
Tali requisiti operativi corrispondono direttamente al quadro di riferimento CMMC 2,0 , che si articola in 14 domini (in calo rispetto ai 17 della versione 1,0) e 110 pratiche allineate all’ NISTe SP 800-171. Ciascun ambito, dal controllo degli accessi alla formazione sulla sensibilizzazione, prevede requisiti specifici volti a costruire una cultura della sicurezza informatica resiliente.
Tra requisiti in continua evoluzione, minacce sempre più complesse e la pressione di dover garantire la corretta attuazione prima di un audit, molte organizzazioni faticano a passare dalla fase di pianificazione a quella di attuazione. Ecco perché abbiamo suddiviso il processo in una pratica lista di controllo in sei fasi, per aiutarvi a iniziare, a rimanere concentrati e ad andare avanti con sicurezza.
Una pratica lista di controllo in 6 punti per la conformità alla norma CMMC 2,0
No matter where you are in your compliance journey—just getting started or preparing for a third-party assessment—this streamlined, actionable checklist can help guide your organization toward CMMC 2,0 readiness:
- Scoprite il vostro livello
- Valutate la vostra situazione attuale
Verifica rapida dello stato di preparazione Si chieda: ✓ Quanti computer sono presenti nella Sua rete
— e sono autorizzati a farne parte? ✓ Quali applicazioni sono installate e sono tutte aggiornate? ✓ Cosa stanno facendo gli utenti? E si tratta di un’azione autorizzata? ✓ Quanto si ritiene a proprio agio riguardo alla situazione relativa alle patch, alle vulnerabilità, all’
e e ai rischi?
Queste domande consentono di individuare tempestivamente i punti ciechi e di orientare
le vostre priorità di intervento. Se non è in grado di rispondere con sicurezza a queste domande,
nemmeno i Suoi revisori saranno in grado di farlo.
- Map il Suo ambiente
- Valutare i rischi e stabilirne le priorità
- Attuare il monitoraggio e la risposta
- Documentare e verificare
Disporre di prove chiare e ben strutturate è fondamentale sia per le autovalutazioni che per le valutazioni condotte da terzi. Ciò dimostra che le vostre pratiche in materia di sicurezza informatica non sono improvvisate, ma coerenti, ripetibili e concepite per durare nel tempo. È proprio questo tipo di maturità operativa che gli auditor ricercano e che contraddistingue le organizzazioni resilienti.
Ed è proprio questo il punto. La maturità non consiste solo nel superare un esame, ma nel dimostrare di essere in grado di mantenerne i risultati nel tempo. Ecco perché la preparazione all’audit non è un evento una tantum. È una questione di mentalità.
Maturità del processo CMMC: andare oltre la certificazione puntuale
La conformità non consiste più semplicemente nel superare un audit una tantum. Al contrario, pone l’accento sulla maturità continua dei processi di sicurezza informatica, ovvero su quanto tali processi siano ben documentati, istituzionalizzati e costantemente migliorati nel tempo.
Tuttavia, spesso le aziende affrontano le vulnerabilità in materia di sicurezza informatica ricorrendo a un intricato mosaico di prodotti puntuali che non interagiscono tra loro, sono difficili da gestire e non garantiscono loro la necessaria visibilità sulle minacce informatiche presenti nella rete.
Se gli appaltatori continueranno a utilizzare questi prodotti specifici anziché una piattaforma unificata per risolvere le singole vulnerabilità, aumenteranno contemporaneamente i costi, la complessità e i rischi e potrebbero non essere in grado di soddisfare pienamente i requisiti CMMC senza apportare modifiche significative.
[Legga anche: Conformità e gestione del rischio – Definizione e differenze]
Il CMMC non consiste semplicemente nel superare un audit, ma nell’istituzionalizzare le migliori pratiche in materia di sicurezza informatica.
Tanium favorisce questo cambiamento attraverso:
- Una visione unificata dei flussi di lavoro relativi all’igiene informatica e alla conformità
- Parametri di riferimento misurabili relativi alla configurazione e alle vulnerabilità
- Reportistica di conformità automatizzata e pronta per le verifiche
- Integrazione con strumenti quali Microsoft, ServiceNow e altri ancora
Grazie al miglioramento continuo dei processi, le organizzazioni possono passare dal livello di maturità “Eseguito” a quello “Ottimizzazione”, dimostrando di non essere semplicemente conformi, ma anche resilienti e proattive.
In che modo “ Tanium ” aiuta le organizzazioni a raggiungere la conformità allo standard CMMC 2,0
Sebbene Tanium non sia un ente di valutazione C3PAO , forniamo ai clienti approfondimenti di alta qualità in materia di “cyber hygiene”, necessari per contribuire alla realizzazione di un’infrastruttura IT conforme agli standard CMMC. Con " Tanium", i fornitori di servizi dispongono di un’unica piattaforma integrata che coordina la gestione e la sicurezza dell endpoint , facilitando la raccolta dei dati dagli endpoint.
La nostra piattaforma offre un monitoraggio completo delle minacce, accompagnato da un’analisi dettagliata degli incidenti, consentendo ai collaboratori esterni di identificare, isolare e mitigare le minacce in tempo reale. Ciò semplifica la gestione degli ambienti ibridi, migliora la comprensione del contesto da parte degli appaltatori e consente all’ Community e del Dipartimento della Difesa (DoD) di raggiungere il proprio obiettivo finale: una maggiore resilienza nei confronti dei rischi informatici.
D’indagini sulle risorse alla reportistica pronta per gli audit, Tanium vi supporta nella creazione di un quadro di conformità sostenibile e basato sui dati.
Competenze tecniche
Tanium La gestione autonoma degli endpoint (AEM) soddisfa numerosi requisiti di conformità CMMC 2,0 fornendo:
- Visibilità in tempo reale: Il monitoraggio continuo endpoint offre una visibilità in tempo reale sull’ambiente IT, consentendo una gestione efficace delle risorse e controlli di sicurezza in linea con lo standard CMMC 2,0.
- Pratiche proattive di sicurezza: La valutazione e il miglioramento continui del livello di sicurezza dell’ endpoint e aiutano le organizzazioni a mantenere solide pratiche di sicurezza informatica, una componente essenziale per soddisfare i requisiti fondamentali del CMMC 2,0 .
- Gestione automatizzata dell’ endpoint : Automazione delle attività di applicazione delle patch e di configurazione per garantire la sicurezza e la conformità dei sistemi, a diretto supporto dei requisiti di gestione e manutenzione della configurazione previsti dal CMMC 2,0 .
- Risposta intelligente agli incidenti: Gli strumenti di rilevamento e mitigazione rapidi consentono una rapida risoluzione delle minacce, soddisfacendo i requisiti CMMC 2,0 in materia di risposta agli incidenti e gestione dei rischi.
- Reportistica continua in materia di conformità: Generi report e tracciati automatizzati, pronti per la revisione, che soddisfino i requisiti di rendicontazione e ottimizzino la preparazione alla valutazione CMMC.
Copertura dei controlli
| Famiglia di controlli | Percentuale di copertura* |
|---|---|
| Risk valutazione | 100% |
| Gestione della configurazione | 75% |
| Risposta agli incidenti | 65% |
*Le percentuali relative alla copertura dei prodotti si basano sulle attuali funzionalità dei prodotti pertinenti all’offerta di prodotti “ Tanium ” e sono soggette a modifiche man mano che l’offerta di prodotti si evolve.
Supporto dei comandi Level 3
| ID di controllo | Descrizione |
|---|---|
| CM.L3-3,4,2e | Rimedio automatico dei sistemi non autorizzati |
| CM.L3-3,4,3e | Inventario continuo dei componenti |
| IA.L3-3,5,3e | Applicazione delle politiche di accesso ai sistemi affidabili |
| RA.L3-3,11,3e | Risk analisi e previsione delle minacce |
| SI.L3-3,14,6e | Integrazione proattiva delle informazioni sulle minacce |
Vantaggi strategici
Oltre ai controlli tecnici, il programma “ Tanium ” consente alle organizzazioni di accelerare la preparazione al CMMC e di ampliare le proprie iniziative di conformità attraverso:
- Ottimizzazione SPRS: Monitorare costantemente lo stato di conformità, individuare le lacune e risolvere le voci relative al Piano d’azione e alle tappe fondamentali (POA&M) entro i termini previsti.
- Applicazione della conformità nella catena di fornitura: Monitorare la conformità dei subappaltatori per garantire il rispetto dei requisiti fondamentali a cascata.
- Supporto alla preparazione alle valutazioni: Fornite le prove necessarie per semplificare le valutazioni C3PAO e quelle del Centro di valutazione della sicurezza informatica della base industriale della difesa (DIBCAC), aiutando le organizzazioni a mantenersi pronte per la certificazione.
Tanium aiuta gli appaltatori a proseguire con sicurezza il proprio percorso di conformità al CMMC, allineandosi alle linee guida relative alle capacità chiave, consentendo la rendicontazione continua e sostenendo progressi misurabili attraverso i livelli di maturità previsti dal modello.
Domande frequenti sul CMMC
Sta ancora cercando di capire bene il CMMC? Ci pensiamo noi. Queste risposte concise forniscono una panoramica delle domande più frequenti e sono l’ideale per mettersi al passo senza perdere tempo.
Quanto costa la certificazione CMMC?
I costi variano in base al livello, alle dimensioni dell’organizzazione e ai controlli già in atto, da 3.000 a oltre 100.000 dollari a seconda dell’ambito, del livello e dello stato di preparazione.
Quanto tempo richiede il processo di certificazione CMMC?
Tra i 3 e i 12 mesi, a seconda del grado di preparazione.
Chi deve ottenere la certificazione CMMC?
Tutti gli appaltatori principali e i subappaltatori che gestiscono CUI o FCI nella catena di approvvigionamento del Dipartimento della Difesa.
Qual è la differenza tra CMMC 2,0, l’ NIST e FedRAMP?
Ecco un confronto tra il CMMC 2,0 e gli altri principali quadri normativi federali in materia di sicurezza informatica:
| Quadro di riferimento | Scope | Richiesto da | Tipo di valutazione |
|---|---|---|---|
| CMMC 2,0 | CI/CUI + maturità dell'implementazione | Appaltatori del Dipartimento della Difesa | 3PAO/Promosso dal governo |
| NIST 800-171 | Protezione CUI | Enti civili | Autovalutazione |
| FedRAMP | Sicurezza dei fornitori di servizi cloud | Agenzie federali | Supervisione da parte di soggetti terzi e dell’Ufficio di gestione del programma (PMO) FedRAMP |
Il CMMC 2,0 si basa direttamente sulle fondament NIST e SP 800-171, incorporandone i 110 controlli al Livello 2 e aggiungendo un sottoinsieme dell’ NISTe SP 800-172 al Livello 3. Se la Sua organizzazione è già conforme agli standard dell’ NIST , è sulla strada giusta; tuttavia, il CMMC introduce un modello di maturità e requisiti di valutazione formali che vanno oltre l’autocertificazione.
Per quanto riguarda FedRAMP, sebbene si concentri sulla sicurezza dei fornitori di servizi cloud per le agenzie federali, vi è una certa sovrapposizione nei requisiti di controllo. Si è discusso della possibile reciprocità tra CMMC e FedRAMP, ma alla data del 2025 non esiste alcun accordo formale. Le organizzazioni che operano nell’ambito di entrambi i quadri normativi possono trarre vantaggio dalla documentazione condivisa e dovrebbero monitorare gli aggiornamenti provenienti dal Dipartimento della Difesa (DoD) e dagli uffici del programma FedRAMP.
Quale livello è richiesto per il CUI?
È richiesta la conformità al livello 2 (avanzato) del CMMC.
Risorse aggiuntive
- Che cos’è la gestione della conformità?
- Come monitoriamo gli indicatori chiave di conformità
- PCI Lista di controllo per la conformità alle norme DSS
Il CMMC 2,0 non è solo una normativa: è un imperativo per la sicurezza nazionale e l’eccellenza operativa, guidato dall’evoluzione della regolamentazione e dalle aspettative in materia di conformità. Tanium Vi accompagna in ogni fase, dalla valutazione iniziale al miglioramento continuo.
Tanium consente agli appaltatori e ai subappaltatori del settore della difesa di soddisfare e superare con sicurezza i requisiti del CMMC 2,0 . Grazie alla combinazione di visibilità in tempo reale, gestione automatizzata dell’ endpoint e e mitigazione proattiva dei rischi, Tanium contribuisce a proteggere i dati sensibili, a ridurre i rischi informatici e a garantire la resilienza operativa a lungo termine.
Richieda una demo personalizzata all’indirizzo per scoprire in che modo Tanium può supportarla nel Suo percorso CMMC.
