CMMC 框架由NIST SP 800-171 Rev 2（保護非聯邦系統和組織中的受控非機密資訊CUI）中的安全要求以及NIST SP 800-172（保護受控非機密資訊的增強安全要求）中的要求子集合組成： NIST SP 800-171 的補充。此模型架構將這些實踐措施組織到一組領域中，直接對應到 NIST SP 800-171 Rev 2 系列中的領域。
為了幫助供應商加強網路安全保護，DIB SCC 產業工作小組正在識別並發布實用的公開網路安全資源的連結。選擇這些資源是為了幫助公司 (i) 滿足適用於美國聯邦承包商的國防部和其他美國網路安全標準（例如 FAR 基本保護條款、DFARS 保護 CDI 條款、CMMC）； (ii) 以其他方式改善其目前的網路安全保護。和ISO 27001 類似，要求對處理資訊必須具備安全控制保護，CMMC 則是聚焦FCI (Federal Contract Information)與CUI (Controlled Unclassified Information)。
如果是國防工業承包商，的確必須要通過CMMC 認證才能承攬合約，這個建議洽詢專業輔導與認證機構。未直接參與的周邊供應商，也非常有可能被主約商要求具備CMMC 合規，但不一定是必要通過認證。對於國防合約商而言，當然也期望其供應商必要具備一定程度的網路安全成熟度。DLP (Data Loss Prevention) 系統擅長對於文件資訊的識別與存取控制，以及使用的的持續活動監視，可以協助組織CMMC合規要求。
CMMC 模型要求領域
在CMMC 2.0中簡化了原先的 CMMC 1.0 框架，將5級成熟度等級縮減﹐並加強了對網絡安全實踐的重點。CMMC 2.0 分為三個主要等級，每個等級都有不同的安全要求。
LEVEL 1 重點在於 FCI 的保護，僅包含符合 48 CFR 52.204-21 中規定的基本保護要求（通常稱為 FAR 條款）的做法。
LEVEL 2 重點關注 CUI 的保護，包含 NIST SP 800-171 Rev 2 中指定的 110 項安全措施要求。
CMMC 模型由 14 個領域組成，這些領域與 NIST SP 800-171 中指定的系列一致。我們將這些領域分類成軟體工具可以協助，與行政程序管理二大類，並非所有的領域都可以用工具協助。行政管理則必須融入公司商業流程，形成工作文化。
藍色覆蓋區域是DLP工具可以協助的領域，下面為利用資訊外洩防護（DLP）技術來滿足這些要求的
對比範例：
Domain : Access Control (AC)
- AC.L1-3.1.1：限制對資訊系統的存取。
DLP功能：控制和監控對敏感資訊的存取，確保只有被授權用戶能夠處理這些數據。 - AC.L2-3.1.3：控制CUI的傳輸。
DLP功能：通過監控和控制敏感數據的流動，防止未經授權的傳輸，確保CUI傳輸的安全。
Domain : Audit and Accountability (AU)
- AU.L2-3.3.5：產生稽核記錄，協助偵測和應對事件。
DLP功能：記錄有關CUI的訪問和傳輸活動，生成詳細的審計日誌，以支持事件檢測和應對。
Domain : Media Protection (MP)
- MP.L2-3.8.8：保護CUI免受未經授權的披露。
- DLP功能：識別和分類CUI，並實施相應的保護策略，防止數據外洩或未經授權的披露。
DLP 如何保護資料?
Data Loss Prevention (DLP）是一組技術和流程，用於確保機密和敏感信息不會被未經授權的用戶存取，使用、傳輸或洩漏。DLP通過識別、監控和保護數據來實現這一目標。而CMMC 的主要精神在保護CUI文件，識別與分類並控制文件正是DLP所擅長的內容，以下是DLP提供保護數據幾種主要方式：
- Information identification /Classification 資訊識別與分類
- Inventory /Discovery 盤點並探索本機及網路上的檔案文件
- Tagging and annotation 資訊標記與註記
- Encryption 加密保護，依據分類結果決定被加密保護
- Access control 存取控制，根據資訊的重要性和敏感性進行分類，可以針對不同類型的數據應用不同的控制政策
- User activities Monitoring 使用者活動監視
識別、監視和控制用戶如何存取、處理和傳輸敏感數據，並且記錄相對應活動內容。
持續監控用戶在終端設備、應用程序和網絡上的活動，及時發現和回應處置潛在的數據洩露風險。包括:- Device control 裝置控管
- Information transfer control 傳輸控管
- Audit and accountability 稽核記錄與責任歸屬
- Incident Response：事件反應 偵測異常及違規事件，即時反應並產生報告
- Encryption 保護靜態和傳輸中的敏感資料
- Drive encryption全碟加密保護，包括本機與外接儲存媒體
- File encryption檔案與資料夾自動加密保護
- Transfer encryption傳輸加密，如TLS
- Policy Enforcement 政策落實：根據企業安全策略自動執行控制措施，防止未經授權的數據存取和傳輸。
透過利用DLP 的資料發現和分類、內容檢查和策略執行、加密、端點保護、使用者活動監控和事件回應功能，組織可以有效保護受控非機密資訊(CUI)， 並實現CMMC 要求的合規性。隨著網路威脅的不斷發展和監管要求變得更加嚴格，DLP 解決方案將在幫助組織保護敏感資料，並維持遵守行業標準和法規方面發揮越來越重要的作用。
其他可以協助的工具
除了DLP之外，還可以考慮搭配其他安全工具，以期更全面性的符合CMMC規範，像是
- SIEM收集、分析和關聯整個組織的安全事件數據，以偵測和回應威脅
- Endpoint Security保護電腦、行動裝置和伺服器等端點免受威脅
- Multi-Factor Authentication (MFA) 透過要求多種形式的驗證來增強存取安全性
- 身分和存取管理 (IAM) 確保正確的用戶在正確的時間，出於正確的理由存取正確的資源
這些工具都有部分涵蓋CMMC Domains，有的也會跨CyberSecurity 領域，像是Endpoint DLP 就很可能包含 IAM, Endpoint Security，端視供應商設計的方案。實施這些工具將有助於組織滿足 CMMC 2.0 的特定要求，確保對受控非機密資訊 (CUI) 和聯邦合約資訊 (FCI) 提供有力的保護。每個工具都可能解決網路安全的不同方面，共同提供符合 CMMC 2.0 標準的全面安全態勢。