資策會一年內2度助攻中科院通過CMMC Level 2驗證

(中央社財經訊息服務20261022 18:20:31)美國國防供應鏈對受控非機密資訊（CUI）的保護要求持續深化，臺灣企業能否落實相關資安要求，並提出可供評鑑的執行證據，已成為參與國防供應鏈的重要合規能力。財團法人資訊工業策進會資安科技研究所（資策會資安所）繼協助國家中山科學研究院（中科院）航空研究所無人機專案通過國際資安評鑑後，在中科院資安中心統籌推動下，再度協助中科院推進劑研製中心（推研中心）通過網路安全成熟度模型驗證（CMMC）Level 2第三方評鑑並取得認證。

中科院資安中心作為全院資安治理的核心樞紐，將CMMC納入全院資安發展規劃，統籌制度方向、資源配置及跨單位協調。而中科院推研中心肩負國防關鍵推進系統與材料研製任務，研發、製程及技術資訊具有高度敏感性，資訊防護直接關係國防科研成果與供應鏈安全，本次導入由推研中心各級主管督導並整合跨部門資源，資策會資安所則提供專業輔導，協助盤點CUI資料流、系統環境及人員權限，依據110項安全要求逐步完善管理制度、技術控制及執行證據，在各單位協力推動下，推研中心在兼顧既有研製任務的情況下完成評鑑準備，並順利通過CMMC Level 2第三方評鑑。

值得一提的是，資策會資安所長期投入美國國防資安合規制度研究，並持續累積國際CMMC生態系相關實務經驗，從中科院航空所到推研中心通過評鑑，一年內接連協助兩個不同國防研製單位完成驗證，顯示資策會已逐步建立可跨場域應用的資安合規輔導方法，涵蓋資料盤點、範圍界定、制度建置、技術控制及證據準備等關鍵環節。相關經驗不僅有助於中科院持續推動院級資安治理，也可作為國內國防、航太及其他關鍵產業強化供應鏈資安管理的重要參考。

本次CMMC Level 2評鑑由經第三方評鑑機構（C3PAO）執行。資策會資安所團隊協助推研中心從CUI資料流盤點與評鑑範圍界定開始，依序完成差距分析、改善規劃、系統安全計畫（System Security Plan，SSP）、政策與程序文件建置、證據盤點及模擬檢視，並針對制度、系統與實際作業進行交叉核對，建立安全要求、控制措施與執行證據相互對應的完整鏈結，提升正式評鑑準備度。

資策會資安所所長李榮三表示，本次成果來自中科院資安中心統籌規劃、推研中心各級主管督導及相關團隊共同落實，顯示國際資安合規已從單一專案要求，逐步走向組織治理與供應鏈管理。資策會未來將持續協助國防、航太、半導體及電子製造等關鍵產業，依據國際市場與供應鏈需求導入CMMC及相關資安規範，並將國防研製場域累積的實務經驗轉化為企業可執行的導入方法，擴大臺灣資安合規服務量能，協助國內產業強化國際供應鏈競爭力。