保护受控未分类信息 Rev 3

外部系统服务由外部服务提供商提供。组织以多种方式与外部服务提供商建立关系，包括通过业务合作、合同、机构间协议、业务线安排、许可协议、合资企业和供应链交换等方式。使用外部系统服务所带来的风险管理责任仍由负责保护受控未分类信息（CUI）的组织承担。服务级别协议定义了性能期望，描述了可衡量的结果，并确定了在不合规情况下的补救、缓解措施和响应要求。来自外部服务提供商的关于特定功能、端口、协议以及用于提供此类服务的服务的信息，在需要了解限制某些功能和服务或阻止某些端口和协议所涉及的权衡时非常有用。此要求与 03.01.20 相关。