CMMC Level 2 مُطابَق مع SP 800-53: ما يكشفه الملحق D الصادر عن NIST

يجري حاليًا طرح برنامج CMMC التابع لوزارة الدفاع الأمريكية عبر عقود الدفاع، ويقع المستوى 2 على الغالب لدى المقاولين الذين يتعاملون مع المعلومات غير المصنفة الخاضعة للرقابة (CUI). يتألف المستوى 2 من المتطلبات الأمنية الـ110 الواردة في NIST SP 800-171 Revision 2، وقد اشتُقّت هذه المتطلبات من SP 800-53، وهو كتالوج الضوابط الفيدرالي. وثّقت NIST بالتفصيل كيفية ذلك في الملحق D من SP 800-171 Rev 2.

هذه الخريطة هي أكثر وثيقة مفيدة منفردة لمقاول يتبع بالفعل 800-53، وهي العمود الفقري لطريقة ربط ControlMapping بين CMMC وكل ما عداه.

مدى اكتمال التتبّع

من أصل 110 ممارسات في CMMC، يُطابق 109 (99%) شيئًا في 800-53، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا. افتح تقرير الفجوات →

كل ممارسة من ممارسات CMMC Level 2 باستثناء واحدة تُطابق ضابطًا من SP 800-53 مدرجًا لدينا. تأتي الروابط من الملحق D الصادر عن NIST نفسها، ولذلك وُسمت بأنها جدول مطابقة.

حسب العائلة

قسم CMMC	مُطابَق	ذو صلة فضفاضة	لا يوجد ربط
AC Access Control	22 من 22	0	0
AT Awareness and Training	3 من 3	0	0
AU Audit and Accountability	9 من 9	0	0
CA Security Assessment	4 من 4	0	0
CM Configuration Management	9 من 9	0	0
IA Identification and Authentication	11 من 11	0	0
IR Incident Response	3 من 3	0	0
MA Maintenance	6 من 6	0	0
MP Media Protection	9 من 9	0	0
PE Physical Protection	6 من 6	0	0
PS Personnel Security	2 من 2	0	0
RA Risk Assessment	3 من 3	0	0
SC System and Communications Protection	15 من 16	0	1
SI System and Information Integrity	7 من 7	0	0

لديك 800-53، وتحتاج CMMC. متطلبًا بمتطلب: افتح تقرير الفجوات →

كيف يعمل الملحق D

يحتوي الملحق D على جدول لكل عائلة من عائلات المتطلبات الـ14، يسرد كل متطلب إلى جانب ضوابط 800-53 التي اشتُق منها. هناك تفصيلان مهمان عند استخدامه:

• تُربط المتطلبات الأساسية معًا. في كل عائلة، تشترك المتطلبات "الأساسية" (المأخوذة من FIPS 200) في خلية مدمجة واحدة من ضوابط 800-53. فمثلًا، يعود كل من 3.1.1 و3.1.2 إلى AC-2 وAC-3 وAC-17. أما المتطلبات "المشتقة" فلها صفوفها الخاصة.
• معرفات SP 800-53 من الإصدار 4. تبقى معظمها دون تغيير في الإصدار 5. سُحب سبعة منها في Rev 5 ودُمجت في ضوابط أخرى؛ ويحدد كتالوج NIST للإصدار 5 مكان نقل كل منها (فمثلًا، انتقل AU-8(1) إلى SC-45(1)، ودُمج MP-5(4) في SC-28(1)). نحن نتبع تلك الروابط.

الممارسة الوحيدة دون مطابقة

SC.L2-3.13.14 يتطلب منك التحكم في بروتوكول الصوت عبر الإنترنت (VoIP) ومراقبته. تربطه الخريطة في الملحق D بالضابط SC-19، الذي سحبته NIST في Rev 5 دون بديل: يُعامَل VoIP الآن كأي تقنية أخرى، ضمن ضوابط الحدود والاتصالات العامة. لذا، في بيئة Rev 5، لا يملك هذه الممارسة من CMMC ضابط 800-53 مخصص، وإن كانت SC-7 وSC-8 تغطيان معظم جوهرها.

الاتجاه المعاكس

من أصل 300 الضوابط الأساسية في 800-53، يُطابق 114 (38%) شيئًا في CMMC، وترتبط 78 بشكل فضفاض فقط، ولا يوجد ربط لـ 108 في بياناتنا. افتح تقرير الفجوات →

معظم SP 800-53 لا يقابله نظير في CMMC، وهذا مقصود. تختار SP 800-171 الضوابط ذات الصلة بحماية سرية CUI في الأنظمة غير الفيدرالية، وتستبعد الباقي: ضوابط الخصوصية، وإدارة البرامج الخاصة بالجهات الفيدرالية، والكثير من التحسينات، والضوابط التي يفترض خط أساس "المنظمة غير الفيدرالية" أنك تطبقها أصلًا (ومن بينها ضوابط السياسات من فئة -1).

ماذا يعني ذلك للمقاولين

1. إذا كنت تطبّق خط الأساس المتوسط في 800-53، فلديك معظم الجوهر. عملك هو الدليل بصيغة CMMC، وخطة أمن النظام المقيّدة بـ CUI، والتقييم.
2. استخدم الملحق D لإعادة استخدام الأدلة. لكل ممارسة، تحدد الضوابط المدرجة من 800-53 أي أدلة ضوابطك الحالية تنطبق عليها.
3. انتبه للفجوة بين Rev 2 وRev 3. أعادت NIST في الإصدار 3 صياغة عدة متطلبات، لكن CMMC لا يزال مرتبطًا بالإصدار 2. قيّم وفق ما يشترطه عقدك.

يسرد تقرير فجوات CMMC → SP 800-53 كل ممارسة مع ضوابط الملحق D الخاصة بها، ويغطي مقارنة CMMC مع SP 800-53 الاتجاهين. أسماء ممارسات CMMC على هذا الموقع تعود إلى وزارة الدفاع؛ أما نص المتطلبات فهو لـ NIST (في الملك العام).

الأسئلة

هل CMMC Level 2 هو نفسه NIST SP 800-171؟

المستوى 2 هو المتطلبات الأمنية الـ110 الواردة في SP 800-171 Revision 2، ويُقيَّم وفق قواعد CMMC الخاصة بوزارة الدفاع وبأسماء ممارساته الخاصة. نشرت NIST الإصدار 3، لكن CMMC لا يزال مرتبطًا بالإصدار 2.

أي ممارسة من CMMC لا يقابلها أي ضابط في SP 800-53 Rev 5؟

SC.L2-3.13.14 (التحكم في بروتوكول الصوت عبر الإنترنت ومراقبته). تربطه الخريطة في الملحق D بالضابط SC-19، الذي سحبته NIST في Rev 5 دون بديل، إذ يُعامَل VoIP الآن كأي تقنية أخرى.