التحضير لتقييم CMMC Level 2 عندما تُشغّل بالفعل SP 800-53 مسبقاً

يجري الآن إدراج CMMC Level 2 في عقود الدفاع الأمريكية، وكثير من المتعاقدين الذين يواجهونه يُطبّقون بالفعل ضوابط NIST SP 800-53، سواء للعمل الفيدرالي أو لبرنامج FedRAMP أو ببساطة بوصفها مكتبة ضوابطهم. وهذه نقطة انطلاق قوية: فكل ممارسة من CMMC Level 2 ترتبط بـ SP 800-53 عبر الربط الرسمي الذي تنشره NIST نفسها، كما يوضح تحليل الملحق D لدينا.

من أصل 110 ممارسات في CMMC، يُطابق 109 (99%) شيئًا في 800-53، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا. افتح تقرير الفجوات →

إذن الضوابط موجودة في معظمها. أما ما ليس تلقائياً فهو تحديد النطاق والتوثيق والتقييم نفسه.

الخطوة 1: تحديد نطاق بيئة CUI

ينطبق CMMC على الأنظمة التي تعالج المعلومات غير المصنفة الخاضعة للرقابة (CUI) أو تخزنها أو تنقلها، وعلى الأصول التي تحميها. ارسم خريطة لمواضع دخول CUI ومكان وجوده ومن يتعامل معه. فحدّ دقيق وموثق جيداً (غالباً ما يكون في شكل بيئة معزولة) يقلل عدد الأصول التي يجب أن يفحصها المقيّم. أما حدود التفويض في 800-53 لنظام فيدرالي فنادراً ما تطابق حدود CUI لديك.

الخطوة 2: كتابة خطة أمن النظام (SSP) لذلك الحد

تصف SSP (CA.L2-3.12.4) الحدود والبيئة وكيفية تطبيق كل متطلب من المتطلبات الـ 110. أعد استخدام أوصاف ضوابط 800-53 لديك، لكن أعد صياغتها لبيئة CUI واستخدم معرّفات ممارسات CMMC، لأن المقيّمين يعملون ممارسةً بممارسة.

الخطوة 3: مراجعة صياغة Rev 2

يرتبط CMMC بـ SP 800-171 Revision 2. حيث يكون تطبيقك لـ 800-53 أوسع، فإنه عادةً يفي بالممارسة؛ وحيث يكون Rev 2 محدداً (تشفير معتمد وفق FIPS لـ CUI، وأقفال الجلسات، ومحتوى تدقيق محدد)، تحقق من التفاصيل.

الخطوة 4: ربط الأدلة بأهداف التقييم

يختبر المقيّمون كل ممارسة مقابل أهداف التقييم، عبر فحص الوثائق ومقابلة الأشخاص واختبار الآليات. لكل ممارسة، اسرد الأدلة التي تُنتجها أصلاً للضوابط المقابلة في 800-53، واسدّ الثغرات. وتوضح صفحات المتطلبات لدينا ضوابط 800-53 التي تنبثق منها كل ممارسة.

الخطوة 5: التقييم الذاتي بأمانة واحتساب الدرجة

شغّل منهجية تقييم DoD بنفسك أولاً، واحسب الدرجة. عالج ما يفشل. خطط العمل المحدودة مسموحة لبعض المتطلبات، لكن يجب إغلاقها خلال 180 يوماً، وبعض المتطلبات لا يمكن تأجيلها على الإطلاق.

الأدلة التي يتوقعها المقيّمون

لكل ممارسة، يبحث المقيّمون عن ثلاثة أنواع من الأدلة: الوثائق (السياسات والإجراءات وSSP)، ومقابلات الأشخاص الذين ينفذون الممارسة، واختبارات أو عروض للآليات. تشمل الطلبات المعتادة:

• قوائم الحسابات وموافقات الوصول لأنظمة CUI (AC.L2-3.1.1, 3.1.2)؛
• إعدادات MFA للوصول المتميز ووصول الشبكة (IA.L2-3.5.3)؛
• إعدادات سجلات التدقيق وفترات الاحتفاظ وسجلات المراجعة (AU.L2-3.3.1, 3.3.2)؛
• خطوط الأساس للإعدادات وسجلات التغيير (CM.L2-3.4.1 إلى 3.4.3)؛
• نتائج فحص الثغرات ومعالجتها (RA.L2-3.11.2, 3.11.3)؛
• خطة الاستجابة للحوادث وسجلات اختبارها (IR.L2-3.6.1, 3.6.3)؛
• إعدادات التشفير التي تُظهر وحدات معتمدة وفق FIPS حيث تُحمى CUI (SC.L2-3.13.11).

معظم هذه الأدلة موجودة أصلاً في بيئة 800-53؛ والعمل هو جمعها لحدود CUI وتصنيفها حسب الممارسة. كل صفحة ممارسة، على سبيل المثال AC.L2-3.1.1، تسرد ضوابط 800-53 التي يمكن إعادة استخدام أدلتها.

النقاط الرئيسية

• يمنحك خط أساس 800-53 معظم جوهر CMMC Level 2.
• ينصبّ العمل على تحديد نطاق CUI، وكتابة SSP، وربط الأدلة بكل ممارسة.
• قيّم نفسك بأمانة وفق منهجية DoD قبل التقييم الفعلي.

المزالق الشائعة

• تمدد النطاق: انتشار CUI إلى البريد الإلكتروني ومشاركات الملفات والحواسيب المحمولة خارج المعزل.
• الخدمات المشتركة: أدوات الهوية والتسجيل والإدارة التي تمسّ بيئة CUI تقع ضمن النطاق أيضاً.
• مزودو الخدمات الخارجيون: الخدمات السحابية التي تعالج CUI يجب أن تستوفي المتطلبات الفيدرالية المناسبة، عادةً FedRAMP Moderate أو ما يعادله.
• ادعاءات الوراثة دون دليل: إذا وُرث ضابط من مزود، فاحتفظ بوثائقه.

يسرد مقارنة CMMC مع SP 800-53 كل ممارسة مع ضوابطها المصدرية، ويصدّر تحليل الفجوات هذه البيانات كمتتبع.

الأسئلة

من يقيّم CMMC Level 2؟

بحسب العقد، إما أن يكون المتعاقد نفسه (التقييم الذاتي) أو منظمة تقييم طرف ثالث معتمدة من CMMC (C3PAO). معظم العقود التي تتضمن CUI تتطلب تقييم الشهادة من طرف ثالث.

ما هي خطة أمن النظام (SSP)؟

وثيقة تصف حدود النظام والبيئة وكيفية تطبيق كل متطلب أمني. وهي مطلوبة بموجب SP 800-171 (ممارسة CMMC رقم CA.L2-3.12.4) وهي أول ما يقرأه المقيّمون.

هل يمكن لتفويض FedRAMP لدى مزود سحابي أن يغطي ممارسات CMMC؟

يمكنه أن يغطي الممارسات التي ينفذها المزود نيابةً عنك، بوصفها ضوابط موروثة، إذا استوفى المزود خط الأساس المطلوب واحتفظت بوثائقه. وتبقى أنت مسؤولاً عن إعداداتك ومستخدميك وبياناتك داخل الخدمة.