المقارنة
CMMC Level 2 مقابل NIST SP 800-53: الممارسات الـ110 وكتالوجها الأصلي
CMMC Level 2 · NIST SP 800-53 Rev 5.2 · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
CMMC Level 2 هو متطلب وزارة الدفاع الأمريكية للمتعاقدين الذين يتعاملون مع المعلومات غير المصنفة الخاضعة للرقابة (CUI). تمثل ممارساته الـ110 متطلبات الأمن الواردة في NIST SP 800-171 Rev 2، وهي متطلبات اشتقها NIST من خط الأساس Moderate في SP 800-53 وكيّفها لتناسب المؤسسات غير الفيدرالية. يحتاج معظم متعاقدي Level 2 إلى تقييم من طرف ثالث يجريه C3PAO كل ثلاث سنوات.
لأن 800-171 مشتق من 800-53، فإن لكل ممارسة من CMMC تقريبًا نظيرًا مباشرًا، ويتتبع ControlMapping هذه العلاقات عبر ربط NIST الرسمي: الملحق D في SP 800-171 Rev 2، إضافةً إلى مراجع SP 800-171 Rev 3 → SP 800-53. وعند الانتقال من 800-53 إلى CMMC Level 2 تكون التغطية شبه كاملة. والاستثناء الوحيد هو مراقبة VoIP (SC.L2-3.13.14)، إذ يربطها الملحق D بالضابط SC-19، وقد سحبه NIST في Rev 5 دون بديل.
عند الانتقال من CMMC إلى 800-53، تظهر غالبية الكتالوج بدون ربط أو بعلاقة ذات صلة فضفاضة فقط. وهذا متوقع، فـ CMMC Level 2 مجموعة فرعية مقصودة، إذ يستبعد الضوابط التي لا تكون ذات معنى إلا للأنظمة الفيدرالية أو لخطوط أساس أعلى، وكثيرًا من تحسينات 800-53.
ملاحظة دقيقة تستحق الانتباه: CMMC Level 2 مثبّت على SP 800-171 Rev 2 رغم أن NIST نشر Rev 3. قيّم وفق الإصدار الذي يتطلبه عقدك وقاعدة CMMC فعليًا.
نظرة سريعة
| CMMC | 800-53 | |
|---|---|---|
| ماهيته | شهادة وزارة الدفاع على الممارسات الـ110 (NIST SP 800-171 Rev 2) | كتالوج الضوابط الأمنية والخصوصية للأنظمة الفيدرالية |
| من يحتاجه | متعاقدو الدفاع الذين يتعاملون مع CUI | الوكالات الفيدرالية وأنظمتها، ومزودو الخدمات السحابية ضمن FedRAMP |
| التقييم | تقييم ذاتي أو شهادة من C3PAO كل ثلاث سنوات | تقييم وترخيص ضمن إطار إدارة المخاطر |
| الربط الرسمي | يربط الملحق D في SP 800-171r2 كل متطلب بمصدره في 800-53 | — |
كيف ترتبط الوثائق الثلاث الصادرة عن NIST وDoD
- SP 800-53 هو الكتالوج الكامل لضوابط الأمن والخصوصية الصادر عن NIST للأنظمة الفيدرالية، مع خطوط الأساس الواردة في SP 800-53B.
- SP 800-171 يختار الضوابط ذات الصلة بحماية المعلومات غير المصنفة الخاضعة للرقابة في الأنظمة غير الفيدرالية ويكيّفها. وتضم نسخته الثانية 110 متطلبات، ويربط الملحق D كل منها بمصدره في 800-53.
- CMMC Level 2 هو برنامج وزارة الدفاع الذي يقيّم المتعاقدين وفق تلك المتطلبات الـ110 من SP 800-171 الإصدار الثاني، مع أسماء الممارسات الخاصة به وقواعد التسجيل والشهادة.
إذن CMMC Level 2 مجموعة فرعية مقصودة من 800-53، ويُقيَّم ضمن سياق عقود الدفاع.
ما الذي يغيّره الإصدار الثالث، ولماذا لا ينطبق بعد
نشر NIST الإصدار الثالث من SP 800-171 في عام 2024. وأعاد مواءمة المتطلبات مع SP 800-53 Rev 5، ودمج بعضها أو سحب بعضها، وأضاف معاملات يحددها الكيان، وأعاد ترقيمها (03.01.01 بدلًا من 3.1.1). ويبقى CMMC Level 2 مثبتًا على الإصدار الثاني، لذا تختبر التقييمات متطلبات Rev 2. ومع ذلك يظل Rev 3 مفيدًا: فحيثما يُربط متطلب في Rev 2 بآخر في Rev 3، يستخدم ControlMapping مراجع NIST من Rev 3 كأدلة إضافية، ويمكن للمؤسسات التي تخطط مسبقًا أن تصمم ضوابط تستوفي الإصدارين معًا.
من يحتاج أيًّا منهما
ينطبق SP 800-53 على أنظمة المعلومات الفيدرالية الأمريكية وعلى الخدمات السحابية الساعية إلى ترخيص FedRAMP. وينطبق CMMC Level 2 على متعاقدي الدفاع ومقاولي الباطن الذين تتضمن عقودهم معلومات CUI. ويحتاج كثير من الشركات إلى الاثنين معًا: مزود سحابي يخدم وكالات فيدرالية بموجب FedRAMP (800-53) ومتعاقدي دفاع (CMMC)، أو متعاقد تحتوي أنظمته الخاصة على CUI بينما يشغّل أنظمة فيدرالية لعميل آخر.
التكلفة والجهد
بالنسبة للمؤسسة التي تشغّل خط أساس Moderate من 800-53 أصلًا، نادرًا ما يتطلب CMMC Level 2 تقنيات جديدة. وتكمن التكلفة في تحديد نطاق بيئة CUI، وكتابة خطة أمن النظام (SSP) الخاصة بها، وربط الأدلة بكل ممارسة، ثم التقييم نفسه: تقييم ذاتي، أو في معظم العقود التي تتضمن CUI، تقييم للشهادة يجريه C3PAO معتمد كل ثلاث سنوات. وفي الاتجاه المعاكس، يواجه متعاقد جاهز لـ CMMC يسعى إلى ترخيص FedRAMP مجموعة ضوابط أكبر بكثير، وعملية الترخيص الفيدرالية، والمراقبة المستمرة.
الجدول الزمني حتى تقييم الشهادة
تُدرج متطلبات CMMC تدريجيًا في عقود وزارة الدفاع، وتُشترط الشهادة من طرف ثالث في عدد أكبر من العقود ابتداءً من المرحلة الثانية للبرنامج. ويحتاج المتعاقد ذو البيئة من 800-53 عادةً من شهرين إلى أربعة أشهر لتحديد نطاق CUI وكتابة SSP وجمع الأدلة، ثم تقييم ذاتي وفق منهجية وزارة الدفاع، ثم تقييم C3PAO، وقد يستغرق جدولته وقتًا. ويمكن الحصول على شهادة مشروطة مع خطة إجراءات تصحيحية محدودة إذا بلغت الدرجة الحد الأدنى المطلوب، مع إغلاق البنود المفتوحة خلال 180 يومًا.
مثال تطبيقي: مقاول باطن في مجال الدفاع
شركة هندسية تضم 120 موظفًا توفر مكونات لمقاول رئيسي، وتتلقى رسومات فنية موسومة بأنها CUI. وهي تشغّل أصلًا ضوابط 800-53 من مستوى Moderate لعقد بحثي فيدرالي منفصل. تحدد نطاق بيئة CUI معزولة تشمل خادم ملفات الهندسة ومحطات التصميم ونظام الهوية الخاص بها، وتعيد استخدام سياسات 800-53 وأدلتها المربوطة عبر الملحق D، وتؤكد استخدام تشفير معتمد وفق FIPS لهذه البيئة. يحقق تقييمها الذاتي درجة جيدة، وتبقى الفجوات المتبقية محدودة (مراقبة VoIP وبعض إعدادات التدقيق). تحجز تقييم C3PAO وتنقل متطلبات التعامل مع CUI إلى مقاوليها الفرعيين الاثنين.
أخطاء شائعة
- تحديد نطاق حدود الترخيص الفيدرالي بدلًا من حدود CUI. نادرًا ما تتطابق الحدودان.
- افتراض أن أدلة 800-53 تصلح كما هي. يُجري المقيّمون التقييم ممارسة تلو أخرى، بمعرّفات CMMC وأهداف التقييم الخاصة بها.
- إغفال الخدمات المشتركة. الهوية والتسجيل وأدوات الإدارة التي تمس بيئة CUI داخلة في النطاق.
- استخدام تشفير غير معتمد في الحالات التي تعتمد فيها سرية CUI عليه.
- عدم نقل المتطلبات إلى المقاولين الفرعيين الذين يتلقون CUI.
أهم النقاط
- إذا كنت تشغّل خط أساس Moderate من 800-53 أصلًا، فإن CMMC Level 2 يمثل في معظمه تمرينًا على الأدلة والتقييم.
- CMMC → 800-53 (مثل الانتقال إلى FedRAMP): توقع زيادة كبيرة في النطاق.
- تتبّع أي إصدار من SP 800-171 يشير إليه عقدك.
من أصل 300 متطلبًا في NIST SP 800-53 Rev 5.2، يُطابق 114 شيئًا في CMMC، وترتبط 78 بشكل فضفاض فقط، ولا يوجد ربط لـ 108 في بياناتنا.
عمل جديد على الأرجح: متطلبات 800-53 لا يوجد لها ربط بـ CMMC (108)
| 800-53 | المتطلب | تطابق | CMMC | الأدلة |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AC-21 | Information Sharing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AC-23 | Data Mining Protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AC-25 | Reference Monitor | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AT Awareness and Training · 3 | ||||
| AT-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AT-4 | Training Records | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AT-6 | Training Feedback | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AU Audit and Accountability · 4 | ||||
| AU-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AU-4 | Audit Log Storage Capacity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AU-10 | Non-repudiation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| AU-14 | Session Audit | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CA-6 | Authorization | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CM Configuration Management · 2 | ||||
| CM-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CM-14 | Signed Components | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CP Contingency Planning · 6 | ||||
| CP-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CP-3 | Contingency Training | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CP-8 | Telecommunications Services | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CP-11 | Alternate Communications Protocols | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CP-12 | Safe Mode | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| CP-13 | Alternative Security Mechanisms | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| IA Identification and Authentication · 2 | ||||
| IA-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| IA-12 | Identity Proofing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| IR Incident Response · 2 | ||||
| IR-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| IR-9 | Information Spillage Response | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| MA Maintenance · 2 | ||||
| MA-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| MA-7 | Field Maintenance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| MP Media Protection · 1 | ||||
| MP-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PE Physical and Environmental Protection · 4 | ||||
| PE-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PE-16 | Delivery and Removal | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PE-21 | Electromagnetic Pulse Protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PE-22 | Component Marking | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PL Planning · 6 | ||||
| PL-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PL-4 | Rules of Behavior | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PL-7 | Concept of Operations | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PL-9 | Central Management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PL-10 | Baseline Selection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PL-11 | Baseline Tailoring | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM Program Management · 15 | ||||
| PM-1 | Information Security Program Plan | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-2 | Information Security Program Leadership Role | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-3 | Information Security and Privacy Resources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-8 | Critical Infrastructure Plan | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-10 | Authorization Process | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-14 | Testing, Training, and Monitoring | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-17 | Protecting Controlled Unclassified Information on External Systems | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-20 | Dissemination of Privacy Program Information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-21 | Accounting of Disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-24 | Data Integrity Board | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-26 | Complaint Management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-27 | Privacy Reporting | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-29 | Risk Management Program Leadership Roles | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PM-32 | Purposing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PS Personnel Security · 4 | ||||
| PS-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PS-2 | Position Risk Designation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PS-6 | Access Agreements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PS-8 | Personnel Sanctions | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT PII Processing and Transparency · 8 | ||||
| PT-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-2 | Authority to Process Personally Identifiable Information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-3 | Personally Identifiable Information Processing Purposes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-4 | Consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-5 | Privacy Notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-6 | System of Records Notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-7 | Specific Categories of Personally Identifiable Information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| PT-8 | Computer Matching Requirements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| RA Risk Assessment · 2 | ||||
| RA-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| RA-6 | Technical Surveillance Countermeasures Survey | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SA System and Services Acquisition · 6 | ||||
| SA-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SA-2 | Allocation of Resources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SA-16 | Developer-provided Training | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SA-20 | Customized Development of Critical Components | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SA-21 | Developer Screening | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SA-23 | Specialization | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC System and Communications Protection · 20 | ||||
| SC-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-3 | Security Function Isolation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-17 | Public Key Infrastructure Certificates | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-25 | Thin Nodes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-26 | Decoys | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-27 | Platform-independent Applications | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-29 | Heterogeneity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-30 | Concealment and Misdirection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-31 | Covert Channel Analysis | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-37 | Out-of-band Channels | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-38 | Operations Security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-41 | Port and I/O Device Access | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-42 | Sensor Capability and Data | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-44 | Detonation Chambers | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-46 | Cross Domain Policy Enforcement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-47 | Alternate Communications Paths | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-48 | Sensor Relocation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-50 | Software-enforced Separation and Policy Enforcement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SC-51 | Hardware-based Protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI System and Information Integrity · 11 | ||||
| SI-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-6 | Security and Privacy Function Verification | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-11 | Error Handling | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-14 | Non-persistence | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-15 | Information Output Filtering | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-17 | Fail-safe Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-19 | De-identification | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-20 | Tainting | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-21 | Information Refresh | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-22 | Information Diversity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SI-23 | Information Fragmentation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SR Supply Chain Risk Management · 4 | ||||
| SR-1 | Policy and Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SR-4 | Provenance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SR-7 | Supply Chain Operations Security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
| SR-9 | Tamper Resistance and Detection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CMMC في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (78)
| 800-53 | المتطلب | تطابق | CMMC | الأدلة |
|---|---|---|---|---|
| AC Access Control · 5 | ||||
| AC-9 | Previous Logon Notification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| AC-10 | Concurrent Session Control | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-14 | Permitted Actions Without Identification or Authentication | AC.L2-3.1.1IA.L2-3.5.1IA.L2-3.5.2+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01: ذو صلة، وليس ربطًا | |
| AC-16 | Security and Privacy Attributes | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-24 | Access Control Decisions | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AU Audit and Accountability · 1 | ||||
| AU-16 | Cross-organizational Audit Logging | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-3 | Information Exchange | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| CA-9 | Internal System Connections | CA.L2-3.12.4 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| CM Configuration Management · 4 | ||||
| CM-9 | Configuration Management Plan | CA.L2-3.12.4CM.L2-3.4.1CM.L2-3.4.2+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-10 | Software Usage Restrictions | CM.L2-3.4.9AU.L2-3.3.3CA.L2-3.12.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03, DE.CM-09, PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-12 | Information Location | MP.L2-3.8.4 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07: ذو صلة، وليس ربطًا | |
| CM-13 | Data Action Mapping | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| CP Contingency Planning · 3 | ||||
| CP-2 | Contingency Plan | IR.L2-3.6.1MP.L2-3.8.9PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.CO-04…: ذو صلة، وليس ربطًا | |
| CP-4 | Contingency Plan Testing | MP.L2-3.8.9 | يشترك فقط في الفئات الفرعية لـ CSF RC.RP-03: ذو صلة، وليس ربطًا | |
| CP-7 | Alternate Processing Site | IR.L2-3.6.1SC.L2-3.13.2 | يشترك فقط في الفئات الفرعية لـ CSF RC.RP-02, PR.IR-03: ذو صلة، وليس ربطًا | |
| IA Identification and Authentication · 5 | ||||
| IA-7 | Cryptographic Module Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-8 | Identification and Authentication (Non-organizational Users) | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-9 | Service Identification and Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-10 | Adaptive Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-13 | Identity Providers and Authorization Servers | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| MA Maintenance · 1 | ||||
| MA-6 | Timely Maintenance | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| MP Media Protection · 1 | ||||
| MP-8 | Media Downgrading | AC.L2-3.1.13MP.L2-3.8.5MP.L2-3.8.6+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| PE Physical and Environmental Protection · 9 | ||||
| PE-9 | Power Equipment and Cabling | PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-10 | Emergency Shutoff | PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-11 | Emergency Power | PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-12 | Emergency Lighting | PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-15 | Water Damage Protection | PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-18 | Location of System Components | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-19 | Information Leakage | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-20 | Asset Monitoring and Tracking | PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-02, PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-23 | Facility Location | PE.L2-3.10.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PL Planning · 1 | ||||
| PL-8 | Security and Privacy Architectures | CA.L2-3.12.4 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| PM Program Management · 9 | ||||
| PM-7 | Enterprise Architecture | CA.L2-3.12.4 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| PM-11 | Mission and Business Process Definition | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-04: ذو صلة، وليس ربطًا | |
| PM-13 | Security and Privacy Workforce | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04: ذو صلة، وليس ربطًا | |
| PM-18 | Privacy Program Plan | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02, GV.OV-01, GV.RM-06, GV.RM-07…: ذو صلة، وليس ربطًا | |
| PM-19 | Privacy Program Leadership Role | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02, GV.SC-09: ذو صلة، وليس ربطًا | |
| PM-22 | Personally Identifiable Information Quality Management | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| PM-23 | Data Governance Body | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| PM-30 | Supply Chain Risk Management Strategy | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02, GV.OV-01, GV.OV-02, GV.RM-06…: ذو صلة، وليس ربطًا | |
| PM-31 | Continuous Monitoring Strategy | RA.L2-3.11.1RA.L2-3.11.2RA.L2-3.11.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.OV-02, GV.SC-03, GV.SC-09…: ذو صلة، وليس ربطًا | |
| PS Personnel Security · 2 | ||||
| PS-7 | External Personnel Security | CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6+4 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06: ذو صلة، وليس ربطًا | |
| PS-9 | Position Descriptions | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04: ذو صلة، وليس ربطًا | |
| RA Risk Assessment · 3 | ||||
| RA-8 | Privacy Impact Assessments | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-04: ذو صلة، وليس ربطًا | |
| RA-9 | Criticality Analysis | RA.L2-3.11.1MP.L2-3.8.4 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-07, ID.RA-04, ID.AM-05: ذو صلة، وليس ربطًا | |
| RA-10 | Threat Hunting | IR.L2-3.6.1RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-06, DE.AE-07: ذو صلة، وليس ربطًا | |
| SA System and Services Acquisition · 6 | ||||
| SA-4 | Acquisition Process | RA.L2-3.11.1CA.L2-3.12.3CA.L2-3.12.4+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05, GV.SC-06, GV.SC-07, GV.SC-09…: ذو صلة، وليس ربطًا | |
| SA-5 | System Documentation | AC.L2-3.1.20AC.L2-3.1.21RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-02, ID.RA-09: ذو صلة، وليس ربطًا | |
| SA-10 | Developer Configuration Management | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02: ذو صلة، وليس ربطًا | |
| SA-17 | Developer Security and Privacy Architecture and Design | RA.L2-3.11.1SC.L2-3.13.2 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-01, ID.RA-09, PR.PS-06: ذو صلة، وليس ربطًا | |
| SA-22 | Unsupported System Components | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| SA-24 | Design For Cyber Resiliency | SC.L2-3.13.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03, PR.PS-06: ذو صلة، وليس ربطًا | |
| SC System and Communications Protection · 15 | ||||
| SC-5 | Denial-of-service Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.IR-01: ذو صلة، وليس ربطًا | |
| SC-6 | Resource Availability | SC.L2-3.13.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-11 | Trusted Path | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-16 | Transmission of Security and Privacy Attributes | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.IR-01: ذو صلة، وليس ربطًا | |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.IR-01: ذو صلة، وليس ربطًا | |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.IR-01: ذو صلة، وليس ربطًا | |
| SC-24 | Fail in Known State | SC.L2-3.13.2AC.L2-3.1.1AC.L2-3.1.2+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-10, PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-32 | System Partitioning | MP.L2-3.8.9SC.L2-3.13.1SC.L2-3.13.2+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-34 | Non-modifiable Executable Programs | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| SC-35 | External Malicious Code Identification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| SC-36 | Distributed Processing and Storage | SC.L2-3.13.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-39 | Process Isolation | SC.L2-3.13.2MP.L2-3.8.9SC.L2-3.13.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-10, PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-40 | Wireless Link Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-43 | Usage Restrictions | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SI System and Information Integrity · 4 | ||||
| SI-12 | Information Management and Retention | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| SI-13 | Predictable Failure Prevention | SC.L2-3.13.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| SI-16 | Memory Protection | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-10: ذو صلة، وليس ربطًا | |
| SI-18 | Personally Identifiable Information Quality Operations | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| SR Supply Chain Risk Management · 7 | ||||
| SR-2 | Supply Chain Risk Management Plan | RA.L2-3.11.1AC.L2-3.1.20AC.L2-3.1.21+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-03, GV.SC-09, GV.SC-10, ID.AM-04: ذو صلة، وليس ربطًا | |
| SR-3 | Supply Chain Controls and Processes | RA.L2-3.11.1IR.L2-3.6.2IR.L2-3.6.1+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02, GV.SC-03, GV.SC-05, GV.SC-07…: ذو صلة، وليس ربطًا | |
| SR-5 | Acquisition Strategies, Tools, and Methods | RA.L2-3.11.1CA.L2-3.12.4RA.L2-3.11.2+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02, GV.SC-05, GV.SC-06, GV.SC-09…: ذو صلة، وليس ربطًا | |
| SR-8 | Notification Agreements | IR.L2-3.6.2IR.L2-3.6.1RA.L2-3.11.1+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-08, RC.CO-03, RS.CO-02, RS.CO-03…: ذو صلة، وليس ربطًا | |
| SR-10 | Inspection of Systems or Components | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05, ID.RA-09: ذو صلة، وليس ربطًا | |
| SR-11 | Component Authenticity | RA.L2-3.11.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-09: ذو صلة، وليس ربطًا | |
| SR-12 | Component Disposal | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
مُطابَق (114)
| 800-53 | المتطلب | تطابق | CMMC | الأدلة |
|---|---|---|---|---|
| AC Access Control · 14 | ||||
| AC-2 | Account Management | جدول المطابقة | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.3 | الموضوع نفسه: التحكم في الوصول |
| AC-3 | Access Enforcement | جدول المطابقة | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.1+2 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| AC-4 | Information Flow Enforcement | جدول المطابقة | AC.L2-3.1.1AC.L2-3.1.3SC.L2-3.13.1+3 | الموضوع نفسه: الثقة المعدومة, DLP, جدار الحماية / تجزئة الشبكة |
| AC-5 | Separation of Duties | جدول المطابقة | AC.L2-3.1.4SC.L2-3.13.3 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC-6 | Least Privilege | جدول المطابقة | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+5 | الموضوع نفسه: الثقة المعدومة |
| AC-7 | Unsuccessful Logon Attempts | جدول المطابقة | AC.L2-3.1.8 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC-8 | System Use Notification | جدول المطابقة | AC.L2-3.1.9 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC-11 | Device Lock | جدول المطابقة | AC.L2-3.1.10 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC-12 | Session Termination | جدول المطابقة | AC.L2-3.1.11 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC-17 | Remote Access | جدول المطابقة | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.12+4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC-18 | Wireless Access | جدول المطابقة | AC.L2-3.1.16AC.L2-3.1.17 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC-19 | Access Control for Mobile Devices | جدول المطابقة | AC.L2-3.1.18AC.L2-3.1.19 | الموضوع نفسه: أمن الأجهزة المحمولة |
| AC-20 | Use of External Systems | جدول المطابقة | AC.L2-3.1.20AC.L2-3.1.21 | الموضوع نفسه: أمن السحابة |
| AC-22 | Publicly Accessible Content | جدول المطابقة | AC.L2-3.1.22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 2 | ||||
| AT-2 | Literacy Training and Awareness | جدول المطابقة | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | الموضوع نفسه: التوعية والتدريب |
| AT-3 | Role-based Training | جدول المطابقة | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | الموضوع نفسه: التوعية والتدريب |
| AU Audit and Accountability · 10 | ||||
| AU-2 | Event Logging | جدول المطابقة | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | الموضوع نفسه: التسجيل والتدقيق |
| AU-3 | Content of Audit Records | جدول المطابقة | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | الموضوع نفسه: التسجيل والتدقيق |
| AU-5 | Response to Audit Logging Process Failures | جدول المطابقة | AU.L2-3.3.4 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU-6 | Audit Record Review, Analysis, and Reporting | جدول المطابقة | AU.L2-3.3.5SI.L2-3.14.7AU.L2-3.3.1+1 | الموضوع نفسه: SIEM / SOC, اكتشاف الشذوذ |
| AU-7 | Audit Record Reduction and Report Generation | جدول المطابقة | AU.L2-3.3.6 | الموضوع نفسه: الطب الشرعي الرقمي |
| AU-8 | Time Stamps | جدول المطابقة | AU.L2-3.3.7 | NIST SP 800-171r3 03.03.07 → SP 800-53 |
| AU-9 | Protection of Audit Information | جدول المطابقة | AC.L2-3.1.5AU.L2-3.3.8AU.L2-3.3.9+2 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU-11 | Audit Record Retention | جدول المطابقة | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | الموضوع نفسه: التسجيل والتدقيق |
| AU-12 | Audit Record Generation | جدول المطابقة | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | الموضوع نفسه: التسجيل والتدقيق |
| AU-13 | Monitoring for Information Disclosure | تحريري | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| CA Assessment, Authorization and Monitoring · 4 | ||||
| CA-2 | Control Assessments | جدول المطابقة | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CA-5 | Plan of Action and Milestones | جدول المطابقة | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA-7 | Continuous Monitoring | جدول المطابقة | SI.L2-3.14.6SI.L2-3.14.7CA.L2-3.12.1+4 | الموضوع نفسه: المراقبة المستمرة |
| CA-8 | Penetration Testing | جدول المطابقة | RA.L2-3.11.2RA.L2-3.11.3 | الموضوع نفسه: إدارة الثغرات |
| CM Configuration Management · 8 | ||||
| CM-2 | Baseline Configuration | جدول المطابقة | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+1 | الموضوع نفسه: الإعدادات الآمنة |
| CM-3 | Configuration Change Control | جدول المطابقة | CM.L2-3.4.3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM-4 | Impact Analyses | جدول المطابقة | CM.L2-3.4.4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM-5 | Access Restrictions for Change | جدول المطابقة | CM.L2-3.4.5 | NIST SP 800-171r3 03.04.05 → SP 800-53 |
| CM-6 | Configuration Settings | جدول المطابقة | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+2 | الموضوع نفسه: الإعدادات الآمنة |
| CM-7 | Least Functionality | جدول المطابقة | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+3 | الموضوع نفسه: الإعدادات الآمنة |
| CM-8 | System Component Inventory | جدول المطابقة | CM.L2-3.4.1CM.L2-3.4.2 | الموضوع نفسه: إدارة الأصول |
| CM-11 | User-installed Software | جدول المطابقة | CM.L2-3.4.9 | NIST SP 800-171r2 Appendix D |
| CP Contingency Planning · 3 | ||||
| CP-6 | Alternate Storage Site | جدول المطابقة | MP.L2-3.8.9 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| CP-9 | System Backup | جدول المطابقة | MP.L2-3.8.9 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| CP-10 | System Recovery and Reconstitution | جدول المطابقة | IR.L2-3.6.2 | الموضوع نفسه: التواصل والاستعادة |
| IA Identification and Authentication · 6 | ||||
| IA-2 | Identification and Authentication (Organizational Users) | جدول المطابقة | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+3 | الموضوع نفسه: الثقة المعدومة |
| IA-3 | Device Identification and Authentication | جدول المطابقة | IA.L2-3.5.1IA.L2-3.5.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA-4 | Identifier Management | جدول المطابقة | IA.L2-3.5.5IA.L2-3.5.6 | NIST SP 800-171r3 03.05.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA-5 | Authenticator Management | جدول المطابقة | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.7+3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA-6 | Authentication Feedback | جدول المطابقة | IA.L2-3.5.11 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IA-11 | Re-authentication | جدول المطابقة | IA.L2-3.5.1 | NIST SP 800-171r3 03.05.01 → SP 800-53 |
| IR Incident Response · 7 | ||||
| IR-2 | Incident Response Training | جدول المطابقة | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| IR-3 | Incident Response Testing | تحريري | IR.L2-3.6.1IR.L2-3.6.3 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| IR-4 | Incident Handling | جدول المطابقة | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | الموضوع نفسه: الاستجابة للحوادث, التخفيف, الدروس المستفادة |
| IR-5 | Incident Monitoring | جدول المطابقة | AU.L2-3.3.5IR.L2-3.6.1IR.L2-3.6.2 | الموضوع نفسه: SIEM / SOC |
| IR-6 | Incident Reporting | جدول المطابقة | IR.L2-3.6.2IR.L2-3.6.1 | الموضوع نفسه: الإبلاغ, التواصل والاستعادة |
| IR-7 | Incident Response Assistance | جدول المطابقة | IR.L2-3.6.2IR.L2-3.6.1 | الموضوع نفسه: الاتصالات |
| IR-8 | Incident Response Plan | جدول المطابقة | IR.L2-3.6.1IR.L2-3.6.3 | الموضوع نفسه: الاستجابة للحوادث |
| MA Maintenance · 4 | ||||
| MA-2 | Controlled Maintenance | جدول المطابقة | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.3 | NIST SP 800-171r2 Appendix D |
| MA-3 | Maintenance Tools | جدول المطابقة | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA-4 | Nonlocal Maintenance | جدول المطابقة | MA.L2-3.7.5 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA-5 | Maintenance Personnel | جدول المطابقة | MA.L2-3.7.2MA.L2-3.7.6 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 6 | ||||
| MP-2 | Media Access | جدول المطابقة | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.02 → SP 800-53 |
| MP-3 | Media Marking | جدول المطابقة | MP.L2-3.8.4 | NIST SP 800-171r3 03.08.04 → SP 800-53 |
| MP-4 | Media Storage | جدول المطابقة | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r3 03.08.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-5 | Media Transport | جدول المطابقة | MP.L2-3.8.5 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP-6 | Media Sanitization | جدول المطابقة | MA.L2-3.7.3MP.L2-3.8.1MP.L2-3.8.2+1 | NIST SP 800-171r3 03.08.03 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-7 | Media Use | جدول المطابقة | MP.L2-3.8.7MP.L2-3.8.8 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| PE Physical and Environmental Protection · 9 | ||||
| PE-2 | Physical Access Authorizations | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | الموضوع نفسه: الأمن المادي |
| PE-3 | Physical Access Control | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | الموضوع نفسه: الأمن المادي |
| PE-4 | Access Control for Transmission | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2 | NIST SP 800-171r2 Appendix D |
| PE-5 | Access Control for Output Devices | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.10.07 → SP 800-53 |
| PE-6 | Monitoring Physical Access | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | الموضوع نفسه: الأمن المادي |
| PE-8 | Visitor Access Records | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | الموضوع نفسه: الأمن المادي |
| PE-13 | Fire Protection | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | الموضوع نفسه: الأمن المادي |
| PE-14 | Environmental Controls | جدول المطابقة | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | الموضوع نفسه: الأمن المادي |
| PE-17 | Alternate Work Site | جدول المطابقة | PE.L2-3.10.6 | NIST SP 800-171r3 03.10.06 → SP 800-53 |
| PL Planning · 1 | ||||
| PL-2 | System Security and Privacy Plans | جدول المطابقة | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D |
| PM Program Management · 8 | ||||
| PM-4 | Plan of Action and Milestones Process | تحريري | CA.L2-3.12.1 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| PM-5 | System Inventory | جدول المطابقة | CM.L2-3.4.1 | الموضوع نفسه: إدارة الأصول |
| PM-6 | Measures of Performance | تحريري | CA.L2-3.12.1 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| PM-9 | Risk Management Strategy | جدول المطابقة | RA.L2-3.11.1 | الموضوع نفسه: إدارة المخاطر |
| PM-12 | Insider Threat Program | تحريري | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| PM-15 | Security and Privacy Groups and Associations | جدول المطابقة | SI.L2-3.14.3 | الموضوع نفسه: استخبارات التهديدات |
| PM-16 | Threat Awareness Program | جدول المطابقة | SI.L2-3.14.3 | الموضوع نفسه: استخبارات التهديدات |
| PM-28 | Risk Framing | جدول المطابقة | RA.L2-3.11.1 | الموضوع نفسه: إدارة المخاطر |
| PS Personnel Security · 3 | ||||
| PS-3 | Personnel Screening | جدول المطابقة | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r3 03.09.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| PS-4 | Personnel Termination | جدول المطابقة | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| PS-5 | Personnel Transfer | جدول المطابقة | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 4 | ||||
| RA-2 | Security Categorization | تحريري | MP.L2-3.8.4 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| RA-3 | Risk Assessment | جدول المطابقة | RA.L2-3.11.1 | الموضوع نفسه: تقييم المخاطر |
| RA-5 | Vulnerability Monitoring and Scanning | جدول المطابقة | RA.L2-3.11.2RA.L2-3.11.3 | الموضوع نفسه: إدارة الثغرات |
| RA-7 | Risk Response | جدول المطابقة | RA.L2-3.11.1 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر |
| SA System and Services Acquisition · 5 | ||||
| SA-3 | System Development Life Cycle | جدول المطابقة | SC.L2-3.13.2 | الموضوع نفسه: التطوير الآمن |
| SA-8 | Security and Privacy Engineering Principles | جدول المطابقة | SC.L2-3.13.2SC.L2-3.13.1 | الموضوع نفسه: التطوير الآمن |
| SA-9 | External System Services | جدول المطابقة | AC.L2-3.1.20 | الموضوع نفسه: أمن السحابة |
| SA-11 | Developer Testing and Evaluation | جدول المطابقة | SC.L2-3.13.2 | الموضوع نفسه: التطوير الآمن |
| SA-15 | Development Process, Standards, and Tools | جدول المطابقة | SC.L2-3.13.2 | الموضوع نفسه: التطوير الآمن |
| SC System and Communications Protection · 12 | ||||
| SC-2 | Separation of System and User Functionality | جدول المطابقة | SC.L2-3.13.3 | NIST SP 800-171r2 Appendix D |
| SC-4 | Information in Shared System Resources | جدول المطابقة | SC.L2-3.13.4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC-7 | Boundary Protection | جدول المطابقة | SC.L2-3.13.1SC.L2-3.13.5SC.L2-3.13.6+2 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة, أمن تطبيقات الويب |
| SC-8 | Transmission Confidentiality and Integrity | جدول المطابقة | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+5 | الموضوع نفسه: التشفير |
| SC-10 | Network Disconnect | جدول المطابقة | SC.L2-3.13.9 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC-12 | Cryptographic Key Establishment and Management | جدول المطابقة | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | الموضوع نفسه: التشفير |
| SC-13 | Cryptographic Protection | جدول المطابقة | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | الموضوع نفسه: التشفير |
| SC-15 | Collaborative Computing Devices and Applications | جدول المطابقة | SC.L2-3.13.12 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC-18 | Mobile Code | جدول المطابقة | SC.L2-3.13.13 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC-23 | Session Authenticity | جدول المطابقة | SC.L2-3.13.15 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC-28 | Protection of Information at Rest | جدول المطابقة | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+6 | الموضوع نفسه: التشفير |
| SC-45 | System Time Synchronization | جدول المطابقة | AU.L2-3.3.7 | NIST SP 800-171r2 Appendix D |
| SI System and Information Integrity · 7 | ||||
| SI-2 | Flaw Remediation | جدول المطابقة | SI.L2-3.14.1SI.L2-3.14.2SI.L2-3.14.3 | الموضوع نفسه: إدارة الرقع |
| SI-3 | Malicious Code Protection | جدول المطابقة | SI.L2-3.14.2SI.L2-3.14.4SI.L2-3.14.1+2 | الموضوع نفسه: حماية نقاط النهاية, أمن البريد الإلكتروني |
| SI-4 | System Monitoring | جدول المطابقة | SI.L2-3.14.6SI.L2-3.14.7SI.L2-3.14.2+1 | الموضوع نفسه: المراقبة المستمرة, كشف التسلل, اكتشاف الشذوذ, حماية نقاط النهاية |
| SI-5 | Security Alerts, Advisories, and Directives | جدول المطابقة | SI.L2-3.14.3SI.L2-3.14.1SI.L2-3.14.2 | الموضوع نفسه: استخبارات التهديدات |
| SI-7 | Software, Firmware, and Information Integrity | جدول المطابقة | SC.L2-3.13.16MP.L2-3.8.3 | الموضوع نفسه: حماية البيانات |
| SI-8 | Spam Protection | تحريري | SI.L2-3.14.2 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| SI-10 | Information Input Validation | تحريري | SC.L2-3.13.1 | الموضوع نفسه: أمن تطبيقات الويب (اختيار المحرر) |
| SR Supply Chain Risk Management · 1 | ||||
| SR-6 | Supplier Assessments and Reviews | جدول المطابقة | RA.L2-3.11.1 | NIST SP 800-171r3 03.11.01 → SP 800-53 |
من أصل 110 متطلبًا في CMMC Level 2، يُطابق 109 شيئًا في 800-53، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا.
عمل جديد على الأرجح: متطلبات CMMC لا يوجد لها ربط بـ 800-53 (1)
| CMMC | المتطلب | تطابق | 800-53 | الأدلة |
|---|---|---|---|---|
| SC System and Communications Protection · 1 | ||||
| SC.L2-3.13.14 | Voice over Internet Protocol | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع 800-53 في بياناتنا. |
مُطابَق (109)
| CMMC | المتطلب | تطابق | 800-53 | الأدلة |
|---|---|---|---|---|
| AC Access Control · 22 | ||||
| AC.L2-3.1.1 | Authorized Access Control | جدول المطابقة | AC-2AC-3AC-4+3 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| AC.L2-3.1.2 | Transaction & Function Control | جدول المطابقة | AC-2AC-3AC-17 | الموضوع نفسه: التحكم في الوصول |
| AC.L2-3.1.3 | Control CUI Flow | جدول المطابقة | AC-4SC-7(10) | الموضوع نفسه: DLP |
| AC.L2-3.1.4 | Separation of Duties | جدول المطابقة | AC-5 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC.L2-3.1.5 | Least Privilege | جدول المطابقة | AC-2(7)AC-6(5)AC-6+1 | الموضوع نفسه: الوصول المميز |
| AC.L2-3.1.6 | Non-Privileged Account Use | جدول المطابقة | AC-2(7)AC-6(5)AC-6 | الموضوع نفسه: الوصول المميز |
| AC.L2-3.1.7 | Privileged Functions | جدول المطابقة | AC-2(7)AC-6(5)AC-6 | الموضوع نفسه: الوصول المميز |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | جدول المطابقة | AC-7 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC.L2-3.1.9 | Privacy & Security Notices | جدول المطابقة | AC-8 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC.L2-3.1.10 | Session Lock | جدول المطابقة | AC-11 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC.L2-3.1.11 | Session Termination | جدول المطابقة | AC-12 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC.L2-3.1.12 | Control Remote Access | جدول المطابقة | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.13 | Remote Access Confidentiality | جدول المطابقة | SC-8SC-12SC-13+2 | الموضوع نفسه: التشفير |
| AC.L2-3.1.14 | Remote Access Routing | جدول المطابقة | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.15 | Privileged Remote Access | جدول المطابقة | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.16 | Wireless Access Authorization | جدول المطابقة | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.17 | Wireless Access Protection | جدول المطابقة | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.18 | Mobile Device Connection | جدول المطابقة | AC-19AC-19(5) | الموضوع نفسه: أمن الأجهزة المحمولة |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | جدول المطابقة | AC-19AC-19(5)SC-8+3 | الموضوع نفسه: أمن الأجهزة المحمولة, التشفير |
| AC.L2-3.1.20 | External Connections | جدول المطابقة | AC-20SA-9 | الموضوع نفسه: أمن السحابة |
| AC.L2-3.1.21 | Portable Storage Use | جدول المطابقة | AC-20 | NIST SP 800-171r3 03.01.20 → SP 800-53 |
| AC.L2-3.1.22 | Control Public Information | جدول المطابقة | AC-22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 3 | ||||
| AT.L2-3.2.1 | Role-Based Risk Awareness | جدول المطابقة | AT-2AT-3 | الموضوع نفسه: التوعية والتدريب |
| AT.L2-3.2.2 | Role-Based Training | جدول المطابقة | AT-2AT-3 | الموضوع نفسه: التوعية والتدريب |
| AT.L2-3.2.3 | Insider Threat Awareness | جدول المطابقة | AT-2AT-3AC-2(12)+2 | الموضوع نفسه: التوعية والتدريب, التهديدات الداخلية |
| AU Audit and Accountability · 9 | ||||
| AU.L2-3.3.1 | System Auditing | جدول المطابقة | AU-2AU-3AU-11+2 | الموضوع نفسه: التسجيل والتدقيق |
| AU.L2-3.3.2 | User Accountability | جدول المطابقة | AU-2AU-3AU-11+5 | الموضوع نفسه: التسجيل والتدقيق |
| AU.L2-3.3.3 | Event Review | جدول المطابقة | AU-2AU-11AU-12 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.03.03 → SP 800-53 |
| AU.L2-3.3.4 | Audit Failure Alerting | جدول المطابقة | AU-5 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU.L2-3.3.5 | Audit Correlation | جدول المطابقة | AU-6AU-6(3)IR-5 | الموضوع نفسه: SIEM / SOC |
| AU.L2-3.3.6 | Reduction & Reporting | جدول المطابقة | AU-7SI-2(7) | الموضوع نفسه: الطب الشرعي الرقمي |
| AU.L2-3.3.7 | Authoritative Time Source | جدول المطابقة | AU-2AU-3AU-11+3 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| AU.L2-3.3.8 | Audit Protection | جدول المطابقة | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU.L2-3.3.9 | Audit Management | جدول المطابقة | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| CA Security Assessment · 4 | ||||
| CA.L2-3.12.1 | Security Control Assessment | جدول المطابقة | CA-2PM-4PM-6+3 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CA.L2-3.12.2 | Plan of Action | جدول المطابقة | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA.L2-3.12.3 | Security Control Monitoring | جدول المطابقة | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.03 → SP 800-53 |
| CA.L2-3.12.4 | System Security Plan | جدول المطابقة | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D |
| CM Configuration Management · 9 | ||||
| CM.L2-3.4.1 | System Baselining | جدول المطابقة | CM-2CM-6CM-7+2 | الموضوع نفسه: الإعدادات الآمنة |
| CM.L2-3.4.2 | Security Configuration Enforcement | جدول المطابقة | CM-2CM-6CM-7+1 | الموضوع نفسه: الإعدادات الآمنة |
| CM.L2-3.4.3 | System Change Management | جدول المطابقة | CM-3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM.L2-3.4.4 | Security Impact Analysis | جدول المطابقة | CM-4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM.L2-3.4.5 | Access Restrictions for Change | جدول المطابقة | CM-5CM-7(5) | NIST SP 800-171r3 03.04.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| CM.L2-3.4.6 | Least Functionality | جدول المطابقة | CM-2CM-6CM-7 | الموضوع نفسه: الإعدادات الآمنة |
| CM.L2-3.4.7 | Nonessential Functionality | جدول المطابقة | CM-2CM-6CM-7+1 | الموضوع نفسه: الإعدادات الآمنة |
| CM.L2-3.4.8 | Application Execution Policy | جدول المطابقة | CM-7CM-7(5) | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.04.08 → SP 800-53 |
| CM.L2-3.4.9 | User-Installed Software | جدول المطابقة | AC-6AC-6(5)AU-9+3 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.01.06 → SP 800-53 |
| IA Identification and Authentication · 11 | ||||
| IA.L2-3.5.1 | Identification | جدول المطابقة | IA-2IA-3IA-5+1 | NIST SP 800-171r3 03.05.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.2 | Authentication | جدول المطابقة | IA-2IA-3IA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA.L2-3.5.3 | Multifactor Authentication | جدول المطابقة | IA-2(1)IA-2(2) | الموضوع نفسه: المصادقة متعددة العناصر |
| IA.L2-3.5.4 | Replay-Resistant Authentication | جدول المطابقة | IA-2 | NIST SP 800-171r3 03.05.04 → SP 800-53 |
| IA.L2-3.5.5 | Identifier Reuse | جدول المطابقة | IA-4 | NIST SP 800-171r3 03.05.05 → SP 800-53 |
| IA.L2-3.5.6 | Identifier Handling | جدول المطابقة | IA-4 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.7 | Password Complexity | جدول المطابقة | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.8 | Password Reuse | جدول المطابقة | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.9 | Temporary Passwords | جدول المطابقة | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | جدول المطابقة | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.11 | Obscure Feedback | جدول المطابقة | IA-6 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IR Incident Response · 3 | ||||
| IR.L2-3.6.1 | Incident Handling | جدول المطابقة | IR-4IR-8IR-2+4 | الموضوع نفسه: الاستجابة للحوادث, التخفيف, الدروس المستفادة |
| IR.L2-3.6.2 | Incident Reporting | جدول المطابقة | CP-10IR-6IR-7+3 | الموضوع نفسه: التواصل والاستعادة, الإبلاغ, الاتصالات |
| IR.L2-3.6.3 | Incident Response Testing | تحريري | IR-2IR-3IR-4+1 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| MA Maintenance · 6 | ||||
| MA.L2-3.7.1 | Perform Maintenance | جدول المطابقة | MA-2MA-3 | NIST SP 800-171r2 Appendix D |
| MA.L2-3.7.2 | System Maintenance Control | جدول المطابقة | MA-2MA-3MA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53; NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MA.L2-3.7.3 | Equipment Sanitization | جدول المطابقة | MA-2MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.03 → SP 800-53 |
| MA.L2-3.7.4 | Media Inspection | جدول المطابقة | MA-3 | NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA.L2-3.7.5 | Nonlocal Maintenance | جدول المطابقة | MA-4 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA.L2-3.7.6 | Maintenance Personnel | جدول المطابقة | MA-5 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 9 | ||||
| MP.L2-3.8.1 | Media Protection | جدول المطابقة | MP-2MP-4MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.01 → SP 800-53 |
| MP.L2-3.8.2 | Media Access | جدول المطابقة | MP-2MP-4MP-6 | NIST SP 800-171r3 03.08.02 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP.L2-3.8.3 | Media Disposal | جدول المطابقة | SC-8SC-28SI-7+3 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| MP.L2-3.8.4 | Media Markings | جدول المطابقة | RA-2MP-3 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| MP.L2-3.8.5 | Media Accountability | جدول المطابقة | MP-5SC-28 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP.L2-3.8.6 | Portable Storage Encryption | جدول المطابقة | SC-8SC-12SC-13+1 | الموضوع نفسه: التشفير |
| MP.L2-3.8.7 | Removable Media | جدول المطابقة | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.8 | Shared Media | جدول المطابقة | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.9 | Protect Backups | جدول المطابقة | CP-6CP-9 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| PE Physical Protection · 6 | ||||
| PE.L2-3.10.1 | Limit Physical Access | جدول المطابقة | PE-2PE-3PE-6+5 | الموضوع نفسه: الأمن المادي |
| PE.L2-3.10.2 | Monitor Facility | جدول المطابقة | PE-2PE-3PE-6+5 | الموضوع نفسه: الأمن المادي |
| PE.L2-3.10.3 | Escort Visitors | جدول المطابقة | PE-2PE-3PE-6+4 | الموضوع نفسه: الأمن المادي |
| PE.L2-3.10.4 | Physical Access Logs | جدول المطابقة | PE-2PE-3PE-6+4 | الموضوع نفسه: الأمن المادي |
| PE.L2-3.10.5 | Manage Physical Access | جدول المطابقة | PE-2PE-3PE-6+4 | الموضوع نفسه: الأمن المادي |
| PE.L2-3.10.6 | Alternative Work Sites | جدول المطابقة | PE-2PE-3PE-6+4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| PS Personnel Security · 2 | ||||
| PS.L2-3.9.1 | Screen Individuals | جدول المطابقة | AC-2(12)AU-13PM-12+3 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| PS.L2-3.9.2 | Personnel Actions | جدول المطابقة | PS-3PS-4PS-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 3 | ||||
| RA.L2-3.11.1 | Risk Assessments | جدول المطابقة | PM-9PM-28RA-3+2 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر |
| RA.L2-3.11.2 | Vulnerability Scan | جدول المطابقة | CA-8RA-5 | الموضوع نفسه: إدارة الثغرات |
| RA.L2-3.11.3 | Vulnerability Remediation | جدول المطابقة | CA-8RA-5 | الموضوع نفسه: إدارة الثغرات |
| SC System and Communications Protection · 15 | ||||
| SC.L2-3.13.1 | Boundary Protection | جدول المطابقة | AC-3AC-4AC-6+4 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة |
| SC.L2-3.13.2 | Security Engineering | جدول المطابقة | SA-3SA-8SA-11+2 | الموضوع نفسه: التطوير الآمن |
| SC.L2-3.13.3 | Role Separation | جدول المطابقة | AC-2AC-3AC-4+5 | NIST SP 800-171r3 03.01.01 → SP 800-53; NIST SP 800-171r3 03.01.02 → SP 800-53; NIST SP 800-171r3 03.01.03 → SP 800-53 |
| SC.L2-3.13.4 | Shared Resource Control | جدول المطابقة | SC-4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC.L2-3.13.5 | Public-Access System Separation | جدول المطابقة | AC-4SC-7 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| SC.L2-3.13.6 | Network Communication by Exception | جدول المطابقة | AC-3AC-4AC-6+2 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة |
| SC.L2-3.13.7 | Split Tunneling | جدول المطابقة | AC-17CM-6CM-7+1 | NIST SP 800-171r3 03.01.12 → SP 800-53; NIST SP 800-171r3 03.04.02 → SP 800-53; NIST SP 800-171r3 03.04.06 → SP 800-53 |
| SC.L2-3.13.8 | Data in Transit | جدول المطابقة | SC-8SC-12SC-13+1 | الموضوع نفسه: التشفير |
| SC.L2-3.13.9 | Connections Termination | جدول المطابقة | SC-10 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC.L2-3.13.10 | Key Management | جدول المطابقة | SC-8SC-12SC-13+1 | الموضوع نفسه: التشفير |
| SC.L2-3.13.11 | CUI Encryption | جدول المطابقة | SC-8SC-12SC-13+1 | الموضوع نفسه: التشفير |
| SC.L2-3.13.12 | Collaborative Device Control | جدول المطابقة | SC-15 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC.L2-3.13.13 | Mobile Code | جدول المطابقة | SC-18 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC.L2-3.13.15 | Communications Authenticity | جدول المطابقة | SC-23 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC.L2-3.13.16 | Data at Rest | جدول المطابقة | SC-8SC-12SC-13+2 | الموضوع نفسه: التشفير, حماية البيانات |
| SI System and Information Integrity · 7 | ||||
| SI.L2-3.14.1 | Flaw Remediation | جدول المطابقة | SI-2SI-3SI-5 | الموضوع نفسه: إدارة الرقع |
| SI.L2-3.14.2 | Malicious Code Protection | جدول المطابقة | SI-3CM-7(5)SI-4+3 | الموضوع نفسه: حماية نقاط النهاية, أمن البريد الإلكتروني |
| SI.L2-3.14.3 | Security Alerts & Advisories | جدول المطابقة | PM-15PM-16SI-5+2 | الموضوع نفسه: استخبارات التهديدات |
| SI.L2-3.14.4 | Update Malicious Code Protection | تحريري | CM-7(5)SI-3SI-4 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| SI.L2-3.14.5 | System & File Scanning | جدول المطابقة | SI-3 | NIST SP 800-171r3 03.14.02 → SP 800-53 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | جدول المطابقة | CA-7SI-4 | الموضوع نفسه: المراقبة المستمرة, كشف التسلل |
| SI.L2-3.14.7 | Identify Unauthorized Use | جدول المطابقة | AU-6CA-7SI-4 | الموضوع نفسه: اكتشاف الشذوذ, المراقبة المستمرة |
حسب الموضوع
يغطي كلاهما (39):
التوعية والتدريبإدارة المخاطرالامتثالإدارة الأصولتقييم المخاطرتصنيف البياناتإدارة الثغراتاستخبارات التهديداتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالطب الشرعي الرقميالاتصالاتالتخفيفالإبلاغالدروس المستفادةالتواصل والاستعادةالتهديدات الداخليةالأمن المادي
800-53 فقط (11):
الأسئلة
هل CMMC Level 2 هو نفسه NIST SP 800-171؟
Level 2 هو المتطلبات الـ110 الواردة في SP 800-171 الإصدار الثاني، مع أسماء الممارسات وقواعد التقييم الخاصة بوزارة الدفاع. وقد نشر NIST الإصدار الثالث منذ ذلك الحين، لكن CMMC يبقى مثبتًا على الإصدار الثاني حتى تغيّر وزارة الدفاع القاعدة.
إذا استوفينا 800-53 من مستوى Moderate، هل نحن جاهزون لـ CMMC Level 2؟
إلى حد كبير من حيث الجوهر: تقريبًا كل ممارسة في Level 2 تُرد إلى ضابط في 800-53. ما زلت بحاجة إلى تقييم CMMC، وأدلتك بالصيغة التي يطلبها التقييم، وخطة أمن نظام (SSP) محددة النطاق بـ CUI.
ما الدرجة المطلوبة لـ CMMC Level 2؟
تُقيَّم كل متطلبات الـ110 وفق منهجية تقييم وزارة الدفاع، بحد أقصى 110 درجة. ويتطلب الوضع المشروط Level 2 مع خطة إجراءات تصحيحية حدًا أدنى للدرجة تحدده قاعدة CMMC، ولا يجوز ترك بعض المتطلبات مفتوحة.
هل يغطي ترخيص FedRAMP متطلبات CMMC؟
ليس تلقائيًا. يغطي FedRAMP ضوابط الخدمة السحابية، بينما يقيّم CMMC بيئة المتعاقد التي تتعامل مع CUI. غير أن خدمة سحابية من مستوى FedRAMP Moderate يمكنها أن توفر ضوابط موروثة لنطاق CMMC لدى المتعاقد.
هل سينتقل CMMC إلى SP 800-171 الإصدار الثالث؟
يبقى CMMC Level 2 مثبتًا حاليًا على الإصدار الثاني. وقد أشارت وزارة الدفاع إلى أن أي تغيير سيتم عبر عملية وضع القواعد؛ وحتى ذلك الحين، قيّم وفق الإصدار الثاني.
ما الفرق بين CMMC Level 1 وLevel 2 وLevel 3؟
يغطي Level 1 الحماية الأساسية لمعلومات العقود الفيدرالية (17 متطلبًا، بتقييم ذاتي). ويغطي Level 2 معلومات CUI بالمتطلبات الـ110 من SP 800-171 الإصدار الثاني. ويضيف Level 3 متطلبات مختارة من SP 800-172 للبرامج الأكثر حساسية، ويجريها الحكومة.
من يمكنه إجراء تقييم شهادة CMMC Level 2؟
منظمة تقييم طرف ثالث معتمدة من CMMC (C3PAO)، باستخدام مقيّمين معتمدين.
هل يحتاج المقاولون الفرعيون إلى CMMC أيضًا؟
نعم، عندما يعالجون أو يخزنون أو ينقلون معلومات CUI أو معلومات العقود الفيدرالية بموجب العقد. ويجب على المقاولين الرئيسيين نقل متطلبات CMMC ذات الصلة إلى مقاوليهم الفرعيين وفق المستوى المناسب.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.