الإطار

CMMC Level 2

ما هو

نموذج نضج شهادات الأمن السيبراني (CMMC) التابع لوزارة الدفاع الأمريكية. المستوى 2 يضم المتطلبات الأمنية الـ 110 الواردة في NIST SP 800-171 Rev 2 لحماية المعلومات غير المصنفة الخاضعة للرقابة (CUI). دخلت قاعدة البرنامج حيز التنفيذ في ديسمبر 2024، ويجري تطبيق متطلبات العقود تدريجياً اعتباراً من نوفمبر 2025.

من يحتاجه

المقاولون الدفاعيون والمقاولون من الباطن الذين يعالجون المعلومات غير المصنفة الخاضعة للرقابة (CUI) أو يخزنونها أو ينقلونها.

كيف يُقيَّم

إما تقييم ذاتي أو، في معظم عقود CUI، تقييم للشهادة يُجريه مقيّم خارجي معتمد من طرف ثالث (C3PAO)، كل ثلاث سنوات مع إقرار سنوي. ويُسمح بخطة إجراءات ومعالم محدودة لبعض المتطلبات، على أن تُغلق خلال 180 يوماً.

110

ممارسات

109

مُطابَق مع إطار آخر

78%

الموضوعات المغطاة (39/50)

تحليل الفجوات → CMMC من CMMC →

المقارنات

CMMC vs 800-53

المتطلبات

تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.

متطلبات CMMC Level 2
ID	المتطلب	الموضوعات	مُطابَق في
AC Access Control · 22
AC.L2-3.1.1	Authorized Access Control	التحكم في الوصول, الثقة المعدومة	11 من 13
AC.L2-3.1.2	Transaction & Function Control	التحكم في الوصول	11 من 13
AC.L2-3.1.3	Control CUI Flow	DLP	7 من 13
AC.L2-3.1.4	Separation of Duties	—	1 من 13
AC.L2-3.1.5	Least Privilege	الوصول المميز	10 من 13
AC.L2-3.1.6	Non-Privileged Account Use	الوصول المميز	10 من 13
AC.L2-3.1.7	Privileged Functions	الوصول المميز	10 من 13
AC.L2-3.1.8	Unsuccessful Logon Attempts	—	1 من 13
AC.L2-3.1.9	Privacy & Security Notices	—	1 من 13
AC.L2-3.1.10	Session Lock	—	1 من 13
AC.L2-3.1.11	Session Termination	—	1 من 13
AC.L2-3.1.12	Control Remote Access	—	1 من 13
AC.L2-3.1.13	Remote Access Confidentiality	التشفير	10 من 13
AC.L2-3.1.14	Remote Access Routing	—	1 من 13
AC.L2-3.1.15	Privileged Remote Access	—	1 من 13
AC.L2-3.1.16	Wireless Access Authorization	—	1 من 13
AC.L2-3.1.17	Wireless Access Protection	—	1 من 13
AC.L2-3.1.18	Mobile Device Connection	أمن الأجهزة المحمولة	7 من 13
AC.L2-3.1.19	Encrypt CUI on Mobile	التشفير, أمن الأجهزة المحمولة	11 من 13
AC.L2-3.1.20	External Connections	أمن السحابة	11 من 13
AC.L2-3.1.21	Portable Storage Use	—	1 من 13
AC.L2-3.1.22	Control Public Information	—	1 من 13
AT Awareness and Training · 3
AT.L2-3.2.1	Role-Based Risk Awareness	التوعية والتدريب	10 من 13
AT.L2-3.2.2	Role-Based Training	التوعية والتدريب	10 من 13
AT.L2-3.2.3	Insider Threat Awareness	التوعية والتدريب, التهديدات الداخلية	10 من 13
AU Audit and Accountability · 9
AU.L2-3.3.1	System Auditing	التسجيل والتدقيق	10 من 13
AU.L2-3.3.2	User Accountability	التسجيل والتدقيق, التهديدات الداخلية	11 من 13
AU.L2-3.3.3	Event Review	—	1 من 13
AU.L2-3.3.4	Audit Failure Alerting	—	1 من 13
AU.L2-3.3.5	Audit Correlation	SIEM / SOC	10 من 13
AU.L2-3.3.6	Reduction & Reporting	الطب الشرعي الرقمي	7 من 13
AU.L2-3.3.7	Authoritative Time Source	التسجيل والتدقيق	10 من 13
AU.L2-3.3.8	Audit Protection	—	1 من 13
AU.L2-3.3.9	Audit Management	—	1 من 13
CA Security Assessment · 4
CA.L2-3.12.1	Security Control Assessment	الامتثال	10 من 13
CA.L2-3.12.2	Plan of Action	—	1 من 13
CA.L2-3.12.3	Security Control Monitoring	—	1 من 13
CA.L2-3.12.4	System Security Plan	—	1 من 13
CM Configuration Management · 9
CM.L2-3.4.1	System Baselining	إدارة الأصول, الإعدادات الآمنة	13 من 13
CM.L2-3.4.2	Security Configuration Enforcement	الإعدادات الآمنة	9 من 13
CM.L2-3.4.3	System Change Management	—	1 من 13
CM.L2-3.4.4	Security Impact Analysis	—	1 من 13
CM.L2-3.4.5	Access Restrictions for Change	—	1 من 13
CM.L2-3.4.6	Least Functionality	الإعدادات الآمنة	9 من 13
CM.L2-3.4.7	Nonessential Functionality	الإعدادات الآمنة	9 من 13
CM.L2-3.4.8	Application Execution Policy	—	1 من 13
CM.L2-3.4.9	User-Installed Software	—	1 من 13
IA Identification and Authentication · 11
IA.L2-3.5.1	Identification	—	1 من 13
IA.L2-3.5.2	Authentication	—	1 من 13
IA.L2-3.5.3	Multifactor Authentication	المصادقة متعددة العناصر	10 من 13
IA.L2-3.5.4	Replay-Resistant Authentication	—	1 من 13
IA.L2-3.5.5	Identifier Reuse	—	1 من 13
IA.L2-3.5.6	Identifier Handling	—	1 من 13
IA.L2-3.5.7	Password Complexity	—	1 من 13
IA.L2-3.5.8	Password Reuse	—	1 من 13
IA.L2-3.5.9	Temporary Passwords	—	1 من 13
IA.L2-3.5.10	Cryptographically-Protected Passwords	—	1 من 13
IA.L2-3.5.11	Obscure Feedback	—	1 من 13
IR Incident Response · 3
IR.L2-3.6.1	Incident Handling	الاستجابة للحوادث, التخفيف, الدروس المستفادة	12 من 13
IR.L2-3.6.2	Incident Reporting	الاتصالات, الإبلاغ, التواصل والاستعادة	12 من 13
IR.L2-3.6.3	Incident Response Testing	الاستجابة للحوادث	12 من 13
MA Maintenance · 6
MA.L2-3.7.1	Perform Maintenance	—	1 من 13
MA.L2-3.7.2	System Maintenance Control	—	1 من 13
MA.L2-3.7.3	Equipment Sanitization	—	1 من 13
MA.L2-3.7.4	Media Inspection	—	1 من 13
MA.L2-3.7.5	Nonlocal Maintenance	—	1 من 13
MA.L2-3.7.6	Maintenance Personnel	—	1 من 13
MP Media Protection · 9
MP.L2-3.8.1	Media Protection	—	1 من 13
MP.L2-3.8.2	Media Access	—	1 من 13
MP.L2-3.8.3	Media Disposal	حماية البيانات	11 من 13
MP.L2-3.8.4	Media Markings	تصنيف البيانات	9 من 13
MP.L2-3.8.5	Media Accountability	—	1 من 13
MP.L2-3.8.6	Portable Storage Encryption	التشفير	10 من 13
MP.L2-3.8.7	Removable Media	—	1 من 13
MP.L2-3.8.8	Shared Media	—	1 من 13
MP.L2-3.8.9	Protect Backups	النسخ الاحتياطي والاستعادة	11 من 13
PE Physical Protection · 6
PE.L2-3.10.1	Limit Physical Access	الأمن المادي	8 من 13
PE.L2-3.10.2	Monitor Facility	الأمن المادي	8 من 13
PE.L2-3.10.3	Escort Visitors	الأمن المادي	8 من 13
PE.L2-3.10.4	Physical Access Logs	الأمن المادي	8 من 13
PE.L2-3.10.5	Manage Physical Access	الأمن المادي	8 من 13
PE.L2-3.10.6	Alternative Work Sites	الأمن المادي	8 من 13
PS Personnel Security · 2
PS.L2-3.9.1	Screen Individuals	التهديدات الداخلية	8 من 13
PS.L2-3.9.2	Personnel Actions	—	1 من 13
RA Risk Assessment · 3
RA.L2-3.11.1	Risk Assessments	إدارة المخاطر, تقييم المخاطر	10 من 13
RA.L2-3.11.2	Vulnerability Scan	إدارة الثغرات	13 من 13
RA.L2-3.11.3	Vulnerability Remediation	إدارة الثغرات	13 من 13
SC System and Communications Protection · 16
SC.L2-3.13.1	Boundary Protection	جدار الحماية / تجزئة الشبكة, أمن تطبيقات الويب, الثقة المعدومة	9 من 13
SC.L2-3.13.2	Security Engineering	التطوير الآمن	8 من 13
SC.L2-3.13.3	Role Separation	—	1 من 13
SC.L2-3.13.4	Shared Resource Control	—	1 من 13
SC.L2-3.13.5	Public-Access System Separation	جدار الحماية / تجزئة الشبكة	9 من 13
SC.L2-3.13.6	Network Communication by Exception	جدار الحماية / تجزئة الشبكة, الثقة المعدومة	9 من 13
SC.L2-3.13.7	Split Tunneling	—	1 من 13
SC.L2-3.13.8	Data in Transit	التشفير	10 من 13
SC.L2-3.13.9	Connections Termination	—	1 من 13
SC.L2-3.13.10	Key Management	التشفير	10 من 13
SC.L2-3.13.11	CUI Encryption	التشفير	10 من 13
SC.L2-3.13.12	Collaborative Device Control	—	1 من 13
SC.L2-3.13.13	Mobile Code	—	1 من 13
SC.L2-3.13.14	Voice over Internet Protocol	—	لا شيء
SC.L2-3.13.15	Communications Authenticity	—	1 من 13
SC.L2-3.13.16	Data at Rest	التشفير, حماية البيانات	11 من 13
SI System and Information Integrity · 7
SI.L2-3.14.1	Flaw Remediation	إدارة الرقع	10 من 13
SI.L2-3.14.2	Malicious Code Protection	حماية نقاط النهاية, أمن البريد الإلكتروني	10 من 13
SI.L2-3.14.3	Security Alerts & Advisories	استخبارات التهديدات	6 من 13
SI.L2-3.14.4	Update Malicious Code Protection	حماية نقاط النهاية	10 من 13
SI.L2-3.14.5	System & File Scanning	—	1 من 13
SI.L2-3.14.6	Monitor Communications for Attacks	المراقبة المستمرة, كشف التسلل	11 من 13
SI.L2-3.14.7	Identify Unauthorized Use	المراقبة المستمرة, اكتشاف الشذوذ	10 من 13

تغطية الموضوع

الموضوعات ذات متطلبات CMMC المربوطة (39):

التوعية والتدريب إدارة المخاطر الامتثال إدارة الأصول تقييم المخاطر تصنيف البيانات إدارة الثغرات استخبارات التهديدات التحكم في الوصول المصادقة متعددة العناصر التشفير حماية البيانات النسخ الاحتياطي والاستعادة الوصول المميز جدار الحماية / تجزئة الشبكة حماية نقاط النهاية إدارة الرقع الإعدادات الآمنة التطوير الآمن أمن البريد الإلكتروني أمن تطبيقات الويب الثقة المعدومة أمن الأجهزة المحمولة أمن السحابة DLP المراقبة المستمرة التسجيل والتدقيق كشف التسلل اكتشاف الشذوذ SIEM / SOC الاستجابة للحوادث الطب الشرعي الرقمي الاتصالات التخفيف الإبلاغ الدروس المستفادة التواصل والاستعادة التهديدات الداخلية الأمن المادي

لا يوجد ربط في بياناتنا لا يوجد متطلب CMMC (11):

سياسة الحوكمة مخاطر سلسلة التوريد الأدوار والمسؤوليات بيئة الأعمال أمان نظام أسماء النطاقات (DNS)WAF تخطيط الاستعادة استمرارية الأعمال التعافي من الكوارث أمن واجهات برمجة التطبيقات إدارة مخاطر الموردين