CMMC Level 2 und SP 800-53: Was Appendix D des NIST zeigt

Das CMMC-Programm des US-Verteidigungsministeriums (DoD) wird inzwischen über Verteidigungsaufträge ausgerollt, und Level 2 betrifft die meisten Auftragnehmer, die Controlled Unclassified Information verarbeiten. Level 2 besteht aus den 110 Sicherheitsanforderungen von NIST SP 800-171 Revision 2. Diese Anforderungen wurden aus SP 800-53, dem bundesweiten Control-Katalog, abgeleitet. Das NIST hat genau dokumentiert, wie dies geschah, und zwar in Appendix D von SP 800-171 Rev 2.

Diese Zuordnung ist das nützlichste einzelne Dokument für Auftragnehmer, die bereits nach 800-53 arbeiten, und sie bildet das Rückgrat, mit dem ControlMapping CMMC mit allen anderen Frameworks verknüpft.

Wie vollständig die Rückverfolgung ist

Von den 110 CMMC-Praktiken sind 109 (99%) auf etwas in 800-53 zugeordnet, 0 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Alle bis auf eine CMMC-Level-2-Praxis lassen sich auf ein SP-800-53-Control in unserem Bestand abbilden. Die Verknüpfungen stammen aus Appendix D des NIST und sind daher als Crosswalk gekennzeichnet.

Nach Familie

CMMC-Abschnitt	Zugeordnet	Lose verwandt	Keine Zuordnung
AC Access Control	22 von 22	0	0
AT Awareness and Training	3 von 3	0	0
AU Audit and Accountability	9 von 9	0	0
CA Security Assessment	4 von 4	0	0
CM Configuration Management	9 von 9	0	0
IA Identification and Authentication	11 von 11	0	0
IR Incident Response	3 von 3	0	0
MA Maintenance	6 von 6	0	0
MP Media Protection	9 von 9	0	0
PE Physical Protection	6 von 6	0	0
PS Personnel Security	2 von 2	0	0
RA Risk Assessment	3 von 3	0	0
SC System and Communications Protection	15 von 16	0	1
SI System and Information Integrity	7 von 7	0	0

Haben 800-53, benötigen CMMC. Anforderung für Anforderung: Lückenbericht öffnen →

So funktioniert Appendix D

Appendix D enthält für jede der 14 Anforderungsfamilien eine Tabelle, die jede Anforderung neben den 800-53-Controls auflistet, aus denen sie abgeleitet wurde. Zwei Details sind bei der Nutzung wichtig:

• Grundlegende Anforderungen werden gemeinsam zugeordnet. Innerhalb jeder Familie teilen sich die "basic"-Anforderungen (aus FIPS 200) eine zusammengefasste Zelle mit 800-53-Controls. So lassen sich beispielsweise 3.1.1 und 3.1.2 beide auf AC-2, AC-3 und AC-17 zurückführen. "Derived"-Anforderungen haben eigene Zeilen.
• Die IDs beziehen sich auf SP 800-53 Revision 4. Die meisten bleiben in Revision 5 unverändert. Sieben wurden in Rev 5 zurückgezogen und in andere Controls integriert; der Rev-5-Katalog des NIST nennt jeweils das Ziel (etwa wurde AU-8(1) nach SC-45(1) verschoben und MP-5(4) in SC-28(1) aufgenommen). Wir folgen diesen Verknüpfungen.

Die eine Praxis ohne Entsprechung

SC.L2-3.13.14 verlangt, Voice over Internet Protocol zu kontrollieren und zu überwachen. Appendix D ordnet sie SC-19 zu, das das NIST in Rev 5 ohne Nachfolger zurückgezogen hat: VoIP wird nun wie jede andere Technologie behandelt, unter den allgemeinen Grenzschutz- und Kommunikationscontrols. In einer Rev-5-Welt hat diese CMMC-Praxis also kein eigenes 800-53-Control, auch wenn SC-7 und SC-8 den größten Teil ihres Inhalts abdecken.

Der umgekehrte Weg

Von den 300 800-53-Basiskontrollen sind 114 (38%) auf etwas in CMMC zugeordnet, 78 sind nur lose verwandt und 108 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Der größte Teil von SP 800-53 hat kein CMMC-Gegenstück, und das ist so gewollt. SP 800-171 wählt die Controls aus, die für den Schutz der Vertraulichkeit von CUI in nicht-bundesstaatlichen Systemen relevant sind, und lässt den Rest weg: Datenschutz-Controls, bundesspezifisches Programmmanagement, viele Erweiterungen sowie Controls, die die Baseline "Non-Federal Organization" ohnehin als erfüllt voraussetzt (darunter die -1-Richtlinien-Controls).

Was es für Auftragnehmer bedeutet

1. Wenn Sie eine Moderate-Baseline nach 800-53 betreiben, haben Sie den größten Teil der Substanz bereits. Ihre Arbeit liefert Nachweise im Format von CMMC, einen auf CUI zugeschnittenen System Security Plan und eine Bewertung.
2. Nutzen Sie Appendix D zur Wiederverwendung von Nachweisen. Für jede Praxis zeigen die aufgeführten 800-53-Controls, welche Ihrer bestehenden Control-Nachweise zutreffen.
3. Achten Sie auf die Lücke zwischen Rev 2 und Rev 3. Das NIST hat in Revision 3 mehrere Anforderungen überarbeitet, CMMC bleibt jedoch auf Revision 2 festgelegt. Bewerten Sie anhand dessen, was Ihr Vertrag verlangt.

Der CMMC → SP 800-53-Lückenanalyse-Bericht listet jede Praxis mit ihren Appendix-D-Controls auf, und der Vergleich CMMC vs. SP 800-53 deckt beide Richtungen ab. Die CMMC-Praxisbezeichnungen auf dieser Website stammen vom DoD; der Anforderungstext stammt vom NIST (gemeinfrei).

Fragen

Ist CMMC Level 2 dasselbe wie NIST SP 800-171?

Level 2 besteht aus den 110 Sicherheitsanforderungen von SP 800-171 Revision 2, die nach den CMMC-Regeln des DoD mit eigenen Praxisbezeichnungen bewertet werden. Das NIST hat Revision 3 veröffentlicht, CMMC bleibt jedoch auf Revision 2 festgelegt.

Welche CMMC-Praxis hat keine Entsprechung in SP 800-53 Rev 5?

SC.L2-3.13.14 (Voice over IP kontrollieren und überwachen). Appendix D ordnet sie SC-19 zu, das das NIST in Rev 5 ohne Nachfolger zurückgezogen hat, da VoIP nun wie jede andere Technologie behandelt wird.