Vorbereitung auf eine CMMC-Level-2-Bewertung, wenn Sie bereits SP 800-53 betreiben

CMMC Level 2 wird inzwischen in US-Verteidigungsverträge aufgenommen, und viele Auftragnehmer, die davon betroffen sind, betreiben bereits NIST-SP-800-53-Kontrollen, sei es für Bundesaufträge, FedRAMP oder schlicht als ihre Kontrollbibliothek. Das ist ein starker Ausgangspunkt: Jede CMMC-Level-2-Praxis lässt sich über das eigene Mapping des NIST auf SP 800-53 zurückführen, wie unsere Appendix-D-Analyse zeigt.

Von den 110 CMMC-Praktiken sind 109 (99%) auf etwas in 800-53 zugeordnet, 0 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Die Kontrollen sind also größtenteils vorhanden. Nicht automatisch geschieht dagegen die Abgrenzung des Geltungsbereichs, die Dokumentation und die Bewertung selbst.

Schritt 1: CUI-Umgebung abgrenzen

CMMC gilt für die Systeme, die Controlled Unclassified Information verarbeiten, speichern oder übertragen, sowie für die Assets, die diese schützen. Erfassen Sie, wo CUI eintritt, wo sie liegt und wer darauf zugreift. Eine klar umrissene, gut dokumentierte Grenze (häufig eine Enklave) reduziert die Zahl der Assets, die der Assessor prüfen muss. Eine Autorisierungsgrenze nach 800-53 für ein Bundessystem ist selten dieselbe wie Ihre CUI-Grenze.

Schritt 2: System Security Plan für diese Grenze erstellen

Der SSP (CA.L2-3.12.4) beschreibt die Grenze, die Umgebung und wie jede der 110 Anforderungen umgesetzt wird. Verwenden Sie Ihre 800-53-Kontrollbeschreibungen wieder, schreiben Sie sie aber für die CUI-Umgebung um und verwenden Sie die Praxis-Kennungen von CMMC; Assessoren arbeiten Praxis für Praxis.

Schritt 3: Rev-2-Formulierungen prüfen

CMMC ist an SP 800-171 Revision 2 gebunden. Wo Ihre 800-53-Umsetzung breiter angelegt ist, erfüllt sie in der Regel die Praxis; wo Rev 2 spezifisch ist (FIPS-validierte Kryptografie für CUI, Sitzungssperren, bestimmte Inhalte von Audit-Protokollen), sollten Sie die Details prüfen.

Schritt 4: Nachweise den Bewertungszielen zuordnen

Assessoren prüfen jede Praxis anhand von Bewertungszielen, indem sie Dokumente untersuchen, Personen befragen und Mechanismen testen. Listen Sie für jede Praxis die Nachweise auf, die Sie bereits für die entsprechenden 800-53-Kontrollen erstellen, und schließen Sie die Lücken. Unsere Anforderungsseiten zeigen, aus welchen 800-53-Kontrollen jede Praxis stammt.

Schritt 5: ehrlich selbst bewerten und Ergebnis berechnen

Führen Sie zuerst selbst die DoD-Bewertungsmethodik durch und berechnen Sie den Score. Beheben Sie, was nicht besteht. Für einige Anforderungen sind eingeschränkte Maßnahmenpläne zulässig, sie müssen aber innerhalb von 180 Tagen geschlossen werden; einige Anforderungen lassen sich gar nicht aufschieben.

Nachweise, die Assessoren erwarten

Für jede Praxis suchen Assessoren drei Arten von Nachweisen: Dokumente (Richtlinien, Verfahren, den SSP), Interviews mit den Personen, die die Praxis ausführen, und Tests oder Demonstrationen der Mechanismen. Typische Anfragen umfassen:

• Kontenlisten und Zugriffsfreigaben für CUI-Systeme (AC.L2-3.1.1, 3.1.2);
• MFA-Konfiguration für privilegierten und Netzwerkzugriff (IA.L2-3.5.3);
• Konfiguration, Aufbewahrung und Prüfprotokolle der Audit-Logs (AU.L2-3.3.1, 3.3.2);
• Baseline-Konfigurationen und Änderungsprotokolle (CM.L2-3.4.1 bis 3.4.3);
• Ergebnisse von Schwachstellenscans und Behebung (RA.L2-3.11.2, 3.11.3);
• Incident-Response-Plan und Testprotokolle (IR.L2-3.6.1, 3.6.3);
• Verschlüsselungseinstellungen, die FIPS-validierte Module zeigen, wo CUI geschützt wird (SC.L2-3.13.11).

Die meisten dieser Nachweise existieren in einer 800-53-Umgebung bereits; die Arbeit besteht darin, sie für die CUI-Grenze zu sammeln und nach Praxis zu kennzeichnen. Jede Praxisseite, zum Beispiel AC.L2-3.1.1, listet die 800-53-Kontrollen auf, deren Nachweise wiederverwendet werden können.

Wichtigste Erkenntnisse

• Eine 800-53-Baseline liefert Ihnen den Großteil der Substanz von CMMC Level 2.
• Die Arbeit besteht aus der Abgrenzung des CUI-Geltungsbereichs, dem Schreiben des SSP und der Zuordnung von Nachweisen zu jeder Praxis.
• Bewerten Sie sich vor der eigentlichen Bewertung ehrlich anhand der DoD-Methodik.

Häufige Fallstricke

• Scope Creep: CUI breitet sich auf E-Mail, Dateifreigaben und Laptops außerhalb der Enklave aus.
• Gemeinsam genutzte Dienste: Identitäts-, Protokollierungs- und Verwaltungswerkzeuge, die die CUI-Umgebung berühren, gehören ebenfalls zum Geltungsbereich.
• Externe Dienstleister: Cloud-Dienste, die CUI verarbeiten, müssen die passenden Bundesanforderungen erfüllen, typischerweise FedRAMP Moderate oder gleichwertig.
• Vererbungsansprüche ohne Nachweis: Wenn eine Kontrolle von einem Anbieter geerbt wird, bewahren Sie dessen Dokumentation auf.

Der Vergleich CMMC vs. SP 800-53 listet jede Praxis mit ihren Quellkontrollen auf, und die Lückenanalyse exportiert sie als Tracker.

Fragen

Wer bewertet CMMC Level 2?

Je nach Vertrag entweder der Auftragnehmer selbst (Selbstbewertung) oder eine autorisierte CMMC Third-Party Assessment Organization (C3PAO). Die meisten Verträge mit CUI erfordern die Zertifizierungsbewertung durch Dritte.

Was ist ein System Security Plan?

Ein Dokument, das die Systemgrenze, die Umgebung und die Umsetzung jeder Sicherheitsanforderung beschreibt. Es wird von SP 800-171 verlangt (CMMC-Praxis CA.L2-3.12.4) und ist das Erste, was Assessoren lesen.

Kann die FedRAMP-Autorisierung eines Cloud-Anbieters CMMC-Praxen abdecken?

Sie kann die Praxen abdecken, die der Anbieter für Sie umsetzt, als geerbte Kontrollen, sofern der Anbieter die erforderliche Baseline erfüllt und Sie dessen Dokumentation aufbewahren. Für Ihre eigene Konfiguration, Benutzer und Daten innerhalb des Dienstes bleiben Sie verantwortlich.