Comparación
CMMC Nivel 2 frente a NIST SP 800-53: las 110 prácticas y su catálogo de origen
CMMC Level 2 · NIST SP 800-53 Rev 5.2 · datos 2026-10-27
Por Paul Gillet · Actualizado 2026-10-17
CMMC Nivel 2 es el requisito del Departamento de Defensa de EE. UU. para los contratistas que manejan información no clasificada controlada (CUI). Sus 110 prácticas son los requisitos de seguridad de NIST SP 800-171 Rev 2, que NIST derivó de la línea base Moderate de SP 800-53 y adaptó a organizaciones no federales. La mayoría de los contratistas de Nivel 2 necesitan una evaluación de terceros por parte de un C3PAO cada tres años.
Como 800-171 procede de 800-53, casi todas las prácticas de CMMC tienen una contrapartida directa, y ControlMapping las rastrea mediante las correspondencias oficiales de NIST: el Apéndice D de SP 800-171 Rev 2, además de las referencias de SP 800-171 Rev 3 → SP 800-53. Yendo de 800-53 a CMMC Nivel 2, la cobertura es casi completa. La excepción es la monitorización de VoIP (SC.L2-3.13.14): el Apéndice D la asocia a SC-19, que NIST retiró en la Rev 5 sin sucesor.
Yendo de CMMC a 800-53, la mayor parte del catálogo aparece como sin correspondencia o solo como relación tangencial. Es lo esperable: CMMC Nivel 2 es un subconjunto deliberado. Omite controles que solo tienen sentido en sistemas federales o en líneas base superiores, así como muchas mejoras de 800-53.
Un matiz a tener en cuenta: CMMC Nivel 2 está vinculado a SP 800-171 Rev 2, aunque NIST ha publicado la Rev 3. Evalúe según la versión que exijan realmente su contrato y la normativa CMMC.
De un vistazo
| CMMC | 800-53 | |
|---|---|---|
| Qué es | Certificación del DoD sobre 110 prácticas (NIST SP 800-171 Rev 2) | Catálogo de controles de seguridad y privacidad para sistemas federales |
| Quién lo necesita | Contratistas de defensa que manejan CUI | Agencias federales y sus sistemas; proveedores cloud de FedRAMP |
| Evaluación | Autoevaluación o certificación por un C3PAO cada tres años | Evaluación y autorización conforme al Marco de Gestión de Riesgos (RMF) |
| Correspondencia oficial | El Apéndice D de SP 800-171r2 asocia cada requisito con 800-53 | — |
Cómo se relacionan los tres documentos de NIST y del DoD
- SP 800-53 es el catálogo completo de controles de seguridad y privacidad de NIST para sistemas federales, con líneas base en SP 800-53B.
- SP 800-171 selecciona y adapta los controles relevantes para proteger la información no clasificada controlada (CUI) en sistemas no federales. Su Revisión 2 contiene 110 requisitos, y el Apéndice D asocia cada uno con su origen en 800-53.
- CMMC Nivel 2 es el programa del DoD que evalúa a los contratistas frente a esos 110 requisitos de la Revisión 2 de SP 800-171, con nombres de prácticas, puntuación y reglas de certificación propios.
Así, CMMC Nivel 2 es un subconjunto deliberado de 800-53, evaluado en el contexto de los contratos de defensa.
Qué cambia en la Revisión 3 y por qué aún no aplica
NIST publicó SP 800-171 Revisión 3 en 2024. Alineó los requisitos con SP 800-53 Rev 5, fusionó o retiró algunos, añadió parámetros definidos por la organización y los renumeró (03.01.01 en lugar de 3.1.1). CMMC Nivel 2 sigue vinculado a la Revisión 2, así que las evaluaciones comprueban los requisitos de la Rev 2. La Rev 3 sigue siendo útil: cuando un requisito de la Rev 2 se corresponde con uno de la Rev 3, ControlMapping usa las referencias de NIST a la Rev 3 como evidencia adicional, y las organizaciones que planifican con antelación pueden diseñar controles que cumplan ambas.
Quién necesita cada uno
SP 800-53 se aplica a los sistemas de información federales de EE. UU. y a los servicios cloud que buscan la autorización FedRAMP. CMMC Nivel 2 se aplica a los contratistas y subcontratistas de defensa cuyos contratos implican CUI. Muchas empresas necesitan ambos: un proveedor cloud que atiende a agencias federales bajo FedRAMP (800-53) y también a contratistas de defensa (CMMC), o un contratista cuyos propios sistemas almacenan CUI mientras opera sistemas federales para otro cliente.
Coste y esfuerzo
Para una organización que ya opera una línea base Moderate de 800-53, CMMC Nivel 2 rara vez requiere tecnología nueva. El coste está en delimitar el entorno de CUI, redactar para él un Plan de Seguridad del Sistema (SSP), asociar las evidencias a cada práctica y en la propia evaluación: una autoevaluación o, en la mayoría de los contratos con CUI, una certificación por un C3PAO autorizado cada tres años. Por el contrario, un contratista preparado para CMMC que busca la autorización FedRAMP se enfrenta a un conjunto de controles mucho mayor, al proceso federal de autorización y a la monitorización continua.
Calendario hasta una evaluación de certificación
Los requisitos de CMMC se están incorporando de forma gradual a los contratos del DoD, y la certificación por terceros se exige en más contratos a partir de la segunda fase del programa. Un contratista con un entorno 800-53 suele necesitar entre dos y cuatro meses para delimitar el CUI, redactar el SSP y reunir las evidencias; después, una autoevaluación según la metodología del DoD y, por último, la evaluación del C3PAO, cuya programación puede llevar tiempo. Es posible una certificación condicionada con un plan de acción limitado si la puntuación alcanza el mínimo exigido, debiendo cerrarse los puntos abiertos en un plazo de 180 días.
Caso práctico: un subcontratista de defensa
Una empresa de ingeniería de 120 personas suministra componentes a un contratista principal y recibe planos técnicos marcados como CUI. Ya aplica controles Moderate de SP 800-53 para un contrato de investigación federal distinto. Delimita un enclave de CUI que abarca su servidor de archivos de ingeniería, las estaciones de diseño y su sistema de identidades, reutiliza sus políticas de 800-53 y las evidencias asociadas mediante el Apéndice D, y confirma que el cifrado utilizado en el enclave está validado por FIPS. Su autoevaluación obtiene una buena puntuación; las brechas restantes son reducidas (la monitorización de VoIP y algunos ajustes de auditoría). Reserva una evaluación con un C3PAO y traslada los requisitos de manejo de CUI a sus dos subcontratistas.
Errores habituales
- Delimitar el límite de autorización federal en lugar del límite de CUI. Rara vez coinciden.
- Suponer que las evidencias de 800-53 valen tal cual. Los evaluadores trabajan práctica por práctica, con los identificadores y los objetivos de evaluación de CMMC.
- Olvidar los servicios compartidos. La identidad, el registro y las herramientas de gestión que tocan el enclave de CUI están dentro del alcance.
- Usar criptografía no validada cuando la confidencialidad del CUI depende de ella.
- No trasladar los requisitos a los subcontratistas que reciben CUI.
Conclusiones clave
- Si ya opera una línea base Moderate de 800-53, CMMC Nivel 2 es, sobre todo, un ejercicio de evidencias y evaluación.
- CMMC → 800-53 (p. ej., para pasar a FedRAMP): cabe esperar un gran salto en el alcance.
- Compruebe qué revisión de 800-171 cita su contrato.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene CMMC → necesita 800-53
300 req. 114 asignados · · 108 sin asignación Abrir en vista de brechas →De los 300 requisitos de NIST SP 800-53 Rev 5.2, 114 se corresponden con algo en CMMC, 78 solo guardan una relación tangencial y 108 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de 800-53 sin correspondencia con CMMC (108)
| 800-53 | Requisito | Coincidencia | CMMC | Evidencia |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AC-21 | Information Sharing | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AC-23 | Data Mining Protection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AC-25 | Reference Monitor | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AT Awareness and Training · 3 | ||||
| AT-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AT-4 | Training Records | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AT-6 | Training Feedback | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AU Audit and Accountability · 4 | ||||
| AU-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AU-4 | Audit Log Storage Capacity | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AU-10 | Non-repudiation | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| AU-14 | Session Audit | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CA-6 | Authorization | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CM Configuration Management · 2 | ||||
| CM-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CM-14 | Signed Components | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CP Contingency Planning · 6 | ||||
| CP-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CP-3 | Contingency Training | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CP-8 | Telecommunications Services | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CP-11 | Alternate Communications Protocols | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CP-12 | Safe Mode | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| CP-13 | Alternative Security Mechanisms | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| IA Identification and Authentication · 2 | ||||
| IA-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| IA-12 | Identity Proofing | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| IR Incident Response · 2 | ||||
| IR-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| IR-9 | Information Spillage Response | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| MA Maintenance · 2 | ||||
| MA-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| MA-7 | Field Maintenance | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| MP Media Protection · 1 | ||||
| MP-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PE Physical and Environmental Protection · 4 | ||||
| PE-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PE-16 | Delivery and Removal | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PE-21 | Electromagnetic Pulse Protection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PE-22 | Component Marking | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PL Planning · 6 | ||||
| PL-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PL-4 | Rules of Behavior | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PL-7 | Concept of Operations | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PL-9 | Central Management | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PL-10 | Baseline Selection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PL-11 | Baseline Tailoring | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM Program Management · 15 | ||||
| PM-1 | Information Security Program Plan | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-2 | Information Security Program Leadership Role | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-3 | Information Security and Privacy Resources | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-8 | Critical Infrastructure Plan | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-10 | Authorization Process | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-14 | Testing, Training, and Monitoring | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-17 | Protecting Controlled Unclassified Information on External Systems | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-20 | Dissemination of Privacy Program Information | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-21 | Accounting of Disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-24 | Data Integrity Board | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-26 | Complaint Management | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-27 | Privacy Reporting | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-29 | Risk Management Program Leadership Roles | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PM-32 | Purposing | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PS Personnel Security · 4 | ||||
| PS-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PS-2 | Position Risk Designation | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PS-6 | Access Agreements | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PS-8 | Personnel Sanctions | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT PII Processing and Transparency · 8 | ||||
| PT-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-2 | Authority to Process Personally Identifiable Information | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-3 | Personally Identifiable Information Processing Purposes | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-4 | Consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-5 | Privacy Notice | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-6 | System of Records Notice | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-7 | Specific Categories of Personally Identifiable Information | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| PT-8 | Computer Matching Requirements | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| RA Risk Assessment · 2 | ||||
| RA-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| RA-6 | Technical Surveillance Countermeasures Survey | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SA System and Services Acquisition · 6 | ||||
| SA-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SA-2 | Allocation of Resources | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SA-16 | Developer-provided Training | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SA-20 | Customized Development of Critical Components | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SA-21 | Developer Screening | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SA-23 | Specialization | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC System and Communications Protection · 20 | ||||
| SC-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-3 | Security Function Isolation | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-17 | Public Key Infrastructure Certificates | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-25 | Thin Nodes | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-26 | Decoys | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-27 | Platform-independent Applications | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-29 | Heterogeneity | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-30 | Concealment and Misdirection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-31 | Covert Channel Analysis | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-37 | Out-of-band Channels | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-38 | Operations Security | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-41 | Port and I/O Device Access | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-42 | Sensor Capability and Data | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-44 | Detonation Chambers | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-46 | Cross Domain Policy Enforcement | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-47 | Alternate Communications Paths | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-48 | Sensor Relocation | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-50 | Software-enforced Separation and Policy Enforcement | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SC-51 | Hardware-based Protection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI System and Information Integrity · 11 | ||||
| SI-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-6 | Security and Privacy Function Verification | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-11 | Error Handling | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-14 | Non-persistence | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-15 | Information Output Filtering | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-17 | Fail-safe Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-19 | De-identification | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-20 | Tainting | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-21 | Information Refresh | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-22 | Information Diversity | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SI-23 | Information Fragmentation | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SR Supply Chain Risk Management · 4 | ||||
| SR-1 | Policy and Procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SR-4 | Provenance | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SR-7 | Supply Chain Operations Security | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
| SR-9 | Tamper Resistance and Detection | Sin correspondencia en nuestros datos | — | Sin correspondencia con CMMC en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (78)
| 800-53 | Requisito | Coincidencia | CMMC | Evidencia |
|---|---|---|---|---|
| AC Access Control · 5 | ||||
| AC-9 | Previous Logon Notification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia | |
| AC-10 | Concurrent Session Control | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| AC-14 | Permitted Actions Without Identification or Authentication | AC.L2-3.1.1IA.L2-3.5.1IA.L2-3.5.2+5 | Solo comparte subcategorías de CSF PR.AA-01: relacionado, no es una correspondencia | |
| AC-16 | Security and Privacy Attributes | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| AC-24 | Access Control Decisions | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| AU Audit and Accountability · 1 | ||||
| AU-16 | Cross-organizational Audit Logging | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | Solo comparte subcategorías de CSF PR.DS-02: relacionado, no es una correspondencia | |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-3 | Information Exchange | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| CA-9 | Internal System Connections | CA.L2-3.12.4 | Solo comparte subcategorías de CSF ID.AM-03: relacionado, no es una correspondencia | |
| CM Configuration Management · 4 | ||||
| CM-9 | Configuration Management Plan | CA.L2-3.12.4CM.L2-3.4.1CM.L2-3.4.2+5 | Solo comparte subcategorías de CSF ID.AM-08, PR.PS-01: relacionado, no es una correspondencia | |
| CM-10 | Software Usage Restrictions | CM.L2-3.4.9AU.L2-3.3.3CA.L2-3.12.3+5 | Solo comparte subcategorías de CSF DE.CM-03, DE.CM-09, PR.PS-01: relacionado, no es una correspondencia | |
| CM-12 | Information Location | MP.L2-3.8.4 | Solo comparte subcategorías de CSF ID.AM-07: relacionado, no es una correspondencia | |
| CM-13 | Data Action Mapping | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| CP Contingency Planning · 3 | ||||
| CP-2 | Contingency Plan | IR.L2-3.6.1MP.L2-3.8.9PE.L2-3.10.6 | Solo comparte subcategorías de CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.CO-04…: relacionado, no es una correspondencia | |
| CP-4 | Contingency Plan Testing | MP.L2-3.8.9 | Solo comparte subcategorías de CSF RC.RP-03: relacionado, no es una correspondencia | |
| CP-7 | Alternate Processing Site | IR.L2-3.6.1SC.L2-3.13.2 | Solo comparte subcategorías de CSF RC.RP-02, PR.IR-03: relacionado, no es una correspondencia | |
| IA Identification and Authentication · 5 | ||||
| IA-7 | Cryptographic Module Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-03: relacionado, no es una correspondencia | |
| IA-8 | Identification and Authentication (Non-organizational Users) | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-03: relacionado, no es una correspondencia | |
| IA-9 | Service Identification and Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-03: relacionado, no es una correspondencia | |
| IA-10 | Adaptive Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Solo comparte subcategorías de CSF PR.AA-01, PR.AA-03: relacionado, no es una correspondencia | |
| IA-13 | Identity Providers and Authorization Servers | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| MA Maintenance · 1 | ||||
| MA-6 | Timely Maintenance | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| MP Media Protection · 1 | ||||
| MP-8 | Media Downgrading | AC.L2-3.1.13MP.L2-3.8.5MP.L2-3.8.6+5 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| PE Physical and Environmental Protection · 9 | ||||
| PE-9 | Power Equipment and Cabling | PE.L2-3.10.6 | Solo comparte subcategorías de CSF PR.IR-02: relacionado, no es una correspondencia | |
| PE-10 | Emergency Shutoff | PE.L2-3.10.6 | Solo comparte subcategorías de CSF PR.IR-02: relacionado, no es una correspondencia | |
| PE-11 | Emergency Power | PE.L2-3.10.6 | Solo comparte subcategorías de CSF PR.IR-02: relacionado, no es una correspondencia | |
| PE-12 | Emergency Lighting | PE.L2-3.10.6 | Solo comparte subcategorías de CSF PR.IR-02: relacionado, no es una correspondencia | |
| PE-15 | Water Damage Protection | PE.L2-3.10.6 | Solo comparte subcategorías de CSF PR.IR-02: relacionado, no es una correspondencia | |
| PE-18 | Location of System Components | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Solo comparte subcategorías de CSF PR.AA-06: relacionado, no es una correspondencia | |
| PE-19 | Information Leakage | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Solo comparte subcategorías de CSF PR.AA-06: relacionado, no es una correspondencia | |
| PE-20 | Asset Monitoring and Tracking | PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4+5 | Solo comparte subcategorías de CSF DE.CM-02, PR.AA-06: relacionado, no es una correspondencia | |
| PE-23 | Facility Location | PE.L2-3.10.6 | Solo comparte subcategorías de CSF PR.IR-02: relacionado, no es una correspondencia | |
| PL Planning · 1 | ||||
| PL-8 | Security and Privacy Architectures | CA.L2-3.12.4 | Solo comparte subcategorías de CSF ID.AM-03: relacionado, no es una correspondencia | |
| PM Program Management · 9 | ||||
| PM-7 | Enterprise Architecture | CA.L2-3.12.4 | Solo comparte subcategorías de CSF ID.AM-03: relacionado, no es una correspondencia | |
| PM-11 | Mission and Business Process Definition | RA.L2-3.11.1 | Solo comparte subcategorías de CSF ID.RA-04: relacionado, no es una correspondencia | |
| PM-13 | Security and Privacy Workforce | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia | |
| PM-18 | Privacy Program Plan | RA.L2-3.11.1 | Solo comparte subcategorías de CSF GV.OC-02, GV.OV-01, GV.RM-06, GV.RM-07…: relacionado, no es una correspondencia | |
| PM-19 | Privacy Program Leadership Role | RA.L2-3.11.1 | Solo comparte subcategorías de CSF GV.OV-02, GV.SC-09: relacionado, no es una correspondencia | |
| PM-22 | Personally Identifiable Information Quality Management | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| PM-23 | Data Governance Body | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| PM-30 | Supply Chain Risk Management Strategy | RA.L2-3.11.1 | Solo comparte subcategorías de CSF GV.OC-02, GV.OV-01, GV.OV-02, GV.RM-06…: relacionado, no es una correspondencia | |
| PM-31 | Continuous Monitoring Strategy | RA.L2-3.11.1RA.L2-3.11.2RA.L2-3.11.3 | Solo comparte subcategorías de CSF GV.OV-01, GV.OV-02, GV.SC-03, GV.SC-09…: relacionado, no es una correspondencia | |
| PS Personnel Security · 2 | ||||
| PS-7 | External Personnel Security | CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6+4 | Solo comparte subcategorías de CSF DE.CM-06: relacionado, no es una correspondencia | |
| PS-9 | Position Descriptions | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Solo comparte subcategorías de CSF GV.RR-04: relacionado, no es una correspondencia | |
| RA Risk Assessment · 3 | ||||
| RA-8 | Privacy Impact Assessments | RA.L2-3.11.1 | Solo comparte subcategorías de CSF ID.RA-04: relacionado, no es una correspondencia | |
| RA-9 | Criticality Analysis | RA.L2-3.11.1MP.L2-3.8.4 | Solo comparte subcategorías de CSF GV.SC-04, GV.SC-07, ID.RA-04, ID.AM-05: relacionado, no es una correspondencia | |
| RA-10 | Threat Hunting | IR.L2-3.6.1RA.L2-3.11.1 | Solo comparte subcategorías de CSF DE.AE-06, DE.AE-07: relacionado, no es una correspondencia | |
| SA System and Services Acquisition · 6 | ||||
| SA-4 | Acquisition Process | RA.L2-3.11.1CA.L2-3.12.3CA.L2-3.12.4+5 | Solo comparte subcategorías de CSF GV.SC-05, GV.SC-06, GV.SC-07, GV.SC-09…: relacionado, no es una correspondencia | |
| SA-5 | System Documentation | AC.L2-3.1.20AC.L2-3.1.21RA.L2-3.11.1 | Solo comparte subcategorías de CSF ID.AM-02, ID.RA-09: relacionado, no es una correspondencia | |
| SA-10 | Developer Configuration Management | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4+3 | Solo comparte subcategorías de CSF PR.PS-02: relacionado, no es una correspondencia | |
| SA-17 | Developer Security and Privacy Architecture and Design | RA.L2-3.11.1SC.L2-3.13.2 | Solo comparte subcategorías de CSF ID.IM-01, ID.RA-09, PR.PS-06: relacionado, no es una correspondencia | |
| SA-22 | Unsupported System Components | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| SA-24 | Design For Cyber Resiliency | SC.L2-3.13.2 | Solo comparte subcategorías de CSF PR.IR-03, PR.PS-06: relacionado, no es una correspondencia | |
| SC System and Communications Protection · 15 | ||||
| SC-5 | Denial-of-service Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Solo comparte subcategorías de CSF DE.CM-01, PR.IR-01: relacionado, no es una correspondencia | |
| SC-6 | Resource Availability | SC.L2-3.13.2 | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| SC-11 | Trusted Path | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| SC-16 | Transmission of Security and Privacy Attributes | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | Solo comparte subcategorías de CSF PR.DS-02: relacionado, no es una correspondencia | |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Solo comparte subcategorías de CSF DE.CM-01, PR.IR-01: relacionado, no es una correspondencia | |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Solo comparte subcategorías de CSF DE.CM-01, PR.IR-01: relacionado, no es una correspondencia | |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Solo comparte subcategorías de CSF DE.CM-01, PR.IR-01: relacionado, no es una correspondencia | |
| SC-24 | Fail in Known State | SC.L2-3.13.2AC.L2-3.1.1AC.L2-3.1.2+5 | Solo comparte subcategorías de CSF PR.DS-10, PR.IR-03: relacionado, no es una correspondencia | |
| SC-32 | System Partitioning | MP.L2-3.8.9SC.L2-3.13.1SC.L2-3.13.2+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-10: relacionado, no es una correspondencia | |
| SC-34 | Non-modifiable Executable Programs | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia | |
| SC-35 | External Malicious Code Identification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Solo comparte subcategorías de CSF DE.CM-09: relacionado, no es una correspondencia | |
| SC-36 | Distributed Processing and Storage | SC.L2-3.13.2 | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| SC-39 | Process Isolation | SC.L2-3.13.2MP.L2-3.8.9SC.L2-3.13.1+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-10, PR.IR-03: relacionado, no es una correspondencia | |
| SC-40 | Wireless Link Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Solo comparte subcategorías de CSF PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| SC-43 | Usage Restrictions | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| SI System and Information Integrity · 4 | ||||
| SI-12 | Information Management and Retention | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| SI-13 | Predictable Failure Prevention | SC.L2-3.13.2 | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| SI-16 | Memory Protection | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.3+5 | Solo comparte subcategorías de CSF PR.DS-10: relacionado, no es una correspondencia | |
| SI-18 | Personally Identifiable Information Quality Operations | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| SR Supply Chain Risk Management · 7 | ||||
| SR-2 | Supply Chain Risk Management Plan | RA.L2-3.11.1AC.L2-3.1.20AC.L2-3.1.21+4 | Solo comparte subcategorías de CSF GV.SC-03, GV.SC-09, GV.SC-10, ID.AM-04: relacionado, no es una correspondencia | |
| SR-3 | Supply Chain Controls and Processes | RA.L2-3.11.1IR.L2-3.6.2IR.L2-3.6.1+3 | Solo comparte subcategorías de CSF GV.OC-02, GV.SC-03, GV.SC-05, GV.SC-07…: relacionado, no es una correspondencia | |
| SR-5 | Acquisition Strategies, Tools, and Methods | RA.L2-3.11.1CA.L2-3.12.4RA.L2-3.11.2+4 | Solo comparte subcategorías de CSF GV.OC-02, GV.SC-05, GV.SC-06, GV.SC-09…: relacionado, no es una correspondencia | |
| SR-8 | Notification Agreements | IR.L2-3.6.2IR.L2-3.6.1RA.L2-3.11.1+1 | Solo comparte subcategorías de CSF GV.SC-08, RC.CO-03, RS.CO-02, RS.CO-03…: relacionado, no es una correspondencia | |
| SR-10 | Inspection of Systems or Components | RA.L2-3.11.1 | Solo comparte subcategorías de CSF GV.SC-05, ID.RA-09: relacionado, no es una correspondencia | |
| SR-11 | Component Authenticity | RA.L2-3.11.1 | Solo comparte subcategorías de CSF ID.RA-09: relacionado, no es una correspondencia | |
| SR-12 | Component Disposal | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
Correspondencia (114)
| 800-53 | Requisito | Coincidencia | CMMC | Evidencia |
|---|---|---|---|---|
| AC Access Control · 14 | ||||
| AC-2 | Account Management | Correspondencia | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.3 | Mismo tema: Control de acceso |
| AC-3 | Access Enforcement | Correspondencia | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.1+2 | Mismo tema: Control de acceso, Confianza cero |
| AC-4 | Information Flow Enforcement | Correspondencia | AC.L2-3.1.1AC.L2-3.1.3SC.L2-3.13.1+3 | Mismo tema: Confianza cero, DLP, Cortafuegos / Segmentación de red |
| AC-5 | Separation of Duties | Correspondencia | AC.L2-3.1.4SC.L2-3.13.3 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC-6 | Least Privilege | Correspondencia | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+5 | Mismo tema: Confianza cero |
| AC-7 | Unsuccessful Logon Attempts | Correspondencia | AC.L2-3.1.8 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC-8 | System Use Notification | Correspondencia | AC.L2-3.1.9 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC-11 | Device Lock | Correspondencia | AC.L2-3.1.10 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC-12 | Session Termination | Correspondencia | AC.L2-3.1.11 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC-17 | Remote Access | Correspondencia | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.12+4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC-18 | Wireless Access | Correspondencia | AC.L2-3.1.16AC.L2-3.1.17 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC-19 | Access Control for Mobile Devices | Correspondencia | AC.L2-3.1.18AC.L2-3.1.19 | Mismo tema: Seguridad móvil |
| AC-20 | Use of External Systems | Correspondencia | AC.L2-3.1.20AC.L2-3.1.21 | Mismo tema: Seguridad en la nube |
| AC-22 | Publicly Accessible Content | Correspondencia | AC.L2-3.1.22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 2 | ||||
| AT-2 | Literacy Training and Awareness | Correspondencia | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Mismo tema: Concienciación y formación |
| AT-3 | Role-based Training | Correspondencia | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Mismo tema: Concienciación y formación |
| AU Audit and Accountability · 10 | ||||
| AU-2 | Event Logging | Correspondencia | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Mismo tema: Registro y auditoría |
| AU-3 | Content of Audit Records | Correspondencia | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Mismo tema: Registro y auditoría |
| AU-5 | Response to Audit Logging Process Failures | Correspondencia | AU.L2-3.3.4 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU-6 | Audit Record Review, Analysis, and Reporting | Correspondencia | AU.L2-3.3.5SI.L2-3.14.7AU.L2-3.3.1+1 | Mismo tema: SIEM / SOC, Detección de anomalías |
| AU-7 | Audit Record Reduction and Report Generation | Correspondencia | AU.L2-3.3.6 | Mismo tema: Análisis forense |
| AU-8 | Time Stamps | Correspondencia | AU.L2-3.3.7 | NIST SP 800-171r3 03.03.07 → SP 800-53 |
| AU-9 | Protection of Audit Information | Correspondencia | AC.L2-3.1.5AU.L2-3.3.8AU.L2-3.3.9+2 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU-11 | Audit Record Retention | Correspondencia | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Mismo tema: Registro y auditoría |
| AU-12 | Audit Record Generation | Correspondencia | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Mismo tema: Registro y auditoría |
| AU-13 | Monitoring for Information Disclosure | Editorial | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Mismo tema: Amenaza interna (selección editorial) |
| CA Assessment, Authorization and Monitoring · 4 | ||||
| CA-2 | Control Assessments | Correspondencia | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | Mismo tema: Cumplimiento (selección editorial) |
| CA-5 | Plan of Action and Milestones | Correspondencia | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA-7 | Continuous Monitoring | Correspondencia | SI.L2-3.14.6SI.L2-3.14.7CA.L2-3.12.1+4 | Mismo tema: Monitoreo cont. |
| CA-8 | Penetration Testing | Correspondencia | RA.L2-3.11.2RA.L2-3.11.3 | Mismo tema: Gestión de vulnerabilidades |
| CM Configuration Management · 8 | ||||
| CM-2 | Baseline Configuration | Correspondencia | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+1 | Mismo tema: Configuración segura |
| CM-3 | Configuration Change Control | Correspondencia | CM.L2-3.4.3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM-4 | Impact Analyses | Correspondencia | CM.L2-3.4.4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM-5 | Access Restrictions for Change | Correspondencia | CM.L2-3.4.5 | NIST SP 800-171r3 03.04.05 → SP 800-53 |
| CM-6 | Configuration Settings | Correspondencia | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+2 | Mismo tema: Configuración segura |
| CM-7 | Least Functionality | Correspondencia | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+3 | Mismo tema: Configuración segura |
| CM-8 | System Component Inventory | Correspondencia | CM.L2-3.4.1CM.L2-3.4.2 | Mismo tema: Gestión de activos |
| CM-11 | User-installed Software | Correspondencia | CM.L2-3.4.9 | NIST SP 800-171r2 Appendix D |
| CP Contingency Planning · 3 | ||||
| CP-6 | Alternate Storage Site | Correspondencia | MP.L2-3.8.9 | Mismo tema: Copias de seguridad y recuperación |
| CP-9 | System Backup | Correspondencia | MP.L2-3.8.9 | Mismo tema: Copias de seguridad y recuperación |
| CP-10 | System Recovery and Reconstitution | Correspondencia | IR.L2-3.6.2 | Mismo tema: Comunicaciones y restauración |
| IA Identification and Authentication · 6 | ||||
| IA-2 | Identification and Authentication (Organizational Users) | Correspondencia | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+3 | Mismo tema: Confianza cero |
| IA-3 | Device Identification and Authentication | Correspondencia | IA.L2-3.5.1IA.L2-3.5.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA-4 | Identifier Management | Correspondencia | IA.L2-3.5.5IA.L2-3.5.6 | NIST SP 800-171r3 03.05.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA-5 | Authenticator Management | Correspondencia | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.7+3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA-6 | Authentication Feedback | Correspondencia | IA.L2-3.5.11 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IA-11 | Re-authentication | Correspondencia | IA.L2-3.5.1 | NIST SP 800-171r3 03.05.01 → SP 800-53 |
| IR Incident Response · 7 | ||||
| IR-2 | Incident Response Training | Correspondencia | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | Mismo tema: Respuesta a incidentes (selección editorial) |
| IR-3 | Incident Response Testing | Editorial | IR.L2-3.6.1IR.L2-3.6.3 | Mismo tema: Respuesta a incidentes (selección editorial) |
| IR-4 | Incident Handling | Correspondencia | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | Mismo tema: Respuesta a incidentes, Mitigación, Lecciones aprendidas |
| IR-5 | Incident Monitoring | Correspondencia | AU.L2-3.3.5IR.L2-3.6.1IR.L2-3.6.2 | Mismo tema: SIEM / SOC |
| IR-6 | Incident Reporting | Correspondencia | IR.L2-3.6.2IR.L2-3.6.1 | Mismo tema: Notificación, Comunicaciones y restauración |
| IR-7 | Incident Response Assistance | Correspondencia | IR.L2-3.6.2IR.L2-3.6.1 | Mismo tema: Comunicación |
| IR-8 | Incident Response Plan | Correspondencia | IR.L2-3.6.1IR.L2-3.6.3 | Mismo tema: Respuesta a incidentes |
| MA Maintenance · 4 | ||||
| MA-2 | Controlled Maintenance | Correspondencia | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.3 | NIST SP 800-171r2 Appendix D |
| MA-3 | Maintenance Tools | Correspondencia | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA-4 | Nonlocal Maintenance | Correspondencia | MA.L2-3.7.5 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA-5 | Maintenance Personnel | Correspondencia | MA.L2-3.7.2MA.L2-3.7.6 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 6 | ||||
| MP-2 | Media Access | Correspondencia | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.02 → SP 800-53 |
| MP-3 | Media Marking | Correspondencia | MP.L2-3.8.4 | NIST SP 800-171r3 03.08.04 → SP 800-53 |
| MP-4 | Media Storage | Correspondencia | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r3 03.08.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-5 | Media Transport | Correspondencia | MP.L2-3.8.5 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP-6 | Media Sanitization | Correspondencia | MA.L2-3.7.3MP.L2-3.8.1MP.L2-3.8.2+1 | NIST SP 800-171r3 03.08.03 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-7 | Media Use | Correspondencia | MP.L2-3.8.7MP.L2-3.8.8 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| PE Physical and Environmental Protection · 9 | ||||
| PE-2 | Physical Access Authorizations | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mismo tema: Seguridad física |
| PE-3 | Physical Access Control | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mismo tema: Seguridad física |
| PE-4 | Access Control for Transmission | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2 | NIST SP 800-171r2 Appendix D |
| PE-5 | Access Control for Output Devices | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.10.07 → SP 800-53 |
| PE-6 | Monitoring Physical Access | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mismo tema: Seguridad física |
| PE-8 | Visitor Access Records | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mismo tema: Seguridad física |
| PE-13 | Fire Protection | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mismo tema: Seguridad física |
| PE-14 | Environmental Controls | Correspondencia | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mismo tema: Seguridad física |
| PE-17 | Alternate Work Site | Correspondencia | PE.L2-3.10.6 | NIST SP 800-171r3 03.10.06 → SP 800-53 |
| PL Planning · 1 | ||||
| PL-2 | System Security and Privacy Plans | Correspondencia | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D |
| PM Program Management · 8 | ||||
| PM-4 | Plan of Action and Milestones Process | Editorial | CA.L2-3.12.1 | Mismo tema: Cumplimiento (selección editorial) |
| PM-5 | System Inventory | Correspondencia | CM.L2-3.4.1 | Mismo tema: Gestión de activos |
| PM-6 | Measures of Performance | Editorial | CA.L2-3.12.1 | Mismo tema: Cumplimiento (selección editorial) |
| PM-9 | Risk Management Strategy | Correspondencia | RA.L2-3.11.1 | Mismo tema: Gestión de riesgos |
| PM-12 | Insider Threat Program | Editorial | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Mismo tema: Amenaza interna (selección editorial) |
| PM-15 | Security and Privacy Groups and Associations | Correspondencia | SI.L2-3.14.3 | Mismo tema: Inteligencia de amenazas |
| PM-16 | Threat Awareness Program | Correspondencia | SI.L2-3.14.3 | Mismo tema: Inteligencia de amenazas |
| PM-28 | Risk Framing | Correspondencia | RA.L2-3.11.1 | Mismo tema: Gestión de riesgos |
| PS Personnel Security · 3 | ||||
| PS-3 | Personnel Screening | Correspondencia | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r3 03.09.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| PS-4 | Personnel Termination | Correspondencia | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| PS-5 | Personnel Transfer | Correspondencia | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 4 | ||||
| RA-2 | Security Categorization | Editorial | MP.L2-3.8.4 | Mismo tema: Clasificación de datos (selección editorial) |
| RA-3 | Risk Assessment | Correspondencia | RA.L2-3.11.1 | Mismo tema: Evaluación de riesgos |
| RA-5 | Vulnerability Monitoring and Scanning | Correspondencia | RA.L2-3.11.2RA.L2-3.11.3 | Mismo tema: Gestión de vulnerabilidades |
| RA-7 | Risk Response | Correspondencia | RA.L2-3.11.1 | Mismo tema: Gestión de riesgos, Evaluación de riesgos |
| SA System and Services Acquisition · 5 | ||||
| SA-3 | System Development Life Cycle | Correspondencia | SC.L2-3.13.2 | Mismo tema: Desarrollo seguro |
| SA-8 | Security and Privacy Engineering Principles | Correspondencia | SC.L2-3.13.2SC.L2-3.13.1 | Mismo tema: Desarrollo seguro |
| SA-9 | External System Services | Correspondencia | AC.L2-3.1.20 | Mismo tema: Seguridad en la nube |
| SA-11 | Developer Testing and Evaluation | Correspondencia | SC.L2-3.13.2 | Mismo tema: Desarrollo seguro |
| SA-15 | Development Process, Standards, and Tools | Correspondencia | SC.L2-3.13.2 | Mismo tema: Desarrollo seguro |
| SC System and Communications Protection · 12 | ||||
| SC-2 | Separation of System and User Functionality | Correspondencia | SC.L2-3.13.3 | NIST SP 800-171r2 Appendix D |
| SC-4 | Information in Shared System Resources | Correspondencia | SC.L2-3.13.4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC-7 | Boundary Protection | Correspondencia | SC.L2-3.13.1SC.L2-3.13.5SC.L2-3.13.6+2 | Mismo tema: Cortafuegos / Segmentación de red, Seguridad web |
| SC-8 | Transmission Confidentiality and Integrity | Correspondencia | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+5 | Mismo tema: Cifrado |
| SC-10 | Network Disconnect | Correspondencia | SC.L2-3.13.9 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC-12 | Cryptographic Key Establishment and Management | Correspondencia | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | Mismo tema: Cifrado |
| SC-13 | Cryptographic Protection | Correspondencia | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | Mismo tema: Cifrado |
| SC-15 | Collaborative Computing Devices and Applications | Correspondencia | SC.L2-3.13.12 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC-18 | Mobile Code | Correspondencia | SC.L2-3.13.13 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC-23 | Session Authenticity | Correspondencia | SC.L2-3.13.15 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC-28 | Protection of Information at Rest | Correspondencia | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+6 | Mismo tema: Cifrado |
| SC-45 | System Time Synchronization | Correspondencia | AU.L2-3.3.7 | NIST SP 800-171r2 Appendix D |
| SI System and Information Integrity · 7 | ||||
| SI-2 | Flaw Remediation | Correspondencia | SI.L2-3.14.1SI.L2-3.14.2SI.L2-3.14.3 | Mismo tema: Gestión de parches |
| SI-3 | Malicious Code Protection | Correspondencia | SI.L2-3.14.2SI.L2-3.14.4SI.L2-3.14.1+2 | Mismo tema: Protección de endpoints, Seguridad del correo electrónico |
| SI-4 | System Monitoring | Correspondencia | SI.L2-3.14.6SI.L2-3.14.7SI.L2-3.14.2+1 | Mismo tema: Monitoreo cont., Detección de intrusiones, Detección de anomalías, Protección de endpoints |
| SI-5 | Security Alerts, Advisories, and Directives | Correspondencia | SI.L2-3.14.3SI.L2-3.14.1SI.L2-3.14.2 | Mismo tema: Inteligencia de amenazas |
| SI-7 | Software, Firmware, and Information Integrity | Correspondencia | SC.L2-3.13.16MP.L2-3.8.3 | Mismo tema: Protección de datos |
| SI-8 | Spam Protection | Editorial | SI.L2-3.14.2 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| SI-10 | Information Input Validation | Editorial | SC.L2-3.13.1 | Mismo tema: Seguridad web (selección editorial) |
| SR Supply Chain Risk Management · 1 | ||||
| SR-6 | Supplier Assessments and Reviews | Correspondencia | RA.L2-3.11.1 | NIST SP 800-171r3 03.11.01 → SP 800-53 |
Tiene 800-53 → necesita CMMC
110 req. 109 asignados · · 1 sin asignación Abrir en vista de brechas →De los 110 requisitos de CMMC Level 2, 109 se corresponden con algo en 800-53, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de CMMC sin correspondencia con 800-53 (1)
| CMMC | Requisito | Coincidencia | 800-53 | Evidencia |
|---|---|---|---|---|
| SC System and Communications Protection · 1 | ||||
| SC.L2-3.13.14 | Voice over Internet Protocol | Sin correspondencia en nuestros datos | — | Sin correspondencia con 800-53 en nuestros datos. |
Correspondencia (109)
| CMMC | Requisito | Coincidencia | 800-53 | Evidencia |
|---|---|---|---|---|
| AC Access Control · 22 | ||||
| AC.L2-3.1.1 | Authorized Access Control | Correspondencia | AC-2AC-3AC-4+3 | Mismo tema: Control de acceso, Confianza cero |
| AC.L2-3.1.2 | Transaction & Function Control | Correspondencia | AC-2AC-3AC-17 | Mismo tema: Control de acceso |
| AC.L2-3.1.3 | Control CUI Flow | Correspondencia | AC-4SC-7(10) | Mismo tema: DLP |
| AC.L2-3.1.4 | Separation of Duties | Correspondencia | AC-5 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC.L2-3.1.5 | Least Privilege | Correspondencia | AC-2(7)AC-6(5)AC-6+1 | Mismo tema: Acceso privilegiado |
| AC.L2-3.1.6 | Non-Privileged Account Use | Correspondencia | AC-2(7)AC-6(5)AC-6 | Mismo tema: Acceso privilegiado |
| AC.L2-3.1.7 | Privileged Functions | Correspondencia | AC-2(7)AC-6(5)AC-6 | Mismo tema: Acceso privilegiado |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | Correspondencia | AC-7 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC.L2-3.1.9 | Privacy & Security Notices | Correspondencia | AC-8 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC.L2-3.1.10 | Session Lock | Correspondencia | AC-11 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC.L2-3.1.11 | Session Termination | Correspondencia | AC-12 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC.L2-3.1.12 | Control Remote Access | Correspondencia | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Correspondencia | SC-8SC-12SC-13+2 | Mismo tema: Cifrado |
| AC.L2-3.1.14 | Remote Access Routing | Correspondencia | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.15 | Privileged Remote Access | Correspondencia | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.16 | Wireless Access Authorization | Correspondencia | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.17 | Wireless Access Protection | Correspondencia | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.18 | Mobile Device Connection | Correspondencia | AC-19AC-19(5) | Mismo tema: Seguridad móvil |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Correspondencia | AC-19AC-19(5)SC-8+3 | Mismo tema: Seguridad móvil, Cifrado |
| AC.L2-3.1.20 | External Connections | Correspondencia | AC-20SA-9 | Mismo tema: Seguridad en la nube |
| AC.L2-3.1.21 | Portable Storage Use | Correspondencia | AC-20 | NIST SP 800-171r3 03.01.20 → SP 800-53 |
| AC.L2-3.1.22 | Control Public Information | Correspondencia | AC-22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 3 | ||||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Correspondencia | AT-2AT-3 | Mismo tema: Concienciación y formación |
| AT.L2-3.2.2 | Role-Based Training | Correspondencia | AT-2AT-3 | Mismo tema: Concienciación y formación |
| AT.L2-3.2.3 | Insider Threat Awareness | Correspondencia | AT-2AT-3AC-2(12)+2 | Mismo tema: Concienciación y formación, Amenaza interna |
| AU Audit and Accountability · 9 | ||||
| AU.L2-3.3.1 | System Auditing | Correspondencia | AU-2AU-3AU-11+2 | Mismo tema: Registro y auditoría |
| AU.L2-3.3.2 | User Accountability | Correspondencia | AU-2AU-3AU-11+5 | Mismo tema: Registro y auditoría |
| AU.L2-3.3.3 | Event Review | Correspondencia | AU-2AU-11AU-12 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.03.03 → SP 800-53 |
| AU.L2-3.3.4 | Audit Failure Alerting | Correspondencia | AU-5 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU.L2-3.3.5 | Audit Correlation | Correspondencia | AU-6AU-6(3)IR-5 | Mismo tema: SIEM / SOC |
| AU.L2-3.3.6 | Reduction & Reporting | Correspondencia | AU-7SI-2(7) | Mismo tema: Análisis forense |
| AU.L2-3.3.7 | Authoritative Time Source | Correspondencia | AU-2AU-3AU-11+3 | Mismo tema: Registro y auditoría (selección editorial) |
| AU.L2-3.3.8 | Audit Protection | Correspondencia | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU.L2-3.3.9 | Audit Management | Correspondencia | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| CA Security Assessment · 4 | ||||
| CA.L2-3.12.1 | Security Control Assessment | Correspondencia | CA-2PM-4PM-6+3 | Mismo tema: Cumplimiento (selección editorial) |
| CA.L2-3.12.2 | Plan of Action | Correspondencia | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA.L2-3.12.3 | Security Control Monitoring | Correspondencia | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.03 → SP 800-53 |
| CA.L2-3.12.4 | System Security Plan | Correspondencia | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D |
| CM Configuration Management · 9 | ||||
| CM.L2-3.4.1 | System Baselining | Correspondencia | CM-2CM-6CM-7+2 | Mismo tema: Configuración segura |
| CM.L2-3.4.2 | Security Configuration Enforcement | Correspondencia | CM-2CM-6CM-7+1 | Mismo tema: Configuración segura |
| CM.L2-3.4.3 | System Change Management | Correspondencia | CM-3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM.L2-3.4.4 | Security Impact Analysis | Correspondencia | CM-4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM.L2-3.4.5 | Access Restrictions for Change | Correspondencia | CM-5CM-7(5) | NIST SP 800-171r3 03.04.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| CM.L2-3.4.6 | Least Functionality | Correspondencia | CM-2CM-6CM-7 | Mismo tema: Configuración segura |
| CM.L2-3.4.7 | Nonessential Functionality | Correspondencia | CM-2CM-6CM-7+1 | Mismo tema: Configuración segura |
| CM.L2-3.4.8 | Application Execution Policy | Correspondencia | CM-7CM-7(5) | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.04.08 → SP 800-53 |
| CM.L2-3.4.9 | User-Installed Software | Correspondencia | AC-6AC-6(5)AU-9+3 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.01.06 → SP 800-53 |
| IA Identification and Authentication · 11 | ||||
| IA.L2-3.5.1 | Identification | Correspondencia | IA-2IA-3IA-5+1 | NIST SP 800-171r3 03.05.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.2 | Authentication | Correspondencia | IA-2IA-3IA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA.L2-3.5.3 | Multifactor Authentication | Correspondencia | IA-2(1)IA-2(2) | Mismo tema: Autenticación multifactor |
| IA.L2-3.5.4 | Replay-Resistant Authentication | Correspondencia | IA-2 | NIST SP 800-171r3 03.05.04 → SP 800-53 |
| IA.L2-3.5.5 | Identifier Reuse | Correspondencia | IA-4 | NIST SP 800-171r3 03.05.05 → SP 800-53 |
| IA.L2-3.5.6 | Identifier Handling | Correspondencia | IA-4 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.7 | Password Complexity | Correspondencia | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.8 | Password Reuse | Correspondencia | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.9 | Temporary Passwords | Correspondencia | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | Correspondencia | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.11 | Obscure Feedback | Correspondencia | IA-6 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IR Incident Response · 3 | ||||
| IR.L2-3.6.1 | Incident Handling | Correspondencia | IR-4IR-8IR-2+4 | Mismo tema: Respuesta a incidentes, Mitigación, Lecciones aprendidas |
| IR.L2-3.6.2 | Incident Reporting | Correspondencia | CP-10IR-6IR-7+3 | Mismo tema: Comunicaciones y restauración, Notificación, Comunicación |
| IR.L2-3.6.3 | Incident Response Testing | Editorial | IR-2IR-3IR-4+1 | Mismo tema: Respuesta a incidentes (selección editorial) |
| MA Maintenance · 6 | ||||
| MA.L2-3.7.1 | Perform Maintenance | Correspondencia | MA-2MA-3 | NIST SP 800-171r2 Appendix D |
| MA.L2-3.7.2 | System Maintenance Control | Correspondencia | MA-2MA-3MA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53; NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MA.L2-3.7.3 | Equipment Sanitization | Correspondencia | MA-2MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.03 → SP 800-53 |
| MA.L2-3.7.4 | Media Inspection | Correspondencia | MA-3 | NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA.L2-3.7.5 | Nonlocal Maintenance | Correspondencia | MA-4 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA.L2-3.7.6 | Maintenance Personnel | Correspondencia | MA-5 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 9 | ||||
| MP.L2-3.8.1 | Media Protection | Correspondencia | MP-2MP-4MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.01 → SP 800-53 |
| MP.L2-3.8.2 | Media Access | Correspondencia | MP-2MP-4MP-6 | NIST SP 800-171r3 03.08.02 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP.L2-3.8.3 | Media Disposal | Correspondencia | SC-8SC-28SI-7+3 | Mismo tema: Protección de datos (selección editorial) |
| MP.L2-3.8.4 | Media Markings | Correspondencia | RA-2MP-3 | Mismo tema: Clasificación de datos (selección editorial) |
| MP.L2-3.8.5 | Media Accountability | Correspondencia | MP-5SC-28 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP.L2-3.8.6 | Portable Storage Encryption | Correspondencia | SC-8SC-12SC-13+1 | Mismo tema: Cifrado |
| MP.L2-3.8.7 | Removable Media | Correspondencia | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.8 | Shared Media | Correspondencia | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.9 | Protect Backups | Correspondencia | CP-6CP-9 | Mismo tema: Copias de seguridad y recuperación |
| PE Physical Protection · 6 | ||||
| PE.L2-3.10.1 | Limit Physical Access | Correspondencia | PE-2PE-3PE-6+5 | Mismo tema: Seguridad física |
| PE.L2-3.10.2 | Monitor Facility | Correspondencia | PE-2PE-3PE-6+5 | Mismo tema: Seguridad física |
| PE.L2-3.10.3 | Escort Visitors | Correspondencia | PE-2PE-3PE-6+4 | Mismo tema: Seguridad física |
| PE.L2-3.10.4 | Physical Access Logs | Correspondencia | PE-2PE-3PE-6+4 | Mismo tema: Seguridad física |
| PE.L2-3.10.5 | Manage Physical Access | Correspondencia | PE-2PE-3PE-6+4 | Mismo tema: Seguridad física |
| PE.L2-3.10.6 | Alternative Work Sites | Correspondencia | PE-2PE-3PE-6+4 | Mismo tema: Seguridad física (selección editorial) |
| PS Personnel Security · 2 | ||||
| PS.L2-3.9.1 | Screen Individuals | Correspondencia | AC-2(12)AU-13PM-12+3 | Mismo tema: Amenaza interna (selección editorial) |
| PS.L2-3.9.2 | Personnel Actions | Correspondencia | PS-3PS-4PS-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 3 | ||||
| RA.L2-3.11.1 | Risk Assessments | Correspondencia | PM-9PM-28RA-3+2 | Mismo tema: Gestión de riesgos, Evaluación de riesgos |
| RA.L2-3.11.2 | Vulnerability Scan | Correspondencia | CA-8RA-5 | Mismo tema: Gestión de vulnerabilidades |
| RA.L2-3.11.3 | Vulnerability Remediation | Correspondencia | CA-8RA-5 | Mismo tema: Gestión de vulnerabilidades |
| SC System and Communications Protection · 15 | ||||
| SC.L2-3.13.1 | Boundary Protection | Correspondencia | AC-3AC-4AC-6+4 | Mismo tema: Confianza cero, Cortafuegos / Segmentación de red |
| SC.L2-3.13.2 | Security Engineering | Correspondencia | SA-3SA-8SA-11+2 | Mismo tema: Desarrollo seguro |
| SC.L2-3.13.3 | Role Separation | Correspondencia | AC-2AC-3AC-4+5 | NIST SP 800-171r3 03.01.01 → SP 800-53; NIST SP 800-171r3 03.01.02 → SP 800-53; NIST SP 800-171r3 03.01.03 → SP 800-53 |
| SC.L2-3.13.4 | Shared Resource Control | Correspondencia | SC-4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC.L2-3.13.5 | Public-Access System Separation | Correspondencia | AC-4SC-7 | Mismo tema: Cortafuegos / Segmentación de red |
| SC.L2-3.13.6 | Network Communication by Exception | Correspondencia | AC-3AC-4AC-6+2 | Mismo tema: Confianza cero, Cortafuegos / Segmentación de red |
| SC.L2-3.13.7 | Split Tunneling | Correspondencia | AC-17CM-6CM-7+1 | NIST SP 800-171r3 03.01.12 → SP 800-53; NIST SP 800-171r3 03.04.02 → SP 800-53; NIST SP 800-171r3 03.04.06 → SP 800-53 |
| SC.L2-3.13.8 | Data in Transit | Correspondencia | SC-8SC-12SC-13+1 | Mismo tema: Cifrado |
| SC.L2-3.13.9 | Connections Termination | Correspondencia | SC-10 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC.L2-3.13.10 | Key Management | Correspondencia | SC-8SC-12SC-13+1 | Mismo tema: Cifrado |
| SC.L2-3.13.11 | CUI Encryption | Correspondencia | SC-8SC-12SC-13+1 | Mismo tema: Cifrado |
| SC.L2-3.13.12 | Collaborative Device Control | Correspondencia | SC-15 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC.L2-3.13.13 | Mobile Code | Correspondencia | SC-18 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC.L2-3.13.15 | Communications Authenticity | Correspondencia | SC-23 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC.L2-3.13.16 | Data at Rest | Correspondencia | SC-8SC-12SC-13+2 | Mismo tema: Cifrado, Protección de datos |
| SI System and Information Integrity · 7 | ||||
| SI.L2-3.14.1 | Flaw Remediation | Correspondencia | SI-2SI-3SI-5 | Mismo tema: Gestión de parches |
| SI.L2-3.14.2 | Malicious Code Protection | Correspondencia | SI-3CM-7(5)SI-4+3 | Mismo tema: Protección de endpoints, Seguridad del correo electrónico |
| SI.L2-3.14.3 | Security Alerts & Advisories | Correspondencia | PM-15PM-16SI-5+2 | Mismo tema: Inteligencia de amenazas |
| SI.L2-3.14.4 | Update Malicious Code Protection | Editorial | CM-7(5)SI-3SI-4 | Mismo tema: Protección de endpoints (selección editorial) |
| SI.L2-3.14.5 | System & File Scanning | Correspondencia | SI-3 | NIST SP 800-171r3 03.14.02 → SP 800-53 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Correspondencia | CA-7SI-4 | Mismo tema: Monitoreo cont., Detección de intrusiones |
| SI.L2-3.14.7 | Identify Unauthorized Use | Correspondencia | AU-6CA-7SI-4 | Mismo tema: Detección de anomalías, Monitoreo cont. |
Por tema
Ambos cubren (39):
Concienciación y formaciónGestión de riesgosCumplimientoGestión de activosEvaluación de riesgosClasificación de datosGestión de vulnerabilidadesInteligencia de amenazasControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad en la nubeDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseComunicaciónMitigaciónNotificaciónLecciones aprendidasComunicaciones y restauraciónAmenaza internaSeguridad física
Solo 800-53 (11):
Preguntas
¿Es CMMC Nivel 2 lo mismo que NIST SP 800-171?
El Nivel 2 son los 110 requisitos de SP 800-171 Revisión 2, con los nombres de prácticas y las reglas de evaluación del DoD. NIST ha publicado después la Revisión 3, pero CMMC sigue vinculado a la Revisión 2 hasta que el DoD modifique la normativa.
Si cumplimos 800-53 Moderate, ¿estamos listos para CMMC Nivel 2?
En lo esencial, en gran medida: casi todas las prácticas de Nivel 2 se rastrean hasta un control de 800-53. Aun así, necesita una evaluación CMMC, sus evidencias en el formato de la evaluación y un Plan de Seguridad del Sistema delimitado al CUI.
¿Qué puntuación necesita para CMMC Nivel 2?
Cada uno de los 110 requisitos se puntúa según la metodología de evaluación del DoD, con una puntuación máxima de 110. Un estado de Nivel 2 condicionado, con un plan de acción, exige una puntuación mínima que fija la normativa CMMC, y algunos requisitos no pueden quedar abiertos.
¿La autorización FedRAMP cubre CMMC?
No automáticamente. FedRAMP cubre los controles de un servicio cloud; CMMC evalúa el entorno del contratista que maneja CUI. Sin embargo, un servicio cloud Moderate de FedRAMP puede aportar controles heredados para el alcance CMMC del contratista.
¿CMMC pasará a SP 800-171 Revisión 3?
CMMC Nivel 2 está actualmente vinculado a la Revisión 2. El DoD ha indicado que cualquier cambio se haría mediante un proceso normativo; hasta entonces, evalúe según la Revisión 2.
¿Cuál es la diferencia entre CMMC Nivel 1, 2 y 3?
El Nivel 1 cubre la protección básica de la información de contratos federales (17 requisitos, con autoevaluación). El Nivel 2 cubre la CUI con los 110 requisitos de SP 800-171 Rev 2. El Nivel 3 añade requisitos seleccionados de SP 800-172 para los programas más sensibles, evaluados por el gobierno.
¿Quién puede realizar una evaluación de certificación CMMC Nivel 2?
Una organización autorizada de evaluación de terceros de CMMC (C3PAO), con evaluadores certificados.
¿También necesitan CMMC los subcontratistas?
Sí, cuando procesan, almacenan o transmiten CUI o información de contratos federales en virtud del contrato. Los contratistas principales deben trasladar los requisitos CMMC pertinentes a sus subcontratistas en el nivel que corresponda.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.