CMMC Level 2 rattaché à SP 800-53 : ce que révèle l'annexe D du NIST

Le programme CMMC du ministère américain de la Défense (DoD) se déploie désormais via les contrats de défense, et le niveau 2 concerne la plupart des sous-traitants qui traitent des informations non classifiées contrôlées (CUI). Le niveau 2 correspond aux 110 exigences de sécurité de NIST SP 800-171 Revision 2, lesquelles ont été dérivées de SP 800-53, le catalogue fédéral de contrôles. Le NIST a documenté précisément comment, dans l'annexe D de SP 800-171 Rev 2.

Cette correspondance est le document unique le plus utile pour un sous-traitant qui applique déjà 800-53, et c'est le pivot par lequel ControlMapping relie CMMC à tout le reste.

Degré de complétude de la traçabilité

Sur les 110 pratiques CMMC, 109 (99%) correspondent à un élément de 800-53, 0 sont seulement faiblement liés et 1 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Toutes les pratiques CMMC Level 2 sauf une correspondent à un contrôle SP 800-53 référencé sur ce site. Les liens proviennent de l'annexe D elle-même, publiée par le NIST ; ils sont donc étiquetés « Correspondance ».

Par famille

Section CMMC	Mis en correspondance	Faiblement liés	Aucune correspondance
AC Access Control	22 sur 22	0	0
AT Awareness and Training	3 sur 3	0	0
AU Audit and Accountability	9 sur 9	0	0
CA Security Assessment	4 sur 4	0	0
CM Configuration Management	9 sur 9	0	0
IA Identification and Authentication	11 sur 11	0	0
IR Incident Response	3 sur 3	0	0
MA Maintenance	6 sur 6	0	0
MP Media Protection	9 sur 9	0	0
PE Physical Protection	6 sur 6	0	0
PS Personnel Security	2 sur 2	0	0
RA Risk Assessment	3 sur 3	0	0
SC System and Communications Protection	15 sur 16	0	1
SI System and Information Integrity	7 sur 7	0	0

Avoir 800-53, viser CMMC. Exigence par exigence : ouvrir le rapport d'écarts →

Fonctionnement de l'annexe D

L'annexe D comporte un tableau pour chacune des 14 familles d'exigences, listant chaque exigence à côté des contrôles 800-53 dont elle est issue. Deux points sont importants lorsque vous l'utilisez :

• Les exigences de base sont mises en correspondance conjointement. Dans chaque famille, les exigences « de base » (issues de FIPS 200) partagent une cellule fusionnée de contrôles 800-53. Par exemple, 3.1.1 et 3.1.2 remontent toutes deux à AC-2, AC-3 et AC-17. Les exigences « dérivées » ont leurs propres lignes.
• Les identifiants sont ceux de SP 800-53 Revision 4. La plupart sont repris sans changement dans la Revision 5. Sept ont été retirés dans la Rev 5 et intégrés à d'autres contrôles ; le catalogue Rev 5 du NIST indique où chacun a été transféré (par exemple, AU-8(1) est passé à SC-45(1), et MP-5(4) a été intégré à SC-28(1)). Nous suivons ces liens.

La seule pratique sans correspondance

SC.L2-3.13.14 impose de contrôler et de surveiller la voix sur IP (VoIP). L'annexe D la fait correspondre à SC-19, que le NIST a retiré dans la Rev 5 sans successeur : la VoIP est désormais traitée comme toute autre technologie, sous les contrôles généraux de frontière et de communications. Ainsi, dans un contexte Rev 5, cette pratique CMMC n'a pas de contrôle 800-53 dédié, même si SC-7 et SC-8 couvrent l'essentiel de son contenu.

Le sens inverse

Sur les 300 contrôles de base 800-53, 114 (38%) correspondent à un élément de CMMC, 78 sont seulement faiblement liés et 108 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

La plus grande partie de SP 800-53 n'a pas d'équivalent CMMC, et c'est voulu. SP 800-171 sélectionne les contrôles pertinents pour protéger la confidentialité des CUI dans les systèmes non fédéraux et laisse de côté le reste : contrôles de protection de la vie privée, gestion de programme propre aux organismes fédéraux, nombreuses améliorations, et contrôles que la référence « Non-Federal Organization » suppose déjà mis en œuvre (notamment les contrôles de politique de type -1).

Ce que cela signifie pour les sous-traitants

1. Si vous appliquez une référence modérée 800-53, vous disposez de l'essentiel du fond. Votre travail constitue des preuves au format CMMC, un plan de sécurité du système (SSP) limité aux CUI, et une évaluation.
2. Utilisez l'annexe D pour réutiliser vos preuves. Pour chaque pratique, les contrôles 800-53 listés indiquent quelles preuves de contrôle existantes s'appliquent.
3. Surveillez l'écart Rev 2 / Rev 3. Le NIST a réécrit plusieurs exigences dans sa Revision 3, mais CMMC reste figé sur la Revision 2. Évaluez selon ce qu'exige votre contrat.

Le rapport d'analyse d'écarts CMMC → SP 800-53 recense chaque pratique avec ses contrôles de l'annexe D, et la comparaison CMMC vs SP 800-53 couvre les deux sens. Les intitulés des pratiques CMMC sur ce site sont ceux du DoD ; le texte des exigences est celui du NIST (domaine public).

Questions

Le CMMC Level 2 est-il identique à NIST SP 800-171 ?

Le niveau 2 correspond aux 110 exigences de sécurité de SP 800-171 Revision 2, évaluées selon les règles CMMC du DoD avec ses propres intitulés de pratiques. Le NIST a publié la Revision 3, mais CMMC reste figé sur la Revision 2.

Quelle pratique CMMC n'a aucune correspondance dans SP 800-53 Rev 5 ?

SC.L2-3.13.14 (contrôler et surveiller la voix sur IP). L'annexe D la fait correspondre à SC-19, que le NIST a retiré dans la Rev 5 sans successeur, la VoIP étant désormais traitée comme toute autre technologie.