Comparaison

CMMC Level 2 et NIST SP 800-53 : les 110 pratiques et leur catalogue parent

CMMC Level 2 · NIST SP 800-53 Rev 5.2 · données du 2026-10-27

Par Paul Gillet · Mis à jour le 2026-10-17

CMMC Level 2 est l'exigence du ministère américain de la Défense (DoD) pour les sous-traitants qui manipulent des informations non classifiées contrôlées (CUI). Ses 110 pratiques correspondent aux exigences de sécurité de NIST SP 800-171 Rev 2, que NIST a dérivé de la base de référence Moderate de SP 800-53, adaptée aux organisations non fédérales. La plupart des sous-traitants de niveau 2 doivent se faire évaluer par un C3PAO tiers tous les trois ans.

Comme SP 800-171 découle de SP 800-53, presque chaque pratique CMMC a une contrepartie directe, et ControlMapping établit ces liens à partir des correspondances officielles de NIST : l'annexe D de SP 800-171 Rev 2, ainsi que les références SP 800-171 Rev 3 → SP 800-53. En partant de SP 800-53 vers CMMC Level 2, la couverture est quasi complète. La seule exception concerne la surveillance de la VoIP (SC.L2-3.13.14) : l'annexe D la relie à SC-19, que NIST a retiré dans la Rev 5 sans successeur.

En partant de CMMC vers SP 800-53, la plupart du catalogue apparaît comme non correspondant ou faiblement lié. C'est attendu : CMMC Level 2 est un sous-ensemble délibéré. Il omet les contrôles qui n'ont de sens que pour les systèmes fédéraux ou les bases de référence supérieures, ainsi que de nombreuses améliorations de SP 800-53.

Une nuance à surveiller : CMMC Level 2 est figé sur SP 800-171 Rev 2, alors que NIST a publié la Rev 3. Évaluez-vous par rapport à la version qu'exigent réellement votre contrat et la réglementation CMMC.

En bref

	CMMC	800-53
De quoi s'agit-il	Certification DoD de 110 pratiques (NIST SP 800-171 Rev 2)	Catalogue de contrôles de sécurité et de confidentialité pour les systèmes fédéraux
Qui est concerné	Sous-traitants de la défense manipulant des CUI	Agences fédérales et leurs systèmes ; fournisseurs cloud FedRAMP
Évaluation	Auto-évaluation ou certification C3PAO tous les trois ans	Évaluation et autorisation dans le cadre du Risk Management Framework
Correspondance officielle	SP 800-171r2, annexe D : chaque exigence est reliée à SP 800-53	—

Articulation entre les trois documents NIST et DoD

SP 800-53 est le catalogue complet de NIST des contrôles de sécurité et de confidentialité pour les systèmes fédéraux, avec ses bases de référence dans SP 800-53B.
SP 800-171 sélectionne et adapte les contrôles pertinents pour protéger les informations non classifiées contrôlées dans les systèmes non fédéraux. Sa Révision 2 comporte 110 exigences, et l'annexe D relie chacune à sa source dans SP 800-53.
CMMC Level 2 est le programme du DoD qui évalue les sous-traitants au regard de ces 110 exigences de SP 800-171 Révision 2, avec ses propres noms de pratiques, son propre système de notation et ses règles de certification.

CMMC Level 2 est donc un sous-ensemble délibéré de SP 800-53, évalué dans le cadre de marchés de défense.

Ce que change la Révision 3, et pourquoi elle ne s'applique pas encore

NIST a publié SP 800-171 Révision 3 en 2024. Elle aligne les exigences sur SP 800-53 Rev 5, en fusionne ou en retire certaines, ajoute des paramètres définis par l'organisation et les renumérote (03.01.01 au lieu de 3.1.1). CMMC Level 2 reste figé sur la Révision 2, de sorte que les évaluations testent les exigences de la Rev 2. La Rev 3 reste utile : lorsqu'une exigence Rev 2 correspond à une exigence Rev 3, ControlMapping utilise les références Rev 3 de NIST comme preuves complémentaires, et les organisations qui anticipent peuvent concevoir des contrôles satisfaisant les deux.

Qui a besoin de quoi

SP 800-53 s'applique aux systèmes d'information fédéraux américains et aux services cloud qui visent une autorisation FedRAMP. CMMC Level 2 s'applique aux sous-traitants et sous-traitants de second rang de la défense dont les contrats impliquent des CUI. Beaucoup d'entreprises ont besoin des deux : un fournisseur cloud servant des agences fédérales sous FedRAMP (SP 800-53) et des sous-traitants de la défense (CMMC), ou un sous-traitant dont ses propres systèmes contiennent des CUI tout en exploitant des systèmes fédéraux pour un autre client.

Coût et effort

Pour une organisation qui exploite déjà une base de référence SP 800-53 Moderate, CMMC Level 2 nécessite rarement de nouvelles technologies. Le coût réside dans la délimitation de l'environnement CUI, la rédaction d'un plan de sécurité du système (SSP) pour cet environnement, la correspondance des preuves avec chaque pratique, et l'évaluation proprement dite : une auto-évaluation ou, pour la plupart des contrats impliquant des CUI, une certification par un C3PAO agréé tous les trois ans. Dans l'autre sens, un sous-traitant prêt pour CMMC qui vise l'autorisation FedRAMP fait face à un ensemble de contrôles beaucoup plus vaste, au processus d'autorisation fédéral et à une surveillance continue.

Calendrier jusqu'à l'évaluation de certification

Les exigences CMMC sont introduites progressivement dans les marchés du DoD, avec une certification par un tiers exigée dans davantage de marchés à partir de la deuxième phase du programme. Un sous-traitant disposant d'un environnement SP 800-53 a généralement besoin de deux à quatre mois pour délimiter les CUI, rédiger le SSP et rassembler les preuves, puis d'une auto-évaluation selon la méthodologie du DoD, et enfin de l'évaluation par le C3PAO, dont la planification peut prendre du temps. Une certification conditionnelle assortie d'un plan d'action limité est possible si le score atteint le minimum requis, les points ouverts devant être clos dans un délai de 180 jours.

Exemple concret : un sous-traitant de la défense

Un cabinet d'ingénierie de 120 personnes fournit des composants à un maître d'œuvre et reçoit des plans techniques marqués CUI. Il applique déjà des contrôles SP 800-53 Moderate pour un contrat fédéral de recherche distinct. Il délimite un enclave CUI couvrant son serveur de fichiers d'ingénierie, les postes de conception et son système d'identité, réutilise ses politiques SP 800-53 et les preuves mises en correspondance via l'annexe D, et confirme un chiffrement validé FIPS pour l'enclave. Son auto-évaluation obtient un bon score ; les écarts restants sont limités (surveillance de la VoIP et quelques paramètres d'audit). Il réserve une évaluation par un C3PAO et répercute les exigences de traitement des CUI à ses deux propres sous-traitants.

Erreurs courantes

Délimiter le périmètre d'autorisation fédérale au lieu du périmètre CUI. Ils coïncident rarement.
Supposer que les preuves SP 800-53 conviennent telles quelles. Les évaluateurs travaillent pratique par pratique, avec les identifiants et les objectifs d'évaluation de CMMC.
Oublier les services partagés. L'identité, la journalisation et les outils de gestion qui touchent à l'enclave CUI entrent dans le périmètre.
Utiliser une cryptographie non validée alors que la confidentialité des CUI en dépend.
Ne pas répercuter les exigences aux sous-traitants qui reçoivent des CUI.

Points clés à retenir

Si vous exploitez déjà une base de référence SP 800-53 Moderate, CMMC Level 2 relève surtout d'un exercice de preuves et d'évaluation.
CMMC → SP 800-53 (par exemple pour passer à FedRAMP) : attendez-vous à une forte hausse du périmètre.
Vérifiez quelle révision de SP 800-171 votre contrat référence.

Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →

Avoir CMMC → viser 800-53

300 exig.

114 mis en correspondance · · 108 sans correspondance Ouvrir dans la vue des écarts →

Sur 300 exigences NIST SP 800-53 Rev 5.2, 114 correspondent à un élément de CMMC, 78 sont seulement faiblement liées et 108 n'ont aucune correspondance dans nos données.

Travaux probablement nouveaux : exigences 800-53 sans correspondance avec CMMC (108)

800-53	Exigence	Correspondance	CMMC	Preuves
AC Access Control · 4
AC-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AC-21	Information Sharing	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AC-23	Data Mining Protection	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AC-25	Reference Monitor	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AT Awareness and Training · 3
AT-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AT-4	Training Records	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AT-6	Training Feedback	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AU Audit and Accountability · 4
AU-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AU-4	Audit Log Storage Capacity	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AU-10	Non-repudiation	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
AU-14	Session Audit	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CA Assessment, Authorization and Monitoring · 2
CA-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CA-6	Authorization	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CM Configuration Management · 2
CM-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CM-14	Signed Components	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CP Contingency Planning · 6
CP-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CP-3	Contingency Training	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CP-8	Telecommunications Services	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CP-11	Alternate Communications Protocols	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CP-12	Safe Mode	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
CP-13	Alternative Security Mechanisms	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
IA Identification and Authentication · 2
IA-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
IA-12	Identity Proofing	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
IR Incident Response · 2
IR-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
IR-9	Information Spillage Response	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
MA Maintenance · 2
MA-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
MA-7	Field Maintenance	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
MP Media Protection · 1
MP-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PE Physical and Environmental Protection · 4
PE-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PE-16	Delivery and Removal	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PE-21	Electromagnetic Pulse Protection	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PE-22	Component Marking	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PL Planning · 6
PL-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PL-4	Rules of Behavior	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PL-7	Concept of Operations	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PL-9	Central Management	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PL-10	Baseline Selection	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PL-11	Baseline Tailoring	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM Program Management · 15
PM-1	Information Security Program Plan	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-2	Information Security Program Leadership Role	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-3	Information Security and Privacy Resources	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-8	Critical Infrastructure Plan	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-10	Authorization Process	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-14	Testing, Training, and Monitoring	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-17	Protecting Controlled Unclassified Information on External Systems	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-20	Dissemination of Privacy Program Information	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-21	Accounting of Disclosures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-24	Data Integrity Board	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-25	Minimization of Personally Identifiable Information Used in Testing, Training, and Research	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-26	Complaint Management	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-27	Privacy Reporting	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-29	Risk Management Program Leadership Roles	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PM-32	Purposing	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PS Personnel Security · 4
PS-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PS-2	Position Risk Designation	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PS-6	Access Agreements	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PS-8	Personnel Sanctions	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT PII Processing and Transparency · 8
PT-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-2	Authority to Process Personally Identifiable Information	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-3	Personally Identifiable Information Processing Purposes	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-4	Consent	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-5	Privacy Notice	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-6	System of Records Notice	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-7	Specific Categories of Personally Identifiable Information	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
PT-8	Computer Matching Requirements	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
RA Risk Assessment · 2
RA-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
RA-6	Technical Surveillance Countermeasures Survey	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SA System and Services Acquisition · 6
SA-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SA-2	Allocation of Resources	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SA-16	Developer-provided Training	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SA-20	Customized Development of Critical Components	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SA-21	Developer Screening	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SA-23	Specialization	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC System and Communications Protection · 20
SC-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-3	Security Function Isolation	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-17	Public Key Infrastructure Certificates	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-25	Thin Nodes	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-26	Decoys	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-27	Platform-independent Applications	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-29	Heterogeneity	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-30	Concealment and Misdirection	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-31	Covert Channel Analysis	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-37	Out-of-band Channels	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-38	Operations Security	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-41	Port and I/O Device Access	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-42	Sensor Capability and Data	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-44	Detonation Chambers	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-46	Cross Domain Policy Enforcement	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-47	Alternate Communications Paths	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-48	Sensor Relocation	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-49	Hardware-enforced Separation and Policy Enforcement	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-50	Software-enforced Separation and Policy Enforcement	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SC-51	Hardware-based Protection	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI System and Information Integrity · 11
SI-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-6	Security and Privacy Function Verification	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-11	Error Handling	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-14	Non-persistence	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-15	Information Output Filtering	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-17	Fail-safe Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-19	De-identification	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-20	Tainting	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-21	Information Refresh	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-22	Information Diversity	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SI-23	Information Fragmentation	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SR Supply Chain Risk Management · 4
SR-1	Policy and Procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SR-4	Provenance	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SR-7	Supply Chain Operations Security	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.
SR-9	Tamper Resistance and Detection	Aucune correspondance dans nos données	—	Aucune correspondance avec CMMC dans nos données.

À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (78)

800-53	Exigence	Correspondance	CMMC	Preuves
AC Access Control · 5
AC-9	Previous Logon Notification	Faiblement liés	AC.L2-3.1.3 AU.L2-3.3.3 CA.L2-3.12.3+5	Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance
AC-10	Concurrent Session Control	Faiblement liés	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance
AC-14	Permitted Actions Without Identification or Authentication	Faiblement liés	AC.L2-3.1.1 IA.L2-3.5.1 IA.L2-3.5.2+5	Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance
AC-16	Security and Privacy Attributes	Faiblement liés	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance
AC-24	Access Control Decisions	Faiblement liés	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance
AU Audit and Accountability · 1
AU-16	Cross-organizational Audit Logging	Faiblement liés	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.1+5	Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance
CA Assessment, Authorization and Monitoring · 2
CA-3	Information Exchange	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance
CA-9	Internal System Connections	Faiblement liés	CA.L2-3.12.4	Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance
CM Configuration Management · 4
CM-9	Configuration Management Plan	Faiblement liés	CA.L2-3.12.4 CM.L2-3.4.1 CM.L2-3.4.2+5	Partage seulement les fonctions CSF ID.AM-08, PR.PS-01 : lien indicatif, pas une correspondance
CM-10	Software Usage Restrictions	Faiblement liés	CM.L2-3.4.9 AU.L2-3.3.3 CA.L2-3.12.3+5	Partage seulement les fonctions CSF DE.CM-03, DE.CM-09, PR.PS-01 : lien indicatif, pas une correspondance
CM-12	Information Location	Faiblement liés	MP.L2-3.8.4	Partage seulement les fonctions CSF ID.AM-07 : lien indicatif, pas une correspondance
CM-13	Data Action Mapping	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+2	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
CP Contingency Planning · 3
CP-2	Contingency Plan	Faiblement liés	IR.L2-3.6.1 MP.L2-3.8.9 PE.L2-3.10.6	Partage seulement les fonctions CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.CO-04… : lien indicatif, pas une correspondance
CP-4	Contingency Plan Testing	Faiblement liés	MP.L2-3.8.9	Partage seulement les fonctions CSF RC.RP-03 : lien indicatif, pas une correspondance
CP-7	Alternate Processing Site	Faiblement liés	IR.L2-3.6.1 SC.L2-3.13.2	Partage seulement les fonctions CSF RC.RP-02, PR.IR-03 : lien indicatif, pas une correspondance
IA Identification and Authentication · 5
IA-7	Cryptographic Module Authentication	Faiblement liés	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance
IA-8	Identification and Authentication (Non-organizational Users)	Faiblement liés	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance
IA-9	Service Identification and Authentication	Faiblement liés	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance
IA-10	Adaptive Authentication	Faiblement liés	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance
IA-13	Identity Providers and Authorization Servers	Faiblement liés	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance
MA Maintenance · 1
MA-6	Timely Maintenance	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
MP Media Protection · 1
MP-8	Media Downgrading	Faiblement liés	AC.L2-3.1.13 MP.L2-3.8.5 MP.L2-3.8.6+5	Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance
PE Physical and Environmental Protection · 9
PE-9	Power Equipment and Cabling	Faiblement liés	PE.L2-3.10.6	Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance
PE-10	Emergency Shutoff	Faiblement liés	PE.L2-3.10.6	Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance
PE-11	Emergency Power	Faiblement liés	PE.L2-3.10.6	Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance
PE-12	Emergency Lighting	Faiblement liés	PE.L2-3.10.6	Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance
PE-15	Water Damage Protection	Faiblement liés	PE.L2-3.10.6	Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance
PE-18	Location of System Components	Faiblement liés	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Partage seulement les fonctions CSF PR.AA-06 : lien indicatif, pas une correspondance
PE-19	Information Leakage	Faiblement liés	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Partage seulement les fonctions CSF PR.AA-06 : lien indicatif, pas une correspondance
PE-20	Asset Monitoring and Tracking	Faiblement liés	PE.L2-3.10.2 PE.L2-3.10.3 PE.L2-3.10.4+5	Partage seulement les fonctions CSF DE.CM-02, PR.AA-06 : lien indicatif, pas une correspondance
PE-23	Facility Location	Faiblement liés	PE.L2-3.10.6	Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance
PL Planning · 1
PL-8	Security and Privacy Architectures	Faiblement liés	CA.L2-3.12.4	Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance
PM Program Management · 9
PM-7	Enterprise Architecture	Faiblement liés	CA.L2-3.12.4	Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance
PM-11	Mission and Business Process Definition	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF ID.RA-04 : lien indicatif, pas une correspondance
PM-13	Security and Privacy Workforce	Faiblement liés	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance
PM-18	Privacy Program Plan	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF GV.OC-02, GV.OV-01, GV.RM-06, GV.RM-07… : lien indicatif, pas une correspondance
PM-19	Privacy Program Leadership Role	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF GV.OV-02, GV.SC-09 : lien indicatif, pas une correspondance
PM-22	Personally Identifiable Information Quality Management	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
PM-23	Data Governance Body	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
PM-30	Supply Chain Risk Management Strategy	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF GV.OC-02, GV.OV-01, GV.OV-02, GV.RM-06… : lien indicatif, pas une correspondance
PM-31	Continuous Monitoring Strategy	Faiblement liés	RA.L2-3.11.1 RA.L2-3.11.2 RA.L2-3.11.3	Partage seulement les fonctions CSF GV.OV-01, GV.OV-02, GV.SC-03, GV.SC-09… : lien indicatif, pas une correspondance
PS Personnel Security · 2
PS-7	External Personnel Security	Faiblement liés	CA.L2-3.12.3 CM.L2-3.4.9 SI.L2-3.14.6+4	Partage seulement les fonctions CSF DE.CM-06 : lien indicatif, pas une correspondance
PS-9	Position Descriptions	Faiblement liés	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance
RA Risk Assessment · 3
RA-8	Privacy Impact Assessments	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF ID.RA-04 : lien indicatif, pas une correspondance
RA-9	Criticality Analysis	Faiblement liés	RA.L2-3.11.1 MP.L2-3.8.4	Partage seulement les fonctions CSF GV.SC-04, GV.SC-07, ID.RA-04, ID.AM-05 : lien indicatif, pas une correspondance
RA-10	Threat Hunting	Faiblement liés	IR.L2-3.6.1 RA.L2-3.11.1	Partage seulement les fonctions CSF DE.AE-06, DE.AE-07 : lien indicatif, pas une correspondance
SA System and Services Acquisition · 6
SA-4	Acquisition Process	Faiblement liés	RA.L2-3.11.1 CA.L2-3.12.3 CA.L2-3.12.4+5	Partage seulement les fonctions CSF GV.SC-05, GV.SC-06, GV.SC-07, GV.SC-09… : lien indicatif, pas une correspondance
SA-5	System Documentation	Faiblement liés	AC.L2-3.1.20 AC.L2-3.1.21 RA.L2-3.11.1	Partage seulement les fonctions CSF ID.AM-02, ID.RA-09 : lien indicatif, pas une correspondance
SA-10	Developer Configuration Management	Faiblement liés	MA.L2-3.7.1 MA.L2-3.7.2 MA.L2-3.7.4+3	Partage seulement les fonctions CSF PR.PS-02 : lien indicatif, pas une correspondance
SA-17	Developer Security and Privacy Architecture and Design	Faiblement liés	RA.L2-3.11.1 SC.L2-3.13.2	Partage seulement les fonctions CSF ID.IM-01, ID.RA-09, PR.PS-06 : lien indicatif, pas une correspondance
SA-22	Unsupported System Components	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
SA-24	Design For Cyber Resiliency	Faiblement liés	SC.L2-3.13.2	Partage seulement les fonctions CSF PR.IR-03, PR.PS-06 : lien indicatif, pas une correspondance
SC System and Communications Protection · 15
SC-5	Denial-of-service Protection	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Partage seulement les fonctions CSF DE.CM-01, PR.IR-01 : lien indicatif, pas une correspondance
SC-6	Resource Availability	Faiblement liés	SC.L2-3.13.2	Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance
SC-11	Trusted Path	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Partage seulement les fonctions CSF PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance
SC-16	Transmission of Security and Privacy Attributes	Faiblement liés	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.1+5	Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance
SC-20	Secure Name/Address Resolution Service (Authoritative Source)	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Partage seulement les fonctions CSF DE.CM-01, PR.IR-01 : lien indicatif, pas une correspondance
SC-21	Secure Name/Address Resolution Service (Recursive or Caching Resolver)	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Partage seulement les fonctions CSF DE.CM-01, PR.IR-01 : lien indicatif, pas une correspondance
SC-22	Architecture and Provisioning for Name/Address Resolution Service	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Partage seulement les fonctions CSF DE.CM-01, PR.IR-01 : lien indicatif, pas une correspondance
SC-24	Fail in Known State	Faiblement liés	SC.L2-3.13.2 AC.L2-3.1.1 AC.L2-3.1.2+5	Partage seulement les fonctions CSF PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance
SC-32	System Partitioning	Faiblement liés	MP.L2-3.8.9 SC.L2-3.13.1 SC.L2-3.13.2+5	Partage seulement les fonctions CSF PR.DS-01, PR.DS-10 : lien indicatif, pas une correspondance
SC-34	Non-modifiable Executable Programs	Faiblement liés	AC.L2-3.1.3 AU.L2-3.3.3 CA.L2-3.12.3+5	Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance
SC-35	External Malicious Code Identification	Faiblement liés	AC.L2-3.1.3 AU.L2-3.3.3 CA.L2-3.12.3+5	Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance
SC-36	Distributed Processing and Storage	Faiblement liés	SC.L2-3.13.2	Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance
SC-39	Process Isolation	Faiblement liés	SC.L2-3.13.2 MP.L2-3.8.9 SC.L2-3.13.1+5	Partage seulement les fonctions CSF PR.DS-01, PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance
SC-40	Wireless Link Protection	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Partage seulement les fonctions CSF PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance
SC-43	Usage Restrictions	Faiblement liés	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance
SI System and Information Integrity · 4
SI-12	Information Management and Retention	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+2	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
SI-13	Predictable Failure Prevention	Faiblement liés	SC.L2-3.13.2	Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance
SI-16	Memory Protection	Faiblement liés	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.3+5	Partage seulement les fonctions CSF PR.DS-10 : lien indicatif, pas une correspondance
SI-18	Personally Identifiable Information Quality Operations	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
SR Supply Chain Risk Management · 7
SR-2	Supply Chain Risk Management Plan	Faiblement liés	RA.L2-3.11.1 AC.L2-3.1.20 AC.L2-3.1.21+4	Partage seulement les fonctions CSF GV.SC-03, GV.SC-09, GV.SC-10, ID.AM-04 : lien indicatif, pas une correspondance
SR-3	Supply Chain Controls and Processes	Faiblement liés	RA.L2-3.11.1 IR.L2-3.6.2 IR.L2-3.6.1+3	Partage seulement les fonctions CSF GV.OC-02, GV.SC-03, GV.SC-05, GV.SC-07… : lien indicatif, pas une correspondance
SR-5	Acquisition Strategies, Tools, and Methods	Faiblement liés	RA.L2-3.11.1 CA.L2-3.12.4 RA.L2-3.11.2+4	Partage seulement les fonctions CSF GV.OC-02, GV.SC-05, GV.SC-06, GV.SC-09… : lien indicatif, pas une correspondance
SR-8	Notification Agreements	Faiblement liés	IR.L2-3.6.2 IR.L2-3.6.1 RA.L2-3.11.1+1	Partage seulement les fonctions CSF GV.SC-08, RC.CO-03, RS.CO-02, RS.CO-03… : lien indicatif, pas une correspondance
SR-10	Inspection of Systems or Components	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF GV.SC-05, ID.RA-09 : lien indicatif, pas une correspondance
SR-11	Component Authenticity	Faiblement liés	RA.L2-3.11.1	Partage seulement les fonctions CSF ID.RA-09 : lien indicatif, pas une correspondance
SR-12	Component Disposal	Faiblement liés	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance

Mis en correspondance (114)

800-53	Exigence	Correspondance	CMMC	Preuves
AC Access Control · 14
AC-2	Account Management	Correspondance	AC.L2-3.1.1 AC.L2-3.1.2 SC.L2-3.13.3	Même sujet : Contrôle d'accès
AC-3	Access Enforcement	Correspondance	AC.L2-3.1.1 AC.L2-3.1.2 SC.L2-3.13.1+2	Même sujet : Contrôle d'accès, Zero Trust
AC-4	Information Flow Enforcement	Correspondance	AC.L2-3.1.1 AC.L2-3.1.3 SC.L2-3.13.1+3	Même sujet : Zero Trust, DLP, Pare-feu / Segmentation réseau
AC-5	Separation of Duties	Correspondance	AC.L2-3.1.4 SC.L2-3.13.3	NIST SP 800-171r3 03.01.04 → SP 800-53
AC-6	Least Privilege	Correspondance	AC.L2-3.1.1 SC.L2-3.13.1 SC.L2-3.13.6+5	Même sujet : Zero Trust
AC-7	Unsuccessful Logon Attempts	Correspondance	AC.L2-3.1.8	NIST SP 800-171r3 03.01.08 → SP 800-53
AC-8	System Use Notification	Correspondance	AC.L2-3.1.9	NIST SP 800-171r3 03.01.09 → SP 800-53
AC-11	Device Lock	Correspondance	AC.L2-3.1.10	NIST SP 800-171r3 03.01.10 → SP 800-53
AC-12	Session Termination	Correspondance	AC.L2-3.1.11	NIST SP 800-171r3 03.01.11 → SP 800-53
AC-17	Remote Access	Correspondance	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.12+4	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.01.12 → SP 800-53
AC-18	Wireless Access	Correspondance	AC.L2-3.1.16 AC.L2-3.1.17	NIST SP 800-171r3 03.01.16 → SP 800-53
AC-19	Access Control for Mobile Devices	Correspondance	AC.L2-3.1.18 AC.L2-3.1.19	Même sujet : Sécurité mobile
AC-20	Use of External Systems	Correspondance	AC.L2-3.1.20 AC.L2-3.1.21	Même sujet : Sécurité du cloud
AC-22	Publicly Accessible Content	Correspondance	AC.L2-3.1.22	NIST SP 800-171r3 03.01.22 → SP 800-53
AT Awareness and Training · 2
AT-2	Literacy Training and Awareness	Correspondance	AT.L2-3.2.1 AT.L2-3.2.2 AT.L2-3.2.3	Même sujet : Sensibilisation et formation
AT-3	Role-based Training	Correspondance	AT.L2-3.2.1 AT.L2-3.2.2 AT.L2-3.2.3	Même sujet : Sensibilisation et formation
AU Audit and Accountability · 10
AU-2	Event Logging	Correspondance	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7+1	Même sujet : Journalisation et audit
AU-3	Content of Audit Records	Correspondance	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7	Même sujet : Journalisation et audit
AU-5	Response to Audit Logging Process Failures	Correspondance	AU.L2-3.3.4	NIST SP 800-171r3 03.03.04 → SP 800-53
AU-6	Audit Record Review, Analysis, and Reporting	Correspondance	AU.L2-3.3.5 SI.L2-3.14.7 AU.L2-3.3.1+1	Même sujet : SIEM / SOC, Détection d'anomalies
AU-7	Audit Record Reduction and Report Generation	Correspondance	AU.L2-3.3.6	Même sujet : Criminalistique numérique
AU-8	Time Stamps	Correspondance	AU.L2-3.3.7	NIST SP 800-171r3 03.03.07 → SP 800-53
AU-9	Protection of Audit Information	Correspondance	AC.L2-3.1.5 AU.L2-3.3.8 AU.L2-3.3.9+2	NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.03.08 → SP 800-53
AU-11	Audit Record Retention	Correspondance	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7+1	Même sujet : Journalisation et audit
AU-12	Audit Record Generation	Correspondance	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7+1	Même sujet : Journalisation et audit
AU-13	Monitoring for Information Disclosure	Éditorial	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Même sujet : Menace interne (choix de la rédaction)
CA Assessment, Authorization and Monitoring · 4
CA-2	Control Assessments	Correspondance	CA.L2-3.12.1 CA.L2-3.12.2 CA.L2-3.12.3+1	Même sujet : Conformité (choix de la rédaction)
CA-5	Plan of Action and Milestones	Correspondance	CA.L2-3.12.1 CA.L2-3.12.2 CA.L2-3.12.3+1	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53
CA-7	Continuous Monitoring	Correspondance	SI.L2-3.14.6 SI.L2-3.14.7 CA.L2-3.12.1+4	Même sujet : Surveillance continue
CA-8	Penetration Testing	Correspondance	RA.L2-3.11.2 RA.L2-3.11.3	Même sujet : Gestion des vulnérabilités
CM Configuration Management · 8
CM-2	Baseline Configuration	Correspondance	CM.L2-3.4.1 CM.L2-3.4.2 CM.L2-3.4.6+1	Même sujet : Configuration sécurisée
CM-3	Configuration Change Control	Correspondance	CM.L2-3.4.3	NIST SP 800-171r3 03.04.03 → SP 800-53
CM-4	Impact Analyses	Correspondance	CM.L2-3.4.4	NIST SP 800-171r3 03.04.04 → SP 800-53
CM-5	Access Restrictions for Change	Correspondance	CM.L2-3.4.5	NIST SP 800-171r3 03.04.05 → SP 800-53
CM-6	Configuration Settings	Correspondance	CM.L2-3.4.1 CM.L2-3.4.2 CM.L2-3.4.6+2	Même sujet : Configuration sécurisée
CM-7	Least Functionality	Correspondance	CM.L2-3.4.1 CM.L2-3.4.2 CM.L2-3.4.6+3	Même sujet : Configuration sécurisée
CM-8	System Component Inventory	Correspondance	CM.L2-3.4.1 CM.L2-3.4.2	Même sujet : Gestion des actifs
CM-11	User-installed Software	Correspondance	CM.L2-3.4.9	NIST SP 800-171r2 Appendix D
CP Contingency Planning · 3
CP-6	Alternate Storage Site	Correspondance	MP.L2-3.8.9	Même sujet : Sauvegarde et restauration
CP-9	System Backup	Correspondance	MP.L2-3.8.9	Même sujet : Sauvegarde et restauration
CP-10	System Recovery and Reconstitution	Correspondance	IR.L2-3.6.2	Même sujet : Communication et rétablissement
IA Identification and Authentication · 6
IA-2	Identification and Authentication (Organizational Users)	Correspondance	AC.L2-3.1.1 SC.L2-3.13.1 SC.L2-3.13.6+3	Même sujet : Zero Trust
IA-3	Device Identification and Authentication	Correspondance	IA.L2-3.5.1 IA.L2-3.5.2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53
IA-4	Identifier Management	Correspondance	IA.L2-3.5.5 IA.L2-3.5.6	NIST SP 800-171r3 03.05.05 → SP 800-53; NIST SP 800-171r2 Appendix D
IA-5	Authenticator Management	Correspondance	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.7+3	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.07 → SP 800-53
IA-6	Authentication Feedback	Correspondance	IA.L2-3.5.11	NIST SP 800-171r3 03.05.11 → SP 800-53
IA-11	Re-authentication	Correspondance	IA.L2-3.5.1	NIST SP 800-171r3 03.05.01 → SP 800-53
IR Incident Response · 7
IR-2	Incident Response Training	Correspondance	IR.L2-3.6.1 IR.L2-3.6.3 IR.L2-3.6.2	Même sujet : Réponse aux incidents (choix de la rédaction)
IR-3	Incident Response Testing	Éditorial	IR.L2-3.6.1 IR.L2-3.6.3	Même sujet : Réponse aux incidents (choix de la rédaction)
IR-4	Incident Handling	Correspondance	IR.L2-3.6.1 IR.L2-3.6.3 IR.L2-3.6.2	Même sujet : Réponse aux incidents, Atténuation, Enseignements tirés
IR-5	Incident Monitoring	Correspondance	AU.L2-3.3.5 IR.L2-3.6.1 IR.L2-3.6.2	Même sujet : SIEM / SOC
IR-6	Incident Reporting	Correspondance	IR.L2-3.6.2 IR.L2-3.6.1	Même sujet : Notification, Communication et rétablissement
IR-7	Incident Response Assistance	Correspondance	IR.L2-3.6.2 IR.L2-3.6.1	Même sujet : Communication
IR-8	Incident Response Plan	Correspondance	IR.L2-3.6.1 IR.L2-3.6.3	Même sujet : Réponse aux incidents
MA Maintenance · 4
MA-2	Controlled Maintenance	Correspondance	MA.L2-3.7.1 MA.L2-3.7.2 MA.L2-3.7.3	NIST SP 800-171r2 Appendix D
MA-3	Maintenance Tools	Correspondance	MA.L2-3.7.1 MA.L2-3.7.2 MA.L2-3.7.4	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53
MA-4	Nonlocal Maintenance	Correspondance	MA.L2-3.7.5	NIST SP 800-171r3 03.07.05 → SP 800-53
MA-5	Maintenance Personnel	Correspondance	MA.L2-3.7.2 MA.L2-3.7.6	NIST SP 800-171r3 03.07.06 → SP 800-53
MP Media Protection · 6
MP-2	Media Access	Correspondance	MP.L2-3.8.1 MP.L2-3.8.2 MP.L2-3.8.3	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.02 → SP 800-53
MP-3	Media Marking	Correspondance	MP.L2-3.8.4	NIST SP 800-171r3 03.08.04 → SP 800-53
MP-4	Media Storage	Correspondance	MP.L2-3.8.1 MP.L2-3.8.2 MP.L2-3.8.3	NIST SP 800-171r3 03.08.01 → SP 800-53; NIST SP 800-171r2 Appendix D
MP-5	Media Transport	Correspondance	MP.L2-3.8.5	NIST SP 800-171r3 03.08.05 → SP 800-53
MP-6	Media Sanitization	Correspondance	MA.L2-3.7.3 MP.L2-3.8.1 MP.L2-3.8.2+1	NIST SP 800-171r3 03.08.03 → SP 800-53; NIST SP 800-171r2 Appendix D
MP-7	Media Use	Correspondance	MP.L2-3.8.7 MP.L2-3.8.8	NIST SP 800-171r3 03.08.07 → SP 800-53
PE Physical and Environmental Protection · 9
PE-2	Physical Access Authorizations	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Même sujet : Sécurité physique
PE-3	Physical Access Control	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Même sujet : Sécurité physique
PE-4	Access Control for Transmission	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2	NIST SP 800-171r2 Appendix D
PE-5	Access Control for Output Devices	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.10.07 → SP 800-53
PE-6	Monitoring Physical Access	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Même sujet : Sécurité physique
PE-8	Visitor Access Records	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Même sujet : Sécurité physique
PE-13	Fire Protection	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Même sujet : Sécurité physique
PE-14	Environmental Controls	Correspondance	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Même sujet : Sécurité physique
PE-17	Alternate Work Site	Correspondance	PE.L2-3.10.6	NIST SP 800-171r3 03.10.06 → SP 800-53
PL Planning · 1
PL-2	System Security and Privacy Plans	Correspondance	CA.L2-3.12.1 CA.L2-3.12.2 CA.L2-3.12.3+1	NIST SP 800-171r2 Appendix D
PM Program Management · 8
PM-4	Plan of Action and Milestones Process	Éditorial	CA.L2-3.12.1	Même sujet : Conformité (choix de la rédaction)
PM-5	System Inventory	Correspondance	CM.L2-3.4.1	Même sujet : Gestion des actifs
PM-6	Measures of Performance	Éditorial	CA.L2-3.12.1	Même sujet : Conformité (choix de la rédaction)
PM-9	Risk Management Strategy	Correspondance	RA.L2-3.11.1	Même sujet : Gestion des risques
PM-12	Insider Threat Program	Éditorial	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Même sujet : Menace interne (choix de la rédaction)
PM-15	Security and Privacy Groups and Associations	Correspondance	SI.L2-3.14.3	Même sujet : Renseignement sur les menaces
PM-16	Threat Awareness Program	Correspondance	SI.L2-3.14.3	Même sujet : Renseignement sur les menaces
PM-28	Risk Framing	Correspondance	RA.L2-3.11.1	Même sujet : Gestion des risques
PS Personnel Security · 3
PS-3	Personnel Screening	Correspondance	PS.L2-3.9.1 PS.L2-3.9.2	NIST SP 800-171r3 03.09.01 → SP 800-53; NIST SP 800-171r2 Appendix D
PS-4	Personnel Termination	Correspondance	PS.L2-3.9.1 PS.L2-3.9.2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53
PS-5	Personnel Transfer	Correspondance	PS.L2-3.9.1 PS.L2-3.9.2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53
RA Risk Assessment · 4
RA-2	Security Categorization	Éditorial	MP.L2-3.8.4	Même sujet : Classification des données (choix de la rédaction)
RA-3	Risk Assessment	Correspondance	RA.L2-3.11.1	Même sujet : Évaluation des risques
RA-5	Vulnerability Monitoring and Scanning	Correspondance	RA.L2-3.11.2 RA.L2-3.11.3	Même sujet : Gestion des vulnérabilités
RA-7	Risk Response	Correspondance	RA.L2-3.11.1	Même sujet : Gestion des risques, Évaluation des risques
SA System and Services Acquisition · 5
SA-3	System Development Life Cycle	Correspondance	SC.L2-3.13.2	Même sujet : Développement sécurisé
SA-8	Security and Privacy Engineering Principles	Correspondance	SC.L2-3.13.2 SC.L2-3.13.1	Même sujet : Développement sécurisé
SA-9	External System Services	Correspondance	AC.L2-3.1.20	Même sujet : Sécurité du cloud
SA-11	Developer Testing and Evaluation	Correspondance	SC.L2-3.13.2	Même sujet : Développement sécurisé
SA-15	Development Process, Standards, and Tools	Correspondance	SC.L2-3.13.2	Même sujet : Développement sécurisé
SC System and Communications Protection · 12
SC-2	Separation of System and User Functionality	Correspondance	SC.L2-3.13.3	NIST SP 800-171r2 Appendix D
SC-4	Information in Shared System Resources	Correspondance	SC.L2-3.13.4	NIST SP 800-171r3 03.13.04 → SP 800-53
SC-7	Boundary Protection	Correspondance	SC.L2-3.13.1 SC.L2-3.13.5 SC.L2-3.13.6+2	Même sujet : Pare-feu / Segmentation réseau, Sécurité web
SC-8	Transmission Confidentiality and Integrity	Correspondance	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+5	Même sujet : Chiffrement
SC-10	Network Disconnect	Correspondance	SC.L2-3.13.9	NIST SP 800-171r3 03.13.09 → SP 800-53
SC-12	Cryptographic Key Establishment and Management	Correspondance	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+4	Même sujet : Chiffrement
SC-13	Cryptographic Protection	Correspondance	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+4	Même sujet : Chiffrement
SC-15	Collaborative Computing Devices and Applications	Correspondance	SC.L2-3.13.12	NIST SP 800-171r3 03.13.12 → SP 800-53
SC-18	Mobile Code	Correspondance	SC.L2-3.13.13	NIST SP 800-171r3 03.13.13 → SP 800-53
SC-23	Session Authenticity	Correspondance	SC.L2-3.13.15	NIST SP 800-171r3 03.13.15 → SP 800-53
SC-28	Protection of Information at Rest	Correspondance	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+6	Même sujet : Chiffrement
SC-45	System Time Synchronization	Correspondance	AU.L2-3.3.7	NIST SP 800-171r2 Appendix D
SI System and Information Integrity · 7
SI-2	Flaw Remediation	Correspondance	SI.L2-3.14.1 SI.L2-3.14.2 SI.L2-3.14.3	Même sujet : Gestion des correctifs
SI-3	Malicious Code Protection	Correspondance	SI.L2-3.14.2 SI.L2-3.14.4 SI.L2-3.14.1+2	Même sujet : Protection des terminaux, Sécurité de la messagerie
SI-4	System Monitoring	Correspondance	SI.L2-3.14.6 SI.L2-3.14.7 SI.L2-3.14.2+1	Même sujet : Surveillance continue, Détection d'intrusion, Détection d'anomalies, Protection des terminaux
SI-5	Security Alerts, Advisories, and Directives	Correspondance	SI.L2-3.14.3 SI.L2-3.14.1 SI.L2-3.14.2	Même sujet : Renseignement sur les menaces
SI-7	Software, Firmware, and Information Integrity	Correspondance	SC.L2-3.13.16 MP.L2-3.8.3	Même sujet : Protection des données
SI-8	Spam Protection	Éditorial	SI.L2-3.14.2	Même sujet : Sécurité de la messagerie (choix de la rédaction)
SI-10	Information Input Validation	Éditorial	SC.L2-3.13.1	Même sujet : Sécurité web (choix de la rédaction)
SR Supply Chain Risk Management · 1
SR-6	Supplier Assessments and Reviews	Correspondance	RA.L2-3.11.1	NIST SP 800-171r3 03.11.01 → SP 800-53

Avoir 800-53 → viser CMMC

110 exig.

109 mis en correspondance · · 1 sans correspondance Ouvrir dans la vue des écarts →

Sur 110 exigences CMMC Level 2, 109 correspondent à un élément de 800-53, 0 sont seulement faiblement liées et 1 n'ont aucune correspondance dans nos données.

Travaux probablement nouveaux : exigences CMMC sans correspondance avec 800-53 (1)

CMMC	Exigence	Correspondance	800-53	Preuves
SC System and Communications Protection · 1
SC.L2-3.13.14	Voice over Internet Protocol	Aucune correspondance dans nos données	—	Aucune correspondance avec 800-53 dans nos données.

Mis en correspondance (109)

CMMC	Exigence	Correspondance	800-53	Preuves
AC Access Control · 22
AC.L2-3.1.1	Authorized Access Control	Correspondance	AC-2 AC-3 AC-4+3	Même sujet : Contrôle d'accès, Zero Trust
AC.L2-3.1.2	Transaction & Function Control	Correspondance	AC-2 AC-3 AC-17	Même sujet : Contrôle d'accès
AC.L2-3.1.3	Control CUI Flow	Correspondance	AC-4 SC-7(10)	Même sujet : DLP
AC.L2-3.1.4	Separation of Duties	Correspondance	AC-5	NIST SP 800-171r3 03.01.04 → SP 800-53
AC.L2-3.1.5	Least Privilege	Correspondance	AC-2(7)AC-6(5)AC-6+1	Même sujet : Accès privilégiés
AC.L2-3.1.6	Non-Privileged Account Use	Correspondance	AC-2(7)AC-6(5)AC-6	Même sujet : Accès privilégiés
AC.L2-3.1.7	Privileged Functions	Correspondance	AC-2(7)AC-6(5)AC-6	Même sujet : Accès privilégiés
AC.L2-3.1.8	Unsuccessful Logon Attempts	Correspondance	AC-7	NIST SP 800-171r3 03.01.08 → SP 800-53
AC.L2-3.1.9	Privacy & Security Notices	Correspondance	AC-8	NIST SP 800-171r3 03.01.09 → SP 800-53
AC.L2-3.1.10	Session Lock	Correspondance	AC-11	NIST SP 800-171r3 03.01.10 → SP 800-53
AC.L2-3.1.11	Session Termination	Correspondance	AC-12	NIST SP 800-171r3 03.01.11 → SP 800-53
AC.L2-3.1.12	Control Remote Access	Correspondance	AC-17	NIST SP 800-171r3 03.01.12 → SP 800-53
AC.L2-3.1.13	Remote Access Confidentiality	Correspondance	SC-8 SC-12 SC-13+2	Même sujet : Chiffrement
AC.L2-3.1.14	Remote Access Routing	Correspondance	AC-17	NIST SP 800-171r3 03.01.12 → SP 800-53
AC.L2-3.1.15	Privileged Remote Access	Correspondance	AC-17	NIST SP 800-171r3 03.01.12 → SP 800-53
AC.L2-3.1.16	Wireless Access Authorization	Correspondance	AC-18	NIST SP 800-171r3 03.01.16 → SP 800-53
AC.L2-3.1.17	Wireless Access Protection	Correspondance	AC-18	NIST SP 800-171r3 03.01.16 → SP 800-53
AC.L2-3.1.18	Mobile Device Connection	Correspondance	AC-19 AC-19(5)	Même sujet : Sécurité mobile
AC.L2-3.1.19	Encrypt CUI on Mobile	Correspondance	AC-19 AC-19(5)SC-8+3	Même sujet : Sécurité mobile, Chiffrement
AC.L2-3.1.20	External Connections	Correspondance	AC-20 SA-9	Même sujet : Sécurité du cloud
AC.L2-3.1.21	Portable Storage Use	Correspondance	AC-20	NIST SP 800-171r3 03.01.20 → SP 800-53
AC.L2-3.1.22	Control Public Information	Correspondance	AC-22	NIST SP 800-171r3 03.01.22 → SP 800-53
AT Awareness and Training · 3
AT.L2-3.2.1	Role-Based Risk Awareness	Correspondance	AT-2 AT-3	Même sujet : Sensibilisation et formation
AT.L2-3.2.2	Role-Based Training	Correspondance	AT-2 AT-3	Même sujet : Sensibilisation et formation
AT.L2-3.2.3	Insider Threat Awareness	Correspondance	AT-2 AT-3 AC-2(12)+2	Même sujet : Sensibilisation et formation, Menace interne
AU Audit and Accountability · 9
AU.L2-3.3.1	System Auditing	Correspondance	AU-2 AU-3 AU-11+2	Même sujet : Journalisation et audit
AU.L2-3.3.2	User Accountability	Correspondance	AU-2 AU-3 AU-11+5	Même sujet : Journalisation et audit
AU.L2-3.3.3	Event Review	Correspondance	AU-2 AU-11 AU-12	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.03.03 → SP 800-53
AU.L2-3.3.4	Audit Failure Alerting	Correspondance	AU-5	NIST SP 800-171r3 03.03.04 → SP 800-53
AU.L2-3.3.5	Audit Correlation	Correspondance	AU-6 AU-6(3)IR-5	Même sujet : SIEM / SOC
AU.L2-3.3.6	Reduction & Reporting	Correspondance	AU-7 SI-2(7)	Même sujet : Criminalistique numérique
AU.L2-3.3.7	Authoritative Time Source	Correspondance	AU-2 AU-3 AU-11+3	Même sujet : Journalisation et audit (choix de la rédaction)
AU.L2-3.3.8	Audit Protection	Correspondance	AU-9	NIST SP 800-171r3 03.03.08 → SP 800-53
AU.L2-3.3.9	Audit Management	Correspondance	AU-9	NIST SP 800-171r3 03.03.08 → SP 800-53
CA Security Assessment · 4
CA.L2-3.12.1	Security Control Assessment	Correspondance	CA-2 PM-4 PM-6+3	Même sujet : Conformité (choix de la rédaction)
CA.L2-3.12.2	Plan of Action	Correspondance	CA-2 CA-5 CA-7+1	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53
CA.L2-3.12.3	Security Control Monitoring	Correspondance	CA-2 CA-5 CA-7+1	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.03 → SP 800-53
CA.L2-3.12.4	System Security Plan	Correspondance	CA-2 CA-5 CA-7+1	NIST SP 800-171r2 Appendix D
CM Configuration Management · 9
CM.L2-3.4.1	System Baselining	Correspondance	CM-2 CM-6 CM-7+2	Même sujet : Configuration sécurisée
CM.L2-3.4.2	Security Configuration Enforcement	Correspondance	CM-2 CM-6 CM-7+1	Même sujet : Configuration sécurisée
CM.L2-3.4.3	System Change Management	Correspondance	CM-3	NIST SP 800-171r3 03.04.03 → SP 800-53
CM.L2-3.4.4	Security Impact Analysis	Correspondance	CM-4	NIST SP 800-171r3 03.04.04 → SP 800-53
CM.L2-3.4.5	Access Restrictions for Change	Correspondance	CM-5 CM-7(5)	NIST SP 800-171r3 03.04.05 → SP 800-53; NIST SP 800-171r2 Appendix D
CM.L2-3.4.6	Least Functionality	Correspondance	CM-2 CM-6 CM-7	Même sujet : Configuration sécurisée
CM.L2-3.4.7	Nonessential Functionality	Correspondance	CM-2 CM-6 CM-7+1	Même sujet : Configuration sécurisée
CM.L2-3.4.8	Application Execution Policy	Correspondance	CM-7 CM-7(5)	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.04.08 → SP 800-53
CM.L2-3.4.9	User-Installed Software	Correspondance	AC-6 AC-6(5)AU-9+3	NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.01.06 → SP 800-53
IA Identification and Authentication · 11
IA.L2-3.5.1	Identification	Correspondance	IA-2 IA-3 IA-5+1	NIST SP 800-171r3 03.05.01 → SP 800-53; NIST SP 800-171r2 Appendix D
IA.L2-3.5.2	Authentication	Correspondance	IA-2 IA-3 IA-5	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53
IA.L2-3.5.3	Multifactor Authentication	Correspondance	IA-2(1)IA-2(2)	Même sujet : Authentification multifacteur
IA.L2-3.5.4	Replay-Resistant Authentication	Correspondance	IA-2	NIST SP 800-171r3 03.05.04 → SP 800-53
IA.L2-3.5.5	Identifier Reuse	Correspondance	IA-4	NIST SP 800-171r3 03.05.05 → SP 800-53
IA.L2-3.5.6	Identifier Handling	Correspondance	IA-4	NIST SP 800-171r2 Appendix D
IA.L2-3.5.7	Password Complexity	Correspondance	IA-5	NIST SP 800-171r3 03.05.07 → SP 800-53
IA.L2-3.5.8	Password Reuse	Correspondance	IA-5	NIST SP 800-171r2 Appendix D
IA.L2-3.5.9	Temporary Passwords	Correspondance	IA-5	NIST SP 800-171r2 Appendix D
IA.L2-3.5.10	Cryptographically-Protected Passwords	Correspondance	IA-5	NIST SP 800-171r3 03.05.07 → SP 800-53
IA.L2-3.5.11	Obscure Feedback	Correspondance	IA-6	NIST SP 800-171r3 03.05.11 → SP 800-53
IR Incident Response · 3
IR.L2-3.6.1	Incident Handling	Correspondance	IR-4 IR-8 IR-2+4	Même sujet : Réponse aux incidents, Atténuation, Enseignements tirés
IR.L2-3.6.2	Incident Reporting	Correspondance	CP-10 IR-6 IR-7+3	Même sujet : Communication et rétablissement, Notification, Communication
IR.L2-3.6.3	Incident Response Testing	Éditorial	IR-2 IR-3 IR-4+1	Même sujet : Réponse aux incidents (choix de la rédaction)
MA Maintenance · 6
MA.L2-3.7.1	Perform Maintenance	Correspondance	MA-2 MA-3	NIST SP 800-171r2 Appendix D
MA.L2-3.7.2	System Maintenance Control	Correspondance	MA-2 MA-3 MA-5	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53; NIST SP 800-171r3 03.07.06 → SP 800-53
MA.L2-3.7.3	Equipment Sanitization	Correspondance	MA-2 MP-6	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.03 → SP 800-53
MA.L2-3.7.4	Media Inspection	Correspondance	MA-3	NIST SP 800-171r3 03.07.04 → SP 800-53
MA.L2-3.7.5	Nonlocal Maintenance	Correspondance	MA-4	NIST SP 800-171r3 03.07.05 → SP 800-53
MA.L2-3.7.6	Maintenance Personnel	Correspondance	MA-5	NIST SP 800-171r3 03.07.06 → SP 800-53
MP Media Protection · 9
MP.L2-3.8.1	Media Protection	Correspondance	MP-2 MP-4 MP-6	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.01 → SP 800-53
MP.L2-3.8.2	Media Access	Correspondance	MP-2 MP-4 MP-6	NIST SP 800-171r3 03.08.02 → SP 800-53; NIST SP 800-171r2 Appendix D
MP.L2-3.8.3	Media Disposal	Correspondance	SC-8 SC-28 SI-7+3	Même sujet : Protection des données (choix de la rédaction)
MP.L2-3.8.4	Media Markings	Correspondance	RA-2 MP-3	Même sujet : Classification des données (choix de la rédaction)
MP.L2-3.8.5	Media Accountability	Correspondance	MP-5 SC-28	NIST SP 800-171r3 03.08.05 → SP 800-53
MP.L2-3.8.6	Portable Storage Encryption	Correspondance	SC-8 SC-12 SC-13+1	Même sujet : Chiffrement
MP.L2-3.8.7	Removable Media	Correspondance	MP-7	NIST SP 800-171r3 03.08.07 → SP 800-53
MP.L2-3.8.8	Shared Media	Correspondance	MP-7	NIST SP 800-171r3 03.08.07 → SP 800-53
MP.L2-3.8.9	Protect Backups	Correspondance	CP-6 CP-9	Même sujet : Sauvegarde et restauration
PE Physical Protection · 6
PE.L2-3.10.1	Limit Physical Access	Correspondance	PE-2 PE-3 PE-6+5	Même sujet : Sécurité physique
PE.L2-3.10.2	Monitor Facility	Correspondance	PE-2 PE-3 PE-6+5	Même sujet : Sécurité physique
PE.L2-3.10.3	Escort Visitors	Correspondance	PE-2 PE-3 PE-6+4	Même sujet : Sécurité physique
PE.L2-3.10.4	Physical Access Logs	Correspondance	PE-2 PE-3 PE-6+4	Même sujet : Sécurité physique
PE.L2-3.10.5	Manage Physical Access	Correspondance	PE-2 PE-3 PE-6+4	Même sujet : Sécurité physique
PE.L2-3.10.6	Alternative Work Sites	Correspondance	PE-2 PE-3 PE-6+4	Même sujet : Sécurité physique (choix de la rédaction)
PS Personnel Security · 2
PS.L2-3.9.1	Screen Individuals	Correspondance	AC-2(12)AU-13 PM-12+3	Même sujet : Menace interne (choix de la rédaction)
PS.L2-3.9.2	Personnel Actions	Correspondance	PS-3 PS-4 PS-5	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53
RA Risk Assessment · 3
RA.L2-3.11.1	Risk Assessments	Correspondance	PM-9 PM-28 RA-3+2	Même sujet : Gestion des risques, Évaluation des risques
RA.L2-3.11.2	Vulnerability Scan	Correspondance	CA-8 RA-5	Même sujet : Gestion des vulnérabilités
RA.L2-3.11.3	Vulnerability Remediation	Correspondance	CA-8 RA-5	Même sujet : Gestion des vulnérabilités
SC System and Communications Protection · 15
SC.L2-3.13.1	Boundary Protection	Correspondance	AC-3 AC-4 AC-6+4	Même sujet : Zero Trust, Pare-feu / Segmentation réseau
SC.L2-3.13.2	Security Engineering	Correspondance	SA-3 SA-8 SA-11+2	Même sujet : Développement sécurisé
SC.L2-3.13.3	Role Separation	Correspondance	AC-2 AC-3 AC-4+5	NIST SP 800-171r3 03.01.01 → SP 800-53; NIST SP 800-171r3 03.01.02 → SP 800-53; NIST SP 800-171r3 03.01.03 → SP 800-53
SC.L2-3.13.4	Shared Resource Control	Correspondance	SC-4	NIST SP 800-171r3 03.13.04 → SP 800-53
SC.L2-3.13.5	Public-Access System Separation	Correspondance	AC-4 SC-7	Même sujet : Pare-feu / Segmentation réseau
SC.L2-3.13.6	Network Communication by Exception	Correspondance	AC-3 AC-4 AC-6+2	Même sujet : Zero Trust, Pare-feu / Segmentation réseau
SC.L2-3.13.7	Split Tunneling	Correspondance	AC-17 CM-6 CM-7+1	NIST SP 800-171r3 03.01.12 → SP 800-53; NIST SP 800-171r3 03.04.02 → SP 800-53; NIST SP 800-171r3 03.04.06 → SP 800-53
SC.L2-3.13.8	Data in Transit	Correspondance	SC-8 SC-12 SC-13+1	Même sujet : Chiffrement
SC.L2-3.13.9	Connections Termination	Correspondance	SC-10	NIST SP 800-171r3 03.13.09 → SP 800-53
SC.L2-3.13.10	Key Management	Correspondance	SC-8 SC-12 SC-13+1	Même sujet : Chiffrement
SC.L2-3.13.11	CUI Encryption	Correspondance	SC-8 SC-12 SC-13+1	Même sujet : Chiffrement
SC.L2-3.13.12	Collaborative Device Control	Correspondance	SC-15	NIST SP 800-171r3 03.13.12 → SP 800-53
SC.L2-3.13.13	Mobile Code	Correspondance	SC-18	NIST SP 800-171r3 03.13.13 → SP 800-53
SC.L2-3.13.15	Communications Authenticity	Correspondance	SC-23	NIST SP 800-171r3 03.13.15 → SP 800-53
SC.L2-3.13.16	Data at Rest	Correspondance	SC-8 SC-12 SC-13+2	Même sujet : Chiffrement, Protection des données
SI System and Information Integrity · 7
SI.L2-3.14.1	Flaw Remediation	Correspondance	SI-2 SI-3 SI-5	Même sujet : Gestion des correctifs
SI.L2-3.14.2	Malicious Code Protection	Correspondance	SI-3 CM-7(5)SI-4+3	Même sujet : Protection des terminaux, Sécurité de la messagerie
SI.L2-3.14.3	Security Alerts & Advisories	Correspondance	PM-15 PM-16 SI-5+2	Même sujet : Renseignement sur les menaces
SI.L2-3.14.4	Update Malicious Code Protection	Éditorial	CM-7(5)SI-3 SI-4	Même sujet : Protection des terminaux (choix de la rédaction)
SI.L2-3.14.5	System & File Scanning	Correspondance	SI-3	NIST SP 800-171r3 03.14.02 → SP 800-53
SI.L2-3.14.6	Monitor Communications for Attacks	Correspondance	CA-7 SI-4	Même sujet : Surveillance continue, Détection d'intrusion
SI.L2-3.14.7	Identify Unauthorized Use	Correspondance	AU-6 CA-7 SI-4	Même sujet : Détection d'anomalies, Surveillance continue

Par thème

Les deux couvrent (39) :

Seulement 800-53 (11) :

Politique de gouvernance Risque lié à la chaîne d'approvisionnement Rôles et responsabilités Environnement métier Sécurité DNS WAF Planification de la reprise Continuité des activités Reprise après sinistre Sécurité des API Gestion des risques fournisseurs

Questions

CMMC Level 2 est-il identique à NIST SP 800-171 ?

Le niveau 2 correspond aux 110 exigences de SP 800-171 Révision 2, avec les noms de pratiques et les règles d'évaluation du DoD. NIST a depuis publié la Révision 3, mais CMMC reste figé sur la Révision 2 tant que le DoD ne modifie pas la réglementation.

Si nous satisfaisons SP 800-53 Moderate, sommes-nous prêts pour CMMC Level 2 ?

Pour l'essentiel, oui : presque chaque pratique de niveau 2 se rattache à un contrôle SP 800-53. Il vous faudra toutefois une évaluation CMMC, vos preuves dans le format de l'évaluation et un plan de sécurité du système (SSP) délimité aux CUI.

Quel score faut-il pour CMMC Level 2 ?

Chacune des 110 exigences est notée selon la méthodologie d'évaluation du DoD, avec un score maximal de 110. Un statut Level 2 conditionnel assorti d'un plan d'action exige un score minimal fixé par la réglementation CMMC, et certaines exigences ne peuvent pas rester ouvertes.

L'autorisation FedRAMP couvre-t-elle CMMC ?

Pas automatiquement. FedRAMP couvre les contrôles d'un service cloud ; CMMC évalue l'environnement du sous-traitant qui traite des CUI. Un service cloud FedRAMP Moderate peut toutefois fournir des contrôles hérités pour le périmètre CMMC du sous-traitant.

CMMC passera-t-il à SP 800-171 Révision 3 ?

CMMC Level 2 est actuellement figé sur la Révision 2. Le DoD a indiqué que tout changement passerait par une procédure de réglementation ; d'ici là, évaluez par rapport à la Révision 2.

Quelle est la différence entre CMMC Level 1, 2 et 3 ?

Le niveau 1 couvre la protection de base des informations de contrats fédéraux (Federal Contract Information) avec 17 exigences, auto-évaluées. Le niveau 2 couvre les CUI avec les 110 exigences de SP 800-171 Rev 2. Le niveau 3 ajoute certaines exigences de SP 800-172 pour les programmes les plus sensibles, évaluées par le gouvernement.

Qui peut réaliser une évaluation de certification CMMC Level 2 ?

Une organisation tierce d'évaluation (C3PAO) agréée par CMMC, en faisant appel à des évaluateurs certifiés.

Les sous-traitants ont-ils aussi besoin de CMMC ?

Oui, lorsqu'ils traitent, stockent ou transmettent des CUI ou des Federal Contract Information dans le cadre du contrat. Les contractants principaux doivent répercuter les exigences CMMC pertinentes à leurs sous-traitants, au niveau approprié.

Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.