Référentiel
CMMC Level 2
De quoi il s'agit
Le modèle de certification de maturité en cybersécurité du Département de la Défense américain (CMMC). Le Niveau 2 correspond aux 110 exigences de sécurité de NIST SP 800-171 Rev 2 pour la protection des informations non classifiées contrôlées (CUI). La règle du programme est entrée en vigueur en décembre 2024, et les exigences contractuelles sont déployées progressivement à partir de novembre 2025.
À qui il s'adresse
Entrepreneurs et sous-traitants de la Défense qui traitent, stockent ou transmettent des CUI.
Comment l'évaluation est réalisée
Une auto-évaluation ou, pour la plupart des contrats CUI, une évaluation de certification réalisée par un évaluateur tiers accrédité (C3PAO), tous les trois ans, avec une attestation annuelle. Un plan d'action et de jalons limité est admis pour certaines exigences, à clôturer dans un délai de 180 jours.
110
Pratiques
109
Mis en correspondance avec un autre référentiel
78%
Sujets couverts (39/50)
Comparaisons
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Contrôle d'accès, Zero Trust | 11 sur 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Contrôle d'accès | 11 sur 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 sur 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 sur 13 |
| AC.L2-3.1.5 | Least Privilege | Accès privilégiés | 10 sur 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Accès privilégiés | 10 sur 13 |
| AC.L2-3.1.7 | Privileged Functions | Accès privilégiés | 10 sur 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 sur 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 sur 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 sur 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 sur 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 sur 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Chiffrement | 10 sur 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 sur 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 sur 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 sur 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 sur 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Sécurité mobile | 7 sur 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Chiffrement, Sécurité mobile | 11 sur 13 |
| AC.L2-3.1.20 | External Connections | Sécurité du cloud | 11 sur 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 sur 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 sur 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Sensibilisation et formation | 10 sur 13 |
| AT.L2-3.2.2 | Role-Based Training | Sensibilisation et formation | 10 sur 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Sensibilisation et formation, Menace interne | 10 sur 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Journalisation et audit | 10 sur 13 |
| AU.L2-3.3.2 | User Accountability | Journalisation et audit, Menace interne | 11 sur 13 |
| AU.L2-3.3.3 | Event Review | — | 1 sur 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 sur 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 sur 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Criminalistique numérique | 7 sur 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Journalisation et audit | 10 sur 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 sur 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 sur 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Conformité | 10 sur 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 sur 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 sur 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 sur 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Gestion des actifs, Configuration sécurisée | 13 sur 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Configuration sécurisée | 9 sur 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 sur 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 sur 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 sur 13 |
| CM.L2-3.4.6 | Least Functionality | Configuration sécurisée | 9 sur 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Configuration sécurisée | 9 sur 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 sur 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 sur 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 sur 13 |
| IA.L2-3.5.2 | Authentication | — | 1 sur 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Authentification multifacteur | 10 sur 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 sur 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 sur 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 sur 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 sur 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 sur 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 sur 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 sur 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 sur 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Réponse aux incidents, Atténuation, Enseignements tirés | 12 sur 13 |
| IR.L2-3.6.2 | Incident Reporting | Communication, Notification, Communication et rétablissement | 12 sur 13 |
| IR.L2-3.6.3 | Incident Response Testing | Réponse aux incidents | 12 sur 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 sur 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 sur 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 sur 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 sur 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 sur 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 sur 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 sur 13 |
| MP.L2-3.8.2 | Media Access | — | 1 sur 13 |
| MP.L2-3.8.3 | Media Disposal | Protection des données | 11 sur 13 |
| MP.L2-3.8.4 | Media Markings | Classification des données | 9 sur 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 sur 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Chiffrement | 10 sur 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 sur 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 sur 13 |
| MP.L2-3.8.9 | Protect Backups | Sauvegarde et restauration | 11 sur 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Sécurité physique | 8 sur 13 |
| PE.L2-3.10.2 | Monitor Facility | Sécurité physique | 8 sur 13 |
| PE.L2-3.10.3 | Escort Visitors | Sécurité physique | 8 sur 13 |
| PE.L2-3.10.4 | Physical Access Logs | Sécurité physique | 8 sur 13 |
| PE.L2-3.10.5 | Manage Physical Access | Sécurité physique | 8 sur 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Sécurité physique | 8 sur 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Menace interne | 8 sur 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 sur 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Gestion des risques, Évaluation des risques | 10 sur 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Gestion des vulnérabilités | 13 sur 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Gestion des vulnérabilités | 13 sur 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Pare-feu / Segmentation réseau, Sécurité web, Zero Trust | 9 sur 13 |
| SC.L2-3.13.2 | Security Engineering | Développement sécurisé | 8 sur 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 sur 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 sur 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Pare-feu / Segmentation réseau | 9 sur 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Pare-feu / Segmentation réseau, Zero Trust | 9 sur 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 sur 13 |
| SC.L2-3.13.8 | Data in Transit | Chiffrement | 10 sur 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 sur 13 |
| SC.L2-3.13.10 | Key Management | Chiffrement | 10 sur 13 |
| SC.L2-3.13.11 | CUI Encryption | Chiffrement | 10 sur 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 sur 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 sur 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | aucun |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 sur 13 |
| SC.L2-3.13.16 | Data at Rest | Chiffrement, Protection des données | 11 sur 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Gestion des correctifs | 10 sur 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Protection des terminaux, Sécurité de la messagerie | 10 sur 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Renseignement sur les menaces | 6 sur 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Protection des terminaux | 10 sur 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 sur 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Surveillance continue, Détection d'intrusion | 11 sur 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Surveillance continue, Détection d'anomalies | 10 sur 13 |
Couverture du sujet
Thèmes avec des exigences CMMC mappées (39) :
Sensibilisation et formationGestion des risquesConformitéGestion des actifsÉvaluation des risquesClassification des donnéesGestion des vulnérabilitésRenseignement sur les menacesContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationEnseignements tirésCommunication et rétablissementMenace interneSécurité physique
Aucune correspondance dans nos données Aucune exigence CMMC (11) :