CMMC Level 2 का SP 800-53 से संबंध: NIST के परिशिष्ट D से क्या पता चलता है

अमेरिकी रक्षा विभाग (US Department of Defense) का CMMC कार्यक्रम अब रक्षा अनुबंधों के ज़रिए लागू हो रहा है, और लेवल 2 वह स्तर है जिसके अंतर्गत नियंत्रित अवर्गीकृत सूचना (CUI) संभालने वाले अधिकांश ठेकेदार आते हैं। लेवल 2, NIST SP 800-171 Revision 2 की 110 सुरक्षा आवश्यकताएँ हैं, और ये आवश्यकताएँ संघीय नियंत्रण कैटलॉग SP 800-53 से निकाली गई थीं। NIST ने SP 800-171 Rev 2 के परिशिष्ट D में ठीक-ठीक बताया है कि यह कैसे हुआ।

यह मैपिंग उन ठेकेदारों के लिए सबसे उपयोगी एकल दस्तावेज़ है जो पहले से 800-53 का पालन करते हैं, और यही वह आधार है जिस पर ControlMapping CMMC को बाकी सब से जोड़ता है।

ट्रेस कितना पूरा है

110 CMMC प्रथाएँ में से 109 (99%) 800-53 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 1 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

CMMC लेवल 2 की एक को छोड़कर सभी प्रैक्टिस हमारी सूची में दिए गए SP 800-53 नियंत्रण से मैप होती हैं। ये लिंक NIST के अपने परिशिष्ट D से आते हैं, इसलिए इन्हें क्रॉसवॉक के रूप में चिह्नित किया गया है।

फ़ैमिली के अनुसार

CMMC अनुभाग	मैप किया गया	ढीले तौर पर संबंधित	कोई मैपिंग नहीं
AC Access Control	22 में से 22	0	0
AT Awareness and Training	3 में से 3	0	0
AU Audit and Accountability	9 में से 9	0	0
CA Security Assessment	4 में से 4	0	0
CM Configuration Management	9 में से 9	0	0
IA Identification and Authentication	11 में से 11	0	0
IR Incident Response	3 में से 3	0	0
MA Maintenance	6 में से 6	0	0
MP Media Protection	9 में से 9	0	0
PE Physical Protection	6 में से 6	0	0
PS Personnel Security	2 में से 2	0	0
RA Risk Assessment	3 में से 3	0	0
SC System and Communications Protection	16 में से 15	0	1
SI System and Information Integrity	7 में से 7	0	0

800-53 है, CMMC चाहिए। आवश्यकता-दर-आवश्यकता: गैप रिपोर्ट खोलें →

परिशिष्ट D कैसे काम करता है

परिशिष्ट D में 14 आवश्यकता फ़ैमिली में से हर एक के लिए एक तालिका है, जिसमें हर आवश्यकता के साथ वे 800-53 नियंत्रण लिखे हैं जिनसे वह निकली है। इसका उपयोग करते समय दो बातें मायने रखती हैं:

• बेसिक आवश्यकताओं की मैपिंग संयुक्त रूप से होती है। हर फ़ैमिली में “बेसिक” आवश्यकताएँ (FIPS 200 से ली गई) 800-53 नियंत्रणों के एक साझा मर्ज्ड सेल को साझा करती हैं। उदाहरण के लिए, 3.1.1 और 3.1.2 दोनों AC-2, AC-3 और AC-17 से ट्रेस होते हैं। “डेरिव्ड” आवश्यकताओं की अपनी अलग पंक्तियाँ होती हैं।
• ID SP 800-53 Revision 4 के हैं। इनमें से अधिकांश Revision 5 में बिना बदलाव के चलते हैं। सात को Rev 5 में वापस ले लिया गया और अन्य नियंत्रणों में समाहित कर दिया गया; NIST का Rev 5 कैटलॉग बताता है कि हर एक कहाँ गया (उदाहरण के लिए, AU-8(1) SC-45(1) में चला गया, और MP-5(4) को SC-28(1) में शामिल किया गया)। हम उन लिंकों का पालन करते हैं।

वह एक प्रैक्टिस जिसका कोई मिलान नहीं

SC.L2-3.13.14 के अनुसार आपको Voice over Internet Protocol को नियंत्रित और मॉनिटर करना होता है। परिशिष्ट D इसे SC-19 से मैप करता है, जिसे NIST ने Rev 5 में बिना किसी उत्तराधिकारी के वापस ले लिया: अब VoIP को किसी भी अन्य तकनीक की तरह माना जाता है, सामान्य सीमा और संचार नियंत्रणों के अंतर्गत। अतः Rev 5 के परिदृश्य में इस CMMC प्रैक्टिस का कोई समर्पित 800-53 नियंत्रण नहीं है, हालाँकि SC-7 और SC-8 इसके अधिकांश सार को कवर करते हैं।

दूसरी दिशा में

300 800-53 बेस कंट्रोल में से 114 (38%) CMMC में किसी चीज़ से मैप होते हैं, 78 केवल ढीले तौर पर संबंधित हैं और 108 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

SP 800-53 का अधिकांश हिस्सा CMMC में कोई समकक्ष नहीं रखता, और यह जानबूझकर है। SP 800-171 गैर-संघीय सिस्टम में CUI की गोपनीयता की सुरक्षा से प्रासंगिक नियंत्रणों को चुनता है और बाकी को छोड़ देता है: गोपनीयता नियंत्रण, संघ-विशिष्ट कार्यक्रम प्रबंधन, कई एन्हांसमेंट, और वे नियंत्रण जिन्हें “Non-Federal Organization” बेसलाइन मानकर चलता है कि आप वैसे भी करते हैं (इनमें -1 नीति नियंत्रण भी शामिल हैं)।

ठेकेदारों के लिए इसका मतलब

1. यदि आप 800-53 मॉडरेट बेसलाइन चलाते हैं, तो आपके पास अधिकांश सार पहले से है। आपका काम CMMC के प्रारूप में साक्ष्य, CUI के दायरे वाली एक सिस्टम सुरक्षा योजना (System Security Plan) और एक मूल्यांकन है।
2. साक्ष्य का पुनः उपयोग करने के लिए परिशिष्ट D का उपयोग करें। हर प्रैक्टिस के लिए, सूचीबद्ध 800-53 नियंत्रण आपको बताते हैं कि आपके मौजूदा नियंत्रण साक्ष्य में से कौन-सा लागू होता है।
3. Rev 2 से Rev 3 के अंतर पर नज़र रखें। NIST के Revision 3 ने कई आवश्यकताएँ फिर से लिखीं, लेकिन CMMC अब भी Revision 2 से बँधा है। अपने अनुबंध की आवश्यकताओं के आधार पर मूल्यांकन करें।

CMMC → SP 800-53 गैप रिपोर्ट हर प्रैक्टिस को उसके परिशिष्ट D नियंत्रणों के साथ सूचीबद्ध करती है, और CMMC बनाम SP 800-53 तुलना दोनों दिशाओं को कवर करती है। इस साइट पर CMMC प्रैक्टिस के नाम DoD के हैं; आवश्यकता का पाठ NIST का है (सार्वजनिक डोमेन)।

प्रश्न

क्या CMMC Level 2, NIST SP 800-171 के समान है?

Level 2, SP 800-171 Revision 2 की 110 सुरक्षा आवश्यकताएँ हैं, जिनका मूल्यांकन DoD के CMMC नियमों के तहत उसके अपने प्रैक्टिस नामों के साथ होता है। NIST ने Revision 3 प्रकाशित किया है, लेकिन CMMC अब भी Revision 2 से बँधा है।

कौन-सी CMMC प्रैक्टिस का SP 800-53 Rev 5 में कोई मिलान नहीं है?

SC.L2-3.13.14 (Voice over IP को नियंत्रित और मॉनिटर करना)। परिशिष्ट D इसे SC-19 से मैप करता है, जिसे NIST ने Rev 5 में बिना किसी उत्तराधिकारी के वापस ले लिया, क्योंकि अब VoIP को किसी भी अन्य तकनीक की तरह संभाला जाता है।