जब आप पहले से SP 800-53 संचालित करते हों, तब CMMC Level 2 मूल्यांकन की तैयारी

CMMC Level 2 अब अमेरिकी रक्षा अनुबंधों में शामिल की जा रही है, और इसका सामना करने वाले कई ठेकेदार पहले से NIST SP 800-53 नियंत्रण संचालित करते हैं, चाहे संघीय कार्य के लिए, FedRAMP के लिए, या बस अपनी नियंत्रण लाइब्रेरी के रूप में। यह एक मज़बूत शुरुआती बिंदु है: हर CMMC Level 2 प्रैक्टिस NIST की अपनी मैपिंग के ज़रिए SP 800-53 तक जाती है, जैसा कि हमारा Appendix D विश्लेषण दिखाता है।

110 CMMC प्रथाएँ में से 109 (99%) 800-53 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 1 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

तो नियंत्रण ज़्यादातर पहले से मौजूद हैं। जो अपने-आप नहीं होता वह है दायरा तय करना, दस्तावेज़ीकरण और स्वयं मूल्यांकन।

चरण 1: CUI वातावरण का दायरा तय करें

CMMC उन सिस्टमों पर लागू होता है जो नियंत्रित अवर्गीकृत सूचना (CUI) को संसाधित, संग्रहीत या प्रेषित करते हैं, और उनकी सुरक्षा करने वाली संपत्तियों पर भी। मैप करें कि CUI कहाँ प्रवेश करती है, कहाँ रहती है और उसे कौन छूता है। एक कसी हुई, अच्छी तरह दस्तावेज़ित सीमा (अक्सर एक enclave) मूल्यांकनकर्ता द्वारा जाँची जाने वाली संपत्तियों की संख्या घटाती है। संघीय सिस्टम के लिए 800-53 प्राधिकरण सीमा शायद ही आपकी CUI सीमा के बराबर होती है।

चरण 2: उस सीमा के लिए System Security Plan लिखें

SSP (CA.L2-3.12.4) सीमा, वातावरण और यह वर्णन करता है कि 110 में से हर आवश्यकता कैसे लागू की गई है। अपने 800-53 नियंत्रण विवरणों का पुनः उपयोग करें, लेकिन उन्हें CUI वातावरण के लिए फिर से लिखें और CMMC के प्रैक्टिस पहचानकर्ताओं का उपयोग करें, क्योंकि मूल्यांकनकर्ता प्रैक्टिस-दर-प्रैक्टिस काम करते हैं।

चरण 3: Rev 2 के शब्दों की जाँच करें

CMMC SP 800-171 Revision 2 से बंधा है। जहाँ आपका 800-53 कार्यान्वयन व्यापक है, वहाँ वह आम तौर पर प्रैक्टिस को पूरा करता है; जहाँ Rev 2 विशिष्ट है (CUI के लिए FIPS-सत्यापित क्रिप्टोग्राफ़ी, सत्र लॉक, विशिष्ट ऑडिट सामग्री), वहाँ विवरण की जाँच करें।

चरण 4: साक्ष्य को मूल्यांकन उद्देश्यों से मैप करें

मूल्यांकनकर्ता हर प्रैक्टिस को मूल्यांकन उद्देश्यों के विरुद्ध परखते हैं, जिसमें दस्तावेज़ों की जाँच, लोगों से साक्षात्कार और तंत्रों का परीक्षण शामिल है। हर प्रैक्टिस के लिए, मिलते-जुलते 800-53 नियंत्रणों के लिए आप पहले से जो साक्ष्य बनाते हैं उनकी सूची बनाएँ और कमियाँ भरें। हमारे आवश्यकता पृष्ठ दिखाते हैं कि हर प्रैक्टिस किन 800-53 नियंत्रणों से आती है।

चरण 5: ईमानदारी से स्व-मूल्यांकन करें और स्कोर निकालें

सबसे पहले स्वयं DoD मूल्यांकन पद्धति चलाएँ और स्कोर की गणना करें। जो विफल हो उसे ठीक करें। कुछ आवश्यकताओं के लिए सीमित कार्य योजनाएँ स्वीकार्य हैं, पर उन्हें 180 दिनों के भीतर बंद करना होगा, और कुछ आवश्यकताओं को बिल्कुल टाला नहीं जा सकता।

मूल्यांकनकर्ताओं की अपेक्षित साक्ष्य

हर प्रैक्टिस के लिए मूल्यांकनकर्ता तीन प्रकार के साक्ष्य देखते हैं: दस्तावेज़ (नीतियाँ, प्रक्रियाएँ, SSP), वे लोग जो प्रैक्टिस करते हैं उनके साथ साक्षात्कार, और तंत्रों के परीक्षण या प्रदर्शन। आम अनुरोधों में शामिल हैं:

• CUI सिस्टमों के लिए खाता सूचियाँ और पहुँच स्वीकृतियाँ (AC.L2-3.1.1, 3.1.2);
• विशेषाधिकार प्राप्त और नेटवर्क पहुँच के लिए MFA कॉन्फ़िगरेशन (IA.L2-3.5.3);
• ऑडिट लॉग कॉन्फ़िगरेशन, प्रतिधारण और समीक्षा रिकॉर्ड (AU.L2-3.3.1, 3.3.2);
• बेसलाइन कॉन्फ़िगरेशन और परिवर्तन रिकॉर्ड (CM.L2-3.4.1 से 3.4.3);
• भेद्यता स्कैन परिणाम और सुधार (RA.L2-3.11.2, 3.11.3);
• घटना प्रतिक्रिया योजना और परीक्षण रिकॉर्ड (IR.L2-3.6.1, 3.6.3);
• एन्क्रिप्शन सेटिंग्स जो जहाँ CUI सुरक्षित है वहाँ FIPS-सत्यापित मॉड्यूल दिखाएँ (SC.L2-3.13.11)।

इनमें से अधिकांश 800-53 वातावरण में पहले से मौजूद होते हैं; काम उन्हें CUI सीमा के लिए इकट्ठा करना और प्रैक्टिस के अनुसार लेबल करना है। हर प्रैक्टिस पृष्ठ, जैसे AC.L2-3.1.1, उन 800-53 नियंत्रणों की सूची देता है जिनके साक्ष्य का पुनः उपयोग किया जा सकता है।

मुख्य बिंदु

• 800-53 बेसलाइन आपको CMMC Level 2 का अधिकांश सार देती है।
• काम है CUI का दायरा तय करना, SSP लिखना और हर प्रैक्टिस के लिए साक्ष्य मैप करना।
• वास्तविक मूल्यांकन से पहले DoD की पद्धति के विरुद्ध ईमानदारी से स्व-मूल्यांकन करें।

आम गलतियाँ

• दायरे का फैलाव: CUI का ईमेल, फ़ाइल शेयर और enclave से बाहर के लैपटॉप तक फैल जाना।
• साझा सेवाएँ: पहचान, लॉगिंग और प्रबंधन उपकरण जो CUI वातावरण को छूते हैं, वे भी दायरे में हैं।
• बाहरी सेवा प्रदाता: जो क्लाउड सेवाएँ CUI संभालती हैं, उन्हें उपयुक्त संघीय आवश्यकताएँ पूरी करनी होंगी, आम तौर पर FedRAMP Moderate या समकक्ष।
• बिना साक्ष्य के विरासत के दावे: अगर कोई नियंत्रण प्रदाता से विरासत में मिला है, तो उनका दस्तावेज़ीकरण सँभालकर रखें।

CMMC बनाम SP 800-53 तुलना हर प्रैक्टिस को उसके स्रोत नियंत्रणों के साथ सूचीबद्ध करती है, और गैप विश्लेषण उन्हें ट्रैकर के रूप में निर्यात करता है।

प्रश्न

CMMC Level 2 का मूल्यांकन कौन करता है?

अनुबंध के अनुसार, या तो ठेकेदार स्वयं (स्व-मूल्यांकन) या अधिकृत CMMC Third-Party Assessment Organization (C3PAO)। CUI से जुड़े अधिकांश अनुबंधों में तृतीय-पक्ष प्रमाणन मूल्यांकन आवश्यक होता है।

System Security Plan क्या है?

एक दस्तावेज़ जो सिस्टम की सीमा, वातावरण और यह वर्णन करता है कि हर सुरक्षा आवश्यकता कैसे लागू की गई है। यह SP 800-171 (CMMC प्रैक्टिस CA.L2-3.12.4) द्वारा अपेक्षित है और मूल्यांकनकर्ता सबसे पहले इसे पढ़ते हैं।

क्या क्लाउड प्रदाता का FedRAMP प्राधिकरण CMMC प्रैक्टिसों को कवर कर सकता है?

यह उन प्रैक्टिसों को कवर कर सकता है जिन्हें प्रदाता आपके लिए लागू करता है, विरासत में मिले नियंत्रणों के रूप में, बशर्ते प्रदाता आवश्यक बेसलाइन पूरी करे और आप उसका दस्तावेज़ीकरण रखें। सेवा के भीतर अपने कॉन्फ़िगरेशन, उपयोगकर्ताओं और डेटा की ज़िम्मेदारी फिर भी आपकी ही रहती है।