CMMC Level 2 ke SP 800-53: isi Appendix D dari NIST

Program CMMC Departemen Pertahanan AS (DoD) kini mulai diberlakukan melalui kontrak pertahanan, dan Level 2 adalah tingkat yang paling banyak dihadapi kontraktor yang menangani Controlled Unclassified Information. Level 2 terdiri atas 110 persyaratan keamanan dari NIST SP 800-171 Revision 2, dan persyaratan tersebut diturunkan dari SP 800-53, katalog kontrol federal. NIST mendokumentasikan secara rinci caranya dalam Appendix D SP 800-171 Rev 2.

Pemetaan tersebut adalah dokumen tunggal yang paling berguna bagi kontraktor yang sudah mengikuti 800-53, dan itu menjadi tulang punggung cara ControlMapping menghubungkan CMMC dengan semua kerangka kerja lainnya.

Seberapa lengkap penelusurannya

Dari 110 praktik CMMC, 109 (99%) dipetakan ke sesuatu dalam 800-53, 0 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Semua praktik CMMC Level 2 kecuali satu dipetakan ke kontrol SP 800-53 yang kami cantumkan. Tautannya berasal dari Appendix D milik NIST sendiri, sehingga diberi label crosswalk.

Per famili

bagian CMMC	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
AC Access Control	22 dari 22	0	0
AT Awareness and Training	3 dari 3	0	0
AU Audit and Accountability	9 dari 9	0	0
CA Security Assessment	4 dari 4	0	0
CM Configuration Management	9 dari 9	0	0
IA Identification and Authentication	11 dari 11	0	0
IR Incident Response	3 dari 3	0	0
MA Maintenance	6 dari 6	0	0
MP Media Protection	9 dari 9	0	0
PE Physical Protection	6 dari 6	0	0
PS Personnel Security	2 dari 2	0	0
RA Risk Assessment	3 dari 3	0	0
SC System and Communications Protection	15 dari 16	0	1
SI System and Information Integrity	7 dari 7	0	0

Miliki 800-53, butuhkan CMMC. Persyaratan demi persyaratan: buka laporan celah →

Cara kerja Appendix D

Appendix D memiliki tabel untuk masing-masing dari 14 famili persyaratan, yang mencantumkan setiap persyaratan beserta kontrol 800-53 asalnya. Dua hal berikut penting saat Anda menggunakannya:

• Persyaratan dasar dipetakan secara bersama. Dalam setiap famili, persyaratan “dasar” (diambil dari FIPS 200) berbagi satu sel gabungan berisi kontrol 800-53. Misalnya, 3.1.1 dan 3.1.2 sama-sama ditelusuri ke AC-2, AC-3 dan AC-17. Persyaratan “turunan” memiliki baris sendiri.
• ID-nya mengacu ke SP 800-53 Revision 4. Sebagian besar tetap berlaku di Revision 5 tanpa perubahan. Tujuh kontrol ditarik di Rev 5 dan digabungkan ke kontrol lain; katalog Rev 5 NIST menyebutkan ke mana masing-masing dipindahkan (misalnya, AU-8(1) pindah ke SC-45(1), dan MP-5(4) digabungkan ke SC-28(1)). Kami mengikuti tautan tersebut.

Satu praktik tanpa padanan

SC.L2-3.13.14 mewajibkan Anda mengendalikan dan memantau Voice over Internet Protocol. Appendix D memetakannya ke SC-19, yang ditarik NIST di Rev 5 tanpa penerus: VoIP kini diperlakukan seperti teknologi lain, di bawah kontrol batas dan komunikasi yang umum. Jadi dalam dunia Rev 5, praktik CMMC ini tidak memiliki kontrol 800-53 khusus, meskipun SC-7 dan SC-8 mencakup sebagian besar substansinya.

Arah sebaliknya

Dari 300 kontrol dasar 800-53, 114 (38%) dipetakan ke sesuatu dalam CMMC, 78 hanya terkait secara longgar, dan 108 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Sebagian besar SP 800-53 tidak memiliki padanan di CMMC, dan itu disengaja. SP 800-171 memilih kontrol yang relevan untuk melindungi kerahasiaan CUI di sistem non-federal dan meninggalkan sisanya: kontrol privasi, manajemen program khusus federal, banyak peningkatan (enhancement), serta kontrol yang diasumsikan sudah dijalankan oleh baseline “Non-Federal Organization” (termasuk kontrol kebijakan -1).

Dampaknya bagi kontraktor

1. Jika Anda menjalankan baseline moderate 800-53, Anda sudah memiliki sebagian besar substansinya. Pekerjaan Anda menjadi bukti dalam format CMMC, System Security Plan yang dibatasi pada CUI, dan asesmen.
2. Gunakan Appendix D untuk memakai ulang bukti. Untuk setiap praktik, kontrol 800-53 yang tercantum menunjukkan bukti kontrol yang sudah Anda miliki dan berlaku.
3. Perhatikan kesenjangan Rev 2 ke Rev 3. NIST dalam Revision 3 menulis ulang beberapa persyaratan, tetapi CMMC tetap terikat pada Revision 2. Lakukan asesmen sesuai dengan yang dipersyaratkan kontrak Anda.

Laporan analisis kesenjangan CMMC → SP 800-53 mencantumkan setiap praktik beserta kontrol Appendix D-nya, dan perbandingan CMMC vs SP 800-53 mencakup kedua arah. Nama praktik CMMC di situs ini adalah milik DoD; teks persyaratannya milik NIST (domain publik).

Pertanyaan

Apakah CMMC Level 2 sama dengan NIST SP 800-171?

Level 2 adalah 110 persyaratan keamanan SP 800-171 Revision 2, yang dinilai berdasarkan aturan CMMC milik DoD dengan nama praktiknya sendiri. NIST telah menerbitkan Revision 3, tetapi CMMC tetap terikat pada Revision 2.

Praktik CMMC mana yang tidak memiliki padanan di SP 800-53 Rev 5?

SC.L2-3.13.14 (mengendalikan dan memantau Voice over IP). Appendix D memetakannya ke SC-19, yang ditarik NIST di Rev 5 tanpa penerus, karena VoIP kini ditangani seperti teknologi lain.