Mempersiapkan penilaian CMMC Level 2 ketika Anda sudah menjalankan SP 800-53

CMMC Level 2 kini mulai dimasukkan ke dalam kontrak pertahanan AS, dan banyak kontraktor yang menghadapinya sudah menjalankan kontrol NIST SP 800-53, baik untuk pekerjaan federal, FedRAMP, atau sekadar sebagai pustaka kontrol mereka. Itu merupakan titik awal yang kuat: setiap praktik CMMC Level 2 dapat ditelusuri ke SP 800-53 melalui pemetaan resmi NIST sendiri, sebagaimana ditunjukkan oleh analisis Appendix D kami.

Dari 110 praktik CMMC, 109 (99%) dipetakan ke sesuatu dalam 800-53, 0 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Jadi, kontrolnya sebagian besar sudah tersedia. Yang tidak otomatis adalah penentuan ruang lingkup, dokumentasi, dan penilaian itu sendiri.

Langkah 1: tentukan ruang lingkup lingkungan CUI

CMMC berlaku untuk sistem yang memproses, menyimpan, atau mentransmisikan Informasi Tidak Terklasifikasi Terkendali (CUI), serta aset yang melindunginya. Petakan di mana CUI masuk, di mana CUI disimpan, dan siapa yang mengaksesnya. Batas yang ketat dan terdokumentasi dengan baik (sering kali berupa enclave) mengurangi jumlah aset yang harus diperiksa assessor. Batas otorisasi 800-53 untuk sistem federal jarang sama dengan batas CUI Anda.

Langkah 2: tulis System Security Plan untuk batas tersebut

SSP (CA.L2-3.12.4) menjelaskan batas, lingkungan, dan cara setiap dari 110 persyaratan diimplementasikan. Gunakan ulang deskripsi kontrol 800-53 Anda, tetapi tulis ulang untuk lingkungan CUI dan gunakan pengidentifikasi praktik CMMC; assessor bekerja praktik demi praktik.

Langkah 3: periksa redaksi Rev 2

CMMC mengacu pada SP 800-171 Revision 2. Jika implementasi 800-53 Anda lebih luas, biasanya itu memenuhi praktik tersebut; jika Rev 2 bersifat spesifik (kriptografi tervalidasi FIPS untuk CUI, kunci sesi, konten audit tertentu), periksa detailnya.

Langkah 4: petakan bukti ke tujuan penilaian

Assessor menguji setiap praktik terhadap tujuan penilaian, dengan memeriksa dokumen, mewawancarai orang, dan menguji mekanisme. Untuk setiap praktik, daftarkan bukti yang sudah Anda hasilkan untuk kontrol 800-53 yang sesuai, lalu lengkapi kekosongannya. Halaman persyaratan kami menunjukkan kontrol 800-53 asal setiap praktik.

Langkah 5: lakukan penilaian mandiri secara jujur dan hitung skornya

Jalankan terlebih dahulu metodologi penilaian DoD secara mandiri, lalu hitung skornya. Perbaiki yang gagal. Rencana tindakan terbatas diizinkan untuk beberapa persyaratan, tetapi harus ditutup dalam 180 hari, dan beberapa persyaratan tidak dapat ditunda sama sekali.

Bukti yang diharapkan assessor

Untuk setiap praktik, assessor mencari tiga jenis bukti: dokumen (kebijakan, prosedur, SSP), wawancara dengan orang yang melaksanakan praktik tersebut, serta pengujian atau demonstrasi mekanisme. Permintaan yang umum meliputi:

• daftar akun dan persetujuan akses untuk sistem CUI (AC.L2-3.1.1, 3.1.2);
• konfigurasi MFA untuk akses istimewa dan akses jaringan (IA.L2-3.5.3);
• konfigurasi log audit, retensi, dan catatan tinjauan (AU.L2-3.3.1, 3.3.2);
• konfigurasi baseline dan catatan perubahan (CM.L2-3.4.1 sampai 3.4.3);
• hasil pemindaian kerentanan dan remediasinya (RA.L2-3.11.2, 3.11.3);
• rencana respons insiden dan catatan pengujian (IR.L2-3.6.1, 3.6.3);
• pengaturan enkripsi yang menunjukkan modul tervalidasi FIPS tempat CUI dilindungi (SC.L2-3.13.11).

Sebagian besar bukti ini sudah ada di lingkungan 800-53; pekerjaannya adalah mengumpulkannya untuk batas CUI dan memberi label menurut praktik. Setiap halaman praktik, misalnya AC.L2-3.1.1, mencantumkan kontrol 800-53 yang buktinya dapat digunakan ulang.

Poin utama

• Baseline 800-53 memberi Anda sebagian besar substansi CMMC Level 2.
• Pekerjaannya adalah menentukan ruang lingkup CUI, menulis SSP, dan memetakan bukti ke setiap praktik.
• Lakukan penilaian mandiri secara jujur terhadap metodologi DoD sebelum penilaian sebenarnya.

Jebakan umum

• Perluasan ruang lingkup: CUI menyebar ke email, berbagi file, dan laptop di luar enclave.
• Layanan bersama: identitas, logging, dan alat manajemen yang menyentuh lingkungan CUI juga termasuk dalam ruang lingkup.
• Penyedia layanan eksternal: layanan cloud yang menangani CUI harus memenuhi persyaratan federal yang sesuai, biasanya FedRAMP Moderate atau setara.
• Klaim pewarisan tanpa bukti: jika suatu kontrol diwarisi dari penyedia, simpan dokumentasi mereka.

Perbandingan CMMC vs SP 800-53 mencantumkan setiap praktik beserta kontrol sumbernya, dan analisis kesenjangan mengekspornya sebagai pelacak.

Pertanyaan

Siapa yang menilai CMMC Level 2?

Bergantung pada kontraknya, bisa kontraktor itu sendiri (penilaian mandiri) atau Organisasi Penilaian Pihak Ketiga CMMC yang diotorisasi (C3PAO). Sebagian besar kontrak yang melibatkan CUI memerlukan penilaian sertifikasi pihak ketiga.

Apa itu System Security Plan?

Dokumen yang menjelaskan batas sistem, lingkungan, dan cara setiap persyaratan keamanan diimplementasikan. Dokumen ini diwajibkan oleh SP 800-171 (praktik CMMC CA.L2-3.12.4) dan merupakan hal pertama yang dibaca assessor.

Dapatkah otorisasi FedRAMP penyedia cloud mencakup praktik CMMC?

Bisa, untuk praktik yang diimplementasikan penyedia bagi Anda, sebagai kontrol yang diwarisi, jika penyedia memenuhi baseline yang disyaratkan dan Anda menyimpan dokumentasinya. Anda tetap bertanggung jawab atas konfigurasi, pengguna, dan data Anda sendiri dalam layanan tersebut.