Perbandingan
CMMC Level 2 vs NIST SP 800-53: 110 praktik dan katalog induknya
CMMC Level 2 · NIST SP 800-53 Rev 5.2 · data 2026-10-27
Menurut Paul Gillet · Diperbarui 2026-10-17
CMMC Level 2 adalah persyaratan Departemen Pertahanan AS untuk kontraktor yang menangani Controlled Unclassified Information. 110 praktiknya merupakan persyaratan keamanan dari NIST SP 800-171 Rev 2, yang diturunkan NIST dari baseline Moderate SP 800-53 dan disesuaikan untuk organisasi non-federal. Sebagian besar kontraktor Level 2 memerlukan penilaian pihak ketiga oleh C3PAO setiap tiga tahun sekali.
Karena 800-171 berasal dari 800-53, hampir setiap praktik CMMC memiliki padanan langsung, dan ControlMapping menelusurinya melalui pemetaan resmi NIST: Lampiran D SP 800-171 Rev 2, ditambah referensi SP 800-171 Rev 3 → SP 800-53. Dari 800-53 ke CMMC Level 2, cakupannya hampir lengkap. Satu pengecualian adalah pemantauan VoIP (SC.L2-3.13.14): Lampiran D memetakannya ke SC-19, yang ditarik NIST pada Rev 5 tanpa pengganti.
Dari CMMC ke 800-53, sebagian besar katalog tampil sebagai tidak cocok atau hanya terkait secara longgar. Itu wajar: CMMC Level 2 memang merupakan subset yang disengaja. Ia tidak mencakup kontrol yang hanya relevan untuk sistem federal atau baseline yang lebih tinggi, dan banyak peningkatan (enhancement) 800-53.
Satu hal yang perlu diperhatikan: CMMC Level 2 terikat pada SP 800-171 Rev 2 meskipun NIST telah menerbitkan Rev 3. Lakukan penilaian terhadap versi yang benar-benar disyaratkan oleh kontrak Anda dan aturan CMMC.
Sekilas
| CMMC | 800-53 | |
|---|---|---|
| Apa itu | Sertifikasi DoD atas 110 praktik (NIST SP 800-171 Rev 2) | Katalog kontrol keamanan dan privasi untuk sistem federal |
| Siapa yang memerlukannya | Kontraktor pertahanan yang menangani CUI | Badan federal dan sistemnya; penyedia layanan cloud FedRAMP |
| Penilaian | Penilaian mandiri atau sertifikasi C3PAO setiap tiga tahun | Penilaian dan otorisasi Risk Management Framework |
| Pemetaan resmi | SP 800-171r2 Lampiran D memetakan setiap persyaratan ke 800-53 | — |
Hubungan ketiga dokumen NIST dan DoD
- SP 800-53 adalah katalog lengkap kontrol keamanan dan privasi NIST untuk sistem federal, dengan baseline dalam SP 800-53B.
- SP 800-171 memilih dan menyesuaikan kontrol yang relevan untuk melindungi Controlled Unclassified Information pada sistem non-federal. Revisi 2-nya memiliki 110 persyaratan, dan Lampiran D memetakan setiap persyaratan ke sumber 800-53-nya.
- CMMC Level 2 adalah program DoD yang menilai kontraktor terhadap 110 persyaratan SP 800-171 Revisi 2 tersebut, dengan nama praktik, penilaian skor, dan aturan sertifikasinya sendiri.
Jadi, CMMC Level 2 merupakan subset 800-53 yang disengaja, dinilai dalam konteks kontrak pertahanan.
Perubahan Revisi 3, dan mengapa belum berlaku
NIST menerbitkan SP 800-171 Revisi 3 pada 2024. Revisi ini menyelaraskan ulang persyaratan dengan SP 800-53 Rev 5, menggabungkan atau menarik beberapa di antaranya, menambahkan parameter yang ditentukan organisasi, dan memberi nomor ulang (03.01.01 alih-alih 3.1.1). CMMC Level 2 tetap terikat pada Revisi 2, sehingga penilaian menguji persyaratan Rev 2. Rev 3 tetap berguna: jika persyaratan Rev 2 dipetakan ke persyaratan Rev 3, ControlMapping menggunakan referensi Rev 3 NIST sebagai bukti tambahan, dan organisasi yang merencanakan ke depan dapat merancang kontrol yang memenuhi keduanya.
Siapa memerlukan yang mana
SP 800-53 berlaku untuk sistem informasi federal AS dan layanan cloud yang mencari otorisasi FedRAMP. CMMC Level 2 berlaku untuk kontraktor dan subkontraktor pertahanan yang kontraknya melibatkan CUI. Banyak perusahaan memerlukan keduanya: penyedia cloud yang melayani badan federal di bawah FedRAMP (800-53) dan kontraktor pertahanan (CMMC), atau kontraktor yang sistemnya sendiri menyimpan CUI sambil menjalankan sistem federal untuk pelanggan lain.
Biaya dan upaya
Bagi organisasi yang sudah mengoperasikan baseline Moderate 800-53, CMMC Level 2 jarang memerlukan teknologi baru. Biaya terletak pada penentuan ruang lingkup lingkungan CUI, penyusunan System Security Plan untuknya, pemetaan bukti ke setiap praktik, dan penilaiannya sendiri: penilaian mandiri atau, untuk sebagian besar kontrak dengan CUI, penilaian sertifikasi oleh C3PAO berwenang setiap tiga tahun. Sebaliknya, kontraktor yang sudah siap CMMC lalu mencari otorisasi FedRAMP menghadapi kumpulan kontrol yang jauh lebih besar, proses otorisasi federal, dan pemantauan berkelanjutan.
Lini masa menuju penilaian sertifikasi
Persyaratan CMMC diterapkan secara bertahap pada kontrak DoD, dengan sertifikasi pihak ketiga diwajibkan pada lebih banyak kontrak mulai dari fase kedua program. Kontraktor dengan lingkungan 800-53 biasanya memerlukan dua hingga empat bulan untuk menentukan ruang lingkup CUI, menyusun SSP dan mengumpulkan bukti, lalu penilaian mandiri berdasarkan metodologi DoD, kemudian penilaian C3PAO, yang penjadwalannya bisa memakan waktu. Sertifikasi bersyarat dengan rencana tindakan terbatas dimungkinkan jika skor mencapai minimum yang disyaratkan, dengan item terbuka diselesaikan dalam 180 hari.
Contoh kasus: subkontraktor pertahanan
Sebuah firma teknik dengan 120 karyawan memasok komponen kepada kontraktor utama dan menerima gambar teknis yang ditandai CUI. Firma ini sudah menjalankan kontrol Moderate SP 800-53 untuk kontrak riset federal terpisah. Firma ini menentukan ruang lingkup enclave CUI yang mencakup server file teknik, workstation desain, dan sistem identitasnya, menggunakan kembali kebijakan 800-53 dan bukti yang dipetakan melalui Lampiran D, serta memastikan enkripsi tervalidasi FIPS untuk enclave tersebut. Penilaian mandirinya mendapat skor baik; kesenjangan yang tersisa sempit (pemantauan VoIP dan beberapa pengaturan audit). Firma ini memesan penilaian C3PAO dan meneruskan persyaratan penanganan CUI kepada dua subkontraktornya.
Kesalahan umum
- Menentukan ruang lingkup batas otorisasi federal alih-alih batas CUI. Keduanya jarang sama.
- Menganggap bukti 800-53 langsung cocok. Asesor bekerja praktik demi praktik, dengan pengenal CMMC dan tujuan penilaian tersendiri.
- Melupakan layanan bersama. Identitas, pencatatan log, dan alat manajemen yang menyentuh enclave CUI termasuk dalam ruang lingkup.
- Menggunakan kriptografi yang belum tervalidasi padahal kerahasiaan CUI bergantung padanya.
- Tidak meneruskan persyaratan kepada subkontraktor yang menerima CUI.
Poin utama
- Jika Anda sudah mengoperasikan baseline 800-53 Moderate, CMMC Level 2 pada dasarnya merupakan latihan bukti dan penilaian.
- CMMC → 800-53 (misalnya pindah ke FedRAMP): bersiaplah menghadapi lompatan besar dalam ruang lingkup.
- Lacak revisi 800-171 mana yang dirujuk kontrak Anda.
Miliki CMMC → butuhkan 800-53
300 persyaratan 114 terpetakan · · 108 tanpa pemetaan Buka di tampilan kesenjangan →Dari 300 persyaratan NIST SP 800-53 Rev 5.2, 114 dipetakan ke sesuatu dalam CMMC, 78 hanya terkait secara longgar, dan 108 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan 800-53 tanpa pemetaan ke CMMC (108)
| 800-53 | Persyaratan | Kecocokan | CMMC | Bukti |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AC-21 | Information Sharing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AC-23 | Data Mining Protection | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AC-25 | Reference Monitor | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AT Awareness and Training · 3 | ||||
| AT-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AT-4 | Training Records | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AT-6 | Training Feedback | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AU Audit and Accountability · 4 | ||||
| AU-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AU-4 | Audit Log Storage Capacity | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AU-10 | Non-repudiation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| AU-14 | Session Audit | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CA-6 | Authorization | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CM Configuration Management · 2 | ||||
| CM-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CM-14 | Signed Components | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CP Contingency Planning · 6 | ||||
| CP-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CP-3 | Contingency Training | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CP-8 | Telecommunications Services | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CP-11 | Alternate Communications Protocols | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CP-12 | Safe Mode | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| CP-13 | Alternative Security Mechanisms | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| IA Identification and Authentication · 2 | ||||
| IA-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| IA-12 | Identity Proofing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| IR Incident Response · 2 | ||||
| IR-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| IR-9 | Information Spillage Response | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| MA Maintenance · 2 | ||||
| MA-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| MA-7 | Field Maintenance | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| MP Media Protection · 1 | ||||
| MP-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PE Physical and Environmental Protection · 4 | ||||
| PE-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PE-16 | Delivery and Removal | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PE-21 | Electromagnetic Pulse Protection | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PE-22 | Component Marking | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PL Planning · 6 | ||||
| PL-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PL-4 | Rules of Behavior | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PL-7 | Concept of Operations | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PL-9 | Central Management | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PL-10 | Baseline Selection | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PL-11 | Baseline Tailoring | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM Program Management · 15 | ||||
| PM-1 | Information Security Program Plan | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-2 | Information Security Program Leadership Role | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-3 | Information Security and Privacy Resources | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-8 | Critical Infrastructure Plan | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-10 | Authorization Process | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-14 | Testing, Training, and Monitoring | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-17 | Protecting Controlled Unclassified Information on External Systems | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-20 | Dissemination of Privacy Program Information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-21 | Accounting of Disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-24 | Data Integrity Board | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-26 | Complaint Management | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-27 | Privacy Reporting | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-29 | Risk Management Program Leadership Roles | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PM-32 | Purposing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PS Personnel Security · 4 | ||||
| PS-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PS-2 | Position Risk Designation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PS-6 | Access Agreements | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PS-8 | Personnel Sanctions | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT PII Processing and Transparency · 8 | ||||
| PT-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-2 | Authority to Process Personally Identifiable Information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-3 | Personally Identifiable Information Processing Purposes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-4 | Consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-5 | Privacy Notice | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-6 | System of Records Notice | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-7 | Specific Categories of Personally Identifiable Information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| PT-8 | Computer Matching Requirements | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| RA Risk Assessment · 2 | ||||
| RA-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| RA-6 | Technical Surveillance Countermeasures Survey | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SA System and Services Acquisition · 6 | ||||
| SA-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SA-2 | Allocation of Resources | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SA-16 | Developer-provided Training | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SA-20 | Customized Development of Critical Components | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SA-21 | Developer Screening | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SA-23 | Specialization | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC System and Communications Protection · 20 | ||||
| SC-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-3 | Security Function Isolation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-17 | Public Key Infrastructure Certificates | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-25 | Thin Nodes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-26 | Decoys | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-27 | Platform-independent Applications | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-29 | Heterogeneity | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-30 | Concealment and Misdirection | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-31 | Covert Channel Analysis | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-37 | Out-of-band Channels | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-38 | Operations Security | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-41 | Port and I/O Device Access | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-42 | Sensor Capability and Data | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-44 | Detonation Chambers | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-46 | Cross Domain Policy Enforcement | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-47 | Alternate Communications Paths | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-48 | Sensor Relocation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-50 | Software-enforced Separation and Policy Enforcement | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SC-51 | Hardware-based Protection | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI System and Information Integrity · 11 | ||||
| SI-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-6 | Security and Privacy Function Verification | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-11 | Error Handling | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-14 | Non-persistence | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-15 | Information Output Filtering | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-17 | Fail-safe Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-19 | De-identification | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-20 | Tainting | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-21 | Information Refresh | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-22 | Information Diversity | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SI-23 | Information Fragmentation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SR Supply Chain Risk Management · 4 | ||||
| SR-1 | Policy and Procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SR-4 | Provenance | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SR-7 | Supply Chain Operations Security | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
| SR-9 | Tamper Resistance and Detection | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke CMMC dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (78)
| 800-53 | Persyaratan | Kecocokan | CMMC | Bukti |
|---|---|---|---|---|
| AC Access Control · 5 | ||||
| AC-9 | Previous Logon Notification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Hanya berbagi CSF DE.CM-09: terkait, bukan pemetaan | |
| AC-10 | Concurrent Session Control | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan | |
| AC-14 | Permitted Actions Without Identification or Authentication | AC.L2-3.1.1IA.L2-3.5.1IA.L2-3.5.2+5 | Hanya berbagi CSF PR.AA-01: terkait, bukan pemetaan | |
| AC-16 | Security and Privacy Attributes | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan | |
| AC-24 | Access Control Decisions | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan | |
| AU Audit and Accountability · 1 | ||||
| AU-16 | Cross-organizational Audit Logging | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | Hanya berbagi CSF PR.DS-02: terkait, bukan pemetaan | |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-3 | Information Exchange | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| CA-9 | Internal System Connections | CA.L2-3.12.4 | Hanya berbagi CSF ID.AM-03: terkait, bukan pemetaan | |
| CM Configuration Management · 4 | ||||
| CM-9 | Configuration Management Plan | CA.L2-3.12.4CM.L2-3.4.1CM.L2-3.4.2+5 | Hanya berbagi CSF ID.AM-08, PR.PS-01: terkait, bukan pemetaan | |
| CM-10 | Software Usage Restrictions | CM.L2-3.4.9AU.L2-3.3.3CA.L2-3.12.3+5 | Hanya berbagi CSF DE.CM-03, DE.CM-09, PR.PS-01: terkait, bukan pemetaan | |
| CM-12 | Information Location | MP.L2-3.8.4 | Hanya berbagi CSF ID.AM-07: terkait, bukan pemetaan | |
| CM-13 | Data Action Mapping | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| CP Contingency Planning · 3 | ||||
| CP-2 | Contingency Plan | IR.L2-3.6.1MP.L2-3.8.9PE.L2-3.10.6 | Hanya berbagi CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.CO-04…: terkait, bukan pemetaan | |
| CP-4 | Contingency Plan Testing | MP.L2-3.8.9 | Hanya berbagi CSF RC.RP-03: terkait, bukan pemetaan | |
| CP-7 | Alternate Processing Site | IR.L2-3.6.1SC.L2-3.13.2 | Hanya berbagi CSF RC.RP-02, PR.IR-03: terkait, bukan pemetaan | |
| IA Identification and Authentication · 5 | ||||
| IA-7 | Cryptographic Module Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Hanya berbagi CSF PR.AA-01, PR.AA-03: terkait, bukan pemetaan | |
| IA-8 | Identification and Authentication (Non-organizational Users) | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Hanya berbagi CSF PR.AA-01, PR.AA-03: terkait, bukan pemetaan | |
| IA-9 | Service Identification and Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Hanya berbagi CSF PR.AA-01, PR.AA-03: terkait, bukan pemetaan | |
| IA-10 | Adaptive Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Hanya berbagi CSF PR.AA-01, PR.AA-03: terkait, bukan pemetaan | |
| IA-13 | Identity Providers and Authorization Servers | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan | |
| MA Maintenance · 1 | ||||
| MA-6 | Timely Maintenance | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| MP Media Protection · 1 | ||||
| MP-8 | Media Downgrading | AC.L2-3.1.13MP.L2-3.8.5MP.L2-3.8.6+5 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| PE Physical and Environmental Protection · 9 | ||||
| PE-9 | Power Equipment and Cabling | PE.L2-3.10.6 | Hanya berbagi CSF PR.IR-02: terkait, bukan pemetaan | |
| PE-10 | Emergency Shutoff | PE.L2-3.10.6 | Hanya berbagi CSF PR.IR-02: terkait, bukan pemetaan | |
| PE-11 | Emergency Power | PE.L2-3.10.6 | Hanya berbagi CSF PR.IR-02: terkait, bukan pemetaan | |
| PE-12 | Emergency Lighting | PE.L2-3.10.6 | Hanya berbagi CSF PR.IR-02: terkait, bukan pemetaan | |
| PE-15 | Water Damage Protection | PE.L2-3.10.6 | Hanya berbagi CSF PR.IR-02: terkait, bukan pemetaan | |
| PE-18 | Location of System Components | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Hanya berbagi CSF PR.AA-06: terkait, bukan pemetaan | |
| PE-19 | Information Leakage | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Hanya berbagi CSF PR.AA-06: terkait, bukan pemetaan | |
| PE-20 | Asset Monitoring and Tracking | PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4+5 | Hanya berbagi CSF DE.CM-02, PR.AA-06: terkait, bukan pemetaan | |
| PE-23 | Facility Location | PE.L2-3.10.6 | Hanya berbagi CSF PR.IR-02: terkait, bukan pemetaan | |
| PL Planning · 1 | ||||
| PL-8 | Security and Privacy Architectures | CA.L2-3.12.4 | Hanya berbagi CSF ID.AM-03: terkait, bukan pemetaan | |
| PM Program Management · 9 | ||||
| PM-7 | Enterprise Architecture | CA.L2-3.12.4 | Hanya berbagi CSF ID.AM-03: terkait, bukan pemetaan | |
| PM-11 | Mission and Business Process Definition | RA.L2-3.11.1 | Hanya berbagi CSF ID.RA-04: terkait, bukan pemetaan | |
| PM-13 | Security and Privacy Workforce | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Hanya berbagi CSF GV.RR-04: terkait, bukan pemetaan | |
| PM-18 | Privacy Program Plan | RA.L2-3.11.1 | Hanya berbagi CSF GV.OC-02, GV.OV-01, GV.RM-06, GV.RM-07…: terkait, bukan pemetaan | |
| PM-19 | Privacy Program Leadership Role | RA.L2-3.11.1 | Hanya berbagi CSF GV.OV-02, GV.SC-09: terkait, bukan pemetaan | |
| PM-22 | Personally Identifiable Information Quality Management | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| PM-23 | Data Governance Body | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| PM-30 | Supply Chain Risk Management Strategy | RA.L2-3.11.1 | Hanya berbagi CSF GV.OC-02, GV.OV-01, GV.OV-02, GV.RM-06…: terkait, bukan pemetaan | |
| PM-31 | Continuous Monitoring Strategy | RA.L2-3.11.1RA.L2-3.11.2RA.L2-3.11.3 | Hanya berbagi CSF GV.OV-01, GV.OV-02, GV.SC-03, GV.SC-09…: terkait, bukan pemetaan | |
| PS Personnel Security · 2 | ||||
| PS-7 | External Personnel Security | CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6+4 | Hanya berbagi CSF DE.CM-06: terkait, bukan pemetaan | |
| PS-9 | Position Descriptions | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Hanya berbagi CSF GV.RR-04: terkait, bukan pemetaan | |
| RA Risk Assessment · 3 | ||||
| RA-8 | Privacy Impact Assessments | RA.L2-3.11.1 | Hanya berbagi CSF ID.RA-04: terkait, bukan pemetaan | |
| RA-9 | Criticality Analysis | RA.L2-3.11.1MP.L2-3.8.4 | Hanya berbagi CSF GV.SC-04, GV.SC-07, ID.RA-04, ID.AM-05: terkait, bukan pemetaan | |
| RA-10 | Threat Hunting | IR.L2-3.6.1RA.L2-3.11.1 | Hanya berbagi CSF DE.AE-06, DE.AE-07: terkait, bukan pemetaan | |
| SA System and Services Acquisition · 6 | ||||
| SA-4 | Acquisition Process | RA.L2-3.11.1CA.L2-3.12.3CA.L2-3.12.4+5 | Hanya berbagi CSF GV.SC-05, GV.SC-06, GV.SC-07, GV.SC-09…: terkait, bukan pemetaan | |
| SA-5 | System Documentation | AC.L2-3.1.20AC.L2-3.1.21RA.L2-3.11.1 | Hanya berbagi CSF ID.AM-02, ID.RA-09: terkait, bukan pemetaan | |
| SA-10 | Developer Configuration Management | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4+3 | Hanya berbagi CSF PR.PS-02: terkait, bukan pemetaan | |
| SA-17 | Developer Security and Privacy Architecture and Design | RA.L2-3.11.1SC.L2-3.13.2 | Hanya berbagi CSF ID.IM-01, ID.RA-09, PR.PS-06: terkait, bukan pemetaan | |
| SA-22 | Unsupported System Components | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| SA-24 | Design For Cyber Resiliency | SC.L2-3.13.2 | Hanya berbagi CSF PR.IR-03, PR.PS-06: terkait, bukan pemetaan | |
| SC System and Communications Protection · 15 | ||||
| SC-5 | Denial-of-service Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Hanya berbagi CSF DE.CM-01, PR.IR-01: terkait, bukan pemetaan | |
| SC-6 | Resource Availability | SC.L2-3.13.2 | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| SC-11 | Trusted Path | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Hanya berbagi CSF PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| SC-16 | Transmission of Security and Privacy Attributes | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | Hanya berbagi CSF PR.DS-02: terkait, bukan pemetaan | |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Hanya berbagi CSF DE.CM-01, PR.IR-01: terkait, bukan pemetaan | |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Hanya berbagi CSF DE.CM-01, PR.IR-01: terkait, bukan pemetaan | |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Hanya berbagi CSF DE.CM-01, PR.IR-01: terkait, bukan pemetaan | |
| SC-24 | Fail in Known State | SC.L2-3.13.2AC.L2-3.1.1AC.L2-3.1.2+5 | Hanya berbagi CSF PR.DS-10, PR.IR-03: terkait, bukan pemetaan | |
| SC-32 | System Partitioning | MP.L2-3.8.9SC.L2-3.13.1SC.L2-3.13.2+5 | Hanya berbagi CSF PR.DS-01, PR.DS-10: terkait, bukan pemetaan | |
| SC-34 | Non-modifiable Executable Programs | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Hanya berbagi CSF DE.CM-09: terkait, bukan pemetaan | |
| SC-35 | External Malicious Code Identification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Hanya berbagi CSF DE.CM-09: terkait, bukan pemetaan | |
| SC-36 | Distributed Processing and Storage | SC.L2-3.13.2 | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| SC-39 | Process Isolation | SC.L2-3.13.2MP.L2-3.8.9SC.L2-3.13.1+5 | Hanya berbagi CSF PR.DS-01, PR.DS-10, PR.IR-03: terkait, bukan pemetaan | |
| SC-40 | Wireless Link Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Hanya berbagi CSF PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| SC-43 | Usage Restrictions | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| SI System and Information Integrity · 4 | ||||
| SI-12 | Information Management and Retention | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| SI-13 | Predictable Failure Prevention | SC.L2-3.13.2 | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| SI-16 | Memory Protection | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.3+5 | Hanya berbagi CSF PR.DS-10: terkait, bukan pemetaan | |
| SI-18 | Personally Identifiable Information Quality Operations | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| SR Supply Chain Risk Management · 7 | ||||
| SR-2 | Supply Chain Risk Management Plan | RA.L2-3.11.1AC.L2-3.1.20AC.L2-3.1.21+4 | Hanya berbagi CSF GV.SC-03, GV.SC-09, GV.SC-10, ID.AM-04: terkait, bukan pemetaan | |
| SR-3 | Supply Chain Controls and Processes | RA.L2-3.11.1IR.L2-3.6.2IR.L2-3.6.1+3 | Hanya berbagi CSF GV.OC-02, GV.SC-03, GV.SC-05, GV.SC-07…: terkait, bukan pemetaan | |
| SR-5 | Acquisition Strategies, Tools, and Methods | RA.L2-3.11.1CA.L2-3.12.4RA.L2-3.11.2+4 | Hanya berbagi CSF GV.OC-02, GV.SC-05, GV.SC-06, GV.SC-09…: terkait, bukan pemetaan | |
| SR-8 | Notification Agreements | IR.L2-3.6.2IR.L2-3.6.1RA.L2-3.11.1+1 | Hanya berbagi CSF GV.SC-08, RC.CO-03, RS.CO-02, RS.CO-03…: terkait, bukan pemetaan | |
| SR-10 | Inspection of Systems or Components | RA.L2-3.11.1 | Hanya berbagi CSF GV.SC-05, ID.RA-09: terkait, bukan pemetaan | |
| SR-11 | Component Authenticity | RA.L2-3.11.1 | Hanya berbagi CSF ID.RA-09: terkait, bukan pemetaan | |
| SR-12 | Component Disposal | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
Dipetakan (114)
| 800-53 | Persyaratan | Kecocokan | CMMC | Bukti |
|---|---|---|---|---|
| AC Access Control · 14 | ||||
| AC-2 | Account Management | Crosswalk | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.3 | Topik sama: Kontrol Akses |
| AC-3 | Access Enforcement | Crosswalk | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.1+2 | Topik sama: Kontrol Akses, Zero Trust |
| AC-4 | Information Flow Enforcement | Crosswalk | AC.L2-3.1.1AC.L2-3.1.3SC.L2-3.13.1+3 | Topik sama: Zero Trust, DLP, Firewall / Segmentasi Jaringan |
| AC-5 | Separation of Duties | Crosswalk | AC.L2-3.1.4SC.L2-3.13.3 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC-6 | Least Privilege | Crosswalk | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+5 | Topik sama: Zero Trust |
| AC-7 | Unsuccessful Logon Attempts | Crosswalk | AC.L2-3.1.8 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC-8 | System Use Notification | Crosswalk | AC.L2-3.1.9 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC-11 | Device Lock | Crosswalk | AC.L2-3.1.10 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC-12 | Session Termination | Crosswalk | AC.L2-3.1.11 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC-17 | Remote Access | Crosswalk | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.12+4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC-18 | Wireless Access | Crosswalk | AC.L2-3.1.16AC.L2-3.1.17 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC-19 | Access Control for Mobile Devices | Crosswalk | AC.L2-3.1.18AC.L2-3.1.19 | Topik sama: Keamanan Seluler |
| AC-20 | Use of External Systems | Crosswalk | AC.L2-3.1.20AC.L2-3.1.21 | Topik sama: Keamanan Cloud |
| AC-22 | Publicly Accessible Content | Crosswalk | AC.L2-3.1.22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 2 | ||||
| AT-2 | Literacy Training and Awareness | Crosswalk | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Topik sama: Kesadaran & Pelatihan |
| AT-3 | Role-based Training | Crosswalk | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Topik sama: Kesadaran & Pelatihan |
| AU Audit and Accountability · 10 | ||||
| AU-2 | Event Logging | Crosswalk | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Topik sama: Pencatatan & Audit |
| AU-3 | Content of Audit Records | Crosswalk | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Topik sama: Pencatatan & Audit |
| AU-5 | Response to Audit Logging Process Failures | Crosswalk | AU.L2-3.3.4 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU-6 | Audit Record Review, Analysis, and Reporting | Crosswalk | AU.L2-3.3.5SI.L2-3.14.7AU.L2-3.3.1+1 | Topik sama: SIEM / SOC, Deteksi Anomali |
| AU-7 | Audit Record Reduction and Report Generation | Crosswalk | AU.L2-3.3.6 | Topik sama: Forensik |
| AU-8 | Time Stamps | Crosswalk | AU.L2-3.3.7 | NIST SP 800-171r3 03.03.07 → SP 800-53 |
| AU-9 | Protection of Audit Information | Crosswalk | AC.L2-3.1.5AU.L2-3.3.8AU.L2-3.3.9+2 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU-11 | Audit Record Retention | Crosswalk | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Topik sama: Pencatatan & Audit |
| AU-12 | Audit Record Generation | Crosswalk | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Topik sama: Pencatatan & Audit |
| AU-13 | Monitoring for Information Disclosure | Editorial | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Topik sama: Ancaman Orang Dalam (pilihan editor) |
| CA Assessment, Authorization and Monitoring · 4 | ||||
| CA-2 | Control Assessments | Crosswalk | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | Topik sama: Kepatuhan (pilihan editor) |
| CA-5 | Plan of Action and Milestones | Crosswalk | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA-7 | Continuous Monitoring | Crosswalk | SI.L2-3.14.6SI.L2-3.14.7CA.L2-3.12.1+4 | Topik sama: Pemantauan Berkelanjutan |
| CA-8 | Penetration Testing | Crosswalk | RA.L2-3.11.2RA.L2-3.11.3 | Topik sama: Manajemen Kerentanan |
| CM Configuration Management · 8 | ||||
| CM-2 | Baseline Configuration | Crosswalk | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+1 | Topik sama: Konfigurasi Aman |
| CM-3 | Configuration Change Control | Crosswalk | CM.L2-3.4.3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM-4 | Impact Analyses | Crosswalk | CM.L2-3.4.4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM-5 | Access Restrictions for Change | Crosswalk | CM.L2-3.4.5 | NIST SP 800-171r3 03.04.05 → SP 800-53 |
| CM-6 | Configuration Settings | Crosswalk | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+2 | Topik sama: Konfigurasi Aman |
| CM-7 | Least Functionality | Crosswalk | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+3 | Topik sama: Konfigurasi Aman |
| CM-8 | System Component Inventory | Crosswalk | CM.L2-3.4.1CM.L2-3.4.2 | Topik sama: Manajemen Aset |
| CM-11 | User-installed Software | Crosswalk | CM.L2-3.4.9 | NIST SP 800-171r2 Appendix D |
| CP Contingency Planning · 3 | ||||
| CP-6 | Alternate Storage Site | Crosswalk | MP.L2-3.8.9 | Topik sama: Cadangan & Pemulihan |
| CP-9 | System Backup | Crosswalk | MP.L2-3.8.9 | Topik sama: Cadangan & Pemulihan |
| CP-10 | System Recovery and Reconstitution | Crosswalk | IR.L2-3.6.2 | Topik sama: Komunikasi & Pemulihan |
| IA Identification and Authentication · 6 | ||||
| IA-2 | Identification and Authentication (Organizational Users) | Crosswalk | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+3 | Topik sama: Zero Trust |
| IA-3 | Device Identification and Authentication | Crosswalk | IA.L2-3.5.1IA.L2-3.5.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA-4 | Identifier Management | Crosswalk | IA.L2-3.5.5IA.L2-3.5.6 | NIST SP 800-171r3 03.05.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA-5 | Authenticator Management | Crosswalk | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.7+3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA-6 | Authentication Feedback | Crosswalk | IA.L2-3.5.11 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IA-11 | Re-authentication | Crosswalk | IA.L2-3.5.1 | NIST SP 800-171r3 03.05.01 → SP 800-53 |
| IR Incident Response · 7 | ||||
| IR-2 | Incident Response Training | Crosswalk | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | Topik sama: Respons Insiden (pilihan editor) |
| IR-3 | Incident Response Testing | Editorial | IR.L2-3.6.1IR.L2-3.6.3 | Topik sama: Respons Insiden (pilihan editor) |
| IR-4 | Incident Handling | Crosswalk | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | Topik sama: Respons Insiden, Mitigasi, Pelajaran yang Dipetik |
| IR-5 | Incident Monitoring | Crosswalk | AU.L2-3.3.5IR.L2-3.6.1IR.L2-3.6.2 | Topik sama: SIEM / SOC |
| IR-6 | Incident Reporting | Crosswalk | IR.L2-3.6.2IR.L2-3.6.1 | Topik sama: Pelaporan, Komunikasi & Pemulihan |
| IR-7 | Incident Response Assistance | Crosswalk | IR.L2-3.6.2IR.L2-3.6.1 | Topik sama: Komunikasi |
| IR-8 | Incident Response Plan | Crosswalk | IR.L2-3.6.1IR.L2-3.6.3 | Topik sama: Respons Insiden |
| MA Maintenance · 4 | ||||
| MA-2 | Controlled Maintenance | Crosswalk | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.3 | NIST SP 800-171r2 Appendix D |
| MA-3 | Maintenance Tools | Crosswalk | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA-4 | Nonlocal Maintenance | Crosswalk | MA.L2-3.7.5 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA-5 | Maintenance Personnel | Crosswalk | MA.L2-3.7.2MA.L2-3.7.6 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 6 | ||||
| MP-2 | Media Access | Crosswalk | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.02 → SP 800-53 |
| MP-3 | Media Marking | Crosswalk | MP.L2-3.8.4 | NIST SP 800-171r3 03.08.04 → SP 800-53 |
| MP-4 | Media Storage | Crosswalk | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r3 03.08.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-5 | Media Transport | Crosswalk | MP.L2-3.8.5 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP-6 | Media Sanitization | Crosswalk | MA.L2-3.7.3MP.L2-3.8.1MP.L2-3.8.2+1 | NIST SP 800-171r3 03.08.03 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-7 | Media Use | Crosswalk | MP.L2-3.8.7MP.L2-3.8.8 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| PE Physical and Environmental Protection · 9 | ||||
| PE-2 | Physical Access Authorizations | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Topik sama: Keamanan Fisik |
| PE-3 | Physical Access Control | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Topik sama: Keamanan Fisik |
| PE-4 | Access Control for Transmission | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2 | NIST SP 800-171r2 Appendix D |
| PE-5 | Access Control for Output Devices | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.10.07 → SP 800-53 |
| PE-6 | Monitoring Physical Access | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Topik sama: Keamanan Fisik |
| PE-8 | Visitor Access Records | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Topik sama: Keamanan Fisik |
| PE-13 | Fire Protection | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Topik sama: Keamanan Fisik |
| PE-14 | Environmental Controls | Crosswalk | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Topik sama: Keamanan Fisik |
| PE-17 | Alternate Work Site | Crosswalk | PE.L2-3.10.6 | NIST SP 800-171r3 03.10.06 → SP 800-53 |
| PL Planning · 1 | ||||
| PL-2 | System Security and Privacy Plans | Crosswalk | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D |
| PM Program Management · 8 | ||||
| PM-4 | Plan of Action and Milestones Process | Editorial | CA.L2-3.12.1 | Topik sama: Kepatuhan (pilihan editor) |
| PM-5 | System Inventory | Crosswalk | CM.L2-3.4.1 | Topik sama: Manajemen Aset |
| PM-6 | Measures of Performance | Editorial | CA.L2-3.12.1 | Topik sama: Kepatuhan (pilihan editor) |
| PM-9 | Risk Management Strategy | Crosswalk | RA.L2-3.11.1 | Topik sama: Manajemen Risiko |
| PM-12 | Insider Threat Program | Editorial | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Topik sama: Ancaman Orang Dalam (pilihan editor) |
| PM-15 | Security and Privacy Groups and Associations | Crosswalk | SI.L2-3.14.3 | Topik sama: Intelijen Ancaman |
| PM-16 | Threat Awareness Program | Crosswalk | SI.L2-3.14.3 | Topik sama: Intelijen Ancaman |
| PM-28 | Risk Framing | Crosswalk | RA.L2-3.11.1 | Topik sama: Manajemen Risiko |
| PS Personnel Security · 3 | ||||
| PS-3 | Personnel Screening | Crosswalk | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r3 03.09.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| PS-4 | Personnel Termination | Crosswalk | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| PS-5 | Personnel Transfer | Crosswalk | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 4 | ||||
| RA-2 | Security Categorization | Editorial | MP.L2-3.8.4 | Topik sama: Klasifikasi Data (pilihan editor) |
| RA-3 | Risk Assessment | Crosswalk | RA.L2-3.11.1 | Topik sama: Penilaian Risiko |
| RA-5 | Vulnerability Monitoring and Scanning | Crosswalk | RA.L2-3.11.2RA.L2-3.11.3 | Topik sama: Manajemen Kerentanan |
| RA-7 | Risk Response | Crosswalk | RA.L2-3.11.1 | Topik sama: Manajemen Risiko, Penilaian Risiko |
| SA System and Services Acquisition · 5 | ||||
| SA-3 | System Development Life Cycle | Crosswalk | SC.L2-3.13.2 | Topik sama: Pengembangan Aman |
| SA-8 | Security and Privacy Engineering Principles | Crosswalk | SC.L2-3.13.2SC.L2-3.13.1 | Topik sama: Pengembangan Aman |
| SA-9 | External System Services | Crosswalk | AC.L2-3.1.20 | Topik sama: Keamanan Cloud |
| SA-11 | Developer Testing and Evaluation | Crosswalk | SC.L2-3.13.2 | Topik sama: Pengembangan Aman |
| SA-15 | Development Process, Standards, and Tools | Crosswalk | SC.L2-3.13.2 | Topik sama: Pengembangan Aman |
| SC System and Communications Protection · 12 | ||||
| SC-2 | Separation of System and User Functionality | Crosswalk | SC.L2-3.13.3 | NIST SP 800-171r2 Appendix D |
| SC-4 | Information in Shared System Resources | Crosswalk | SC.L2-3.13.4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC-7 | Boundary Protection | Crosswalk | SC.L2-3.13.1SC.L2-3.13.5SC.L2-3.13.6+2 | Topik sama: Firewall / Segmentasi Jaringan, Keamanan Web |
| SC-8 | Transmission Confidentiality and Integrity | Crosswalk | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+5 | Topik sama: Enkripsi |
| SC-10 | Network Disconnect | Crosswalk | SC.L2-3.13.9 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC-12 | Cryptographic Key Establishment and Management | Crosswalk | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | Topik sama: Enkripsi |
| SC-13 | Cryptographic Protection | Crosswalk | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | Topik sama: Enkripsi |
| SC-15 | Collaborative Computing Devices and Applications | Crosswalk | SC.L2-3.13.12 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC-18 | Mobile Code | Crosswalk | SC.L2-3.13.13 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC-23 | Session Authenticity | Crosswalk | SC.L2-3.13.15 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC-28 | Protection of Information at Rest | Crosswalk | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+6 | Topik sama: Enkripsi |
| SC-45 | System Time Synchronization | Crosswalk | AU.L2-3.3.7 | NIST SP 800-171r2 Appendix D |
| SI System and Information Integrity · 7 | ||||
| SI-2 | Flaw Remediation | Crosswalk | SI.L2-3.14.1SI.L2-3.14.2SI.L2-3.14.3 | Topik sama: Manajemen Patch |
| SI-3 | Malicious Code Protection | Crosswalk | SI.L2-3.14.2SI.L2-3.14.4SI.L2-3.14.1+2 | Topik sama: Perlindungan Endpoint, Keamanan Email |
| SI-4 | System Monitoring | Crosswalk | SI.L2-3.14.6SI.L2-3.14.7SI.L2-3.14.2+1 | Topik sama: Pemantauan Berkelanjutan, Deteksi Intrusi, Deteksi Anomali, Perlindungan Endpoint |
| SI-5 | Security Alerts, Advisories, and Directives | Crosswalk | SI.L2-3.14.3SI.L2-3.14.1SI.L2-3.14.2 | Topik sama: Intelijen Ancaman |
| SI-7 | Software, Firmware, and Information Integrity | Crosswalk | SC.L2-3.13.16MP.L2-3.8.3 | Topik sama: Perlindungan Data |
| SI-8 | Spam Protection | Editorial | SI.L2-3.14.2 | Topik sama: Keamanan Email (pilihan editor) |
| SI-10 | Information Input Validation | Editorial | SC.L2-3.13.1 | Topik sama: Keamanan Web (pilihan editor) |
| SR Supply Chain Risk Management · 1 | ||||
| SR-6 | Supplier Assessments and Reviews | Crosswalk | RA.L2-3.11.1 | NIST SP 800-171r3 03.11.01 → SP 800-53 |
Miliki 800-53 → butuhkan CMMC
110 persyaratan 109 terpetakan · · 1 tanpa pemetaan Buka di tampilan kesenjangan →Dari 110 persyaratan CMMC Level 2, 109 dipetakan ke sesuatu dalam 800-53, 0 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan CMMC tanpa pemetaan ke 800-53 (1)
| CMMC | Persyaratan | Kecocokan | 800-53 | Bukti |
|---|---|---|---|---|
| SC System and Communications Protection · 1 | ||||
| SC.L2-3.13.14 | Voice over Internet Protocol | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke 800-53 dalam data kami. |
Dipetakan (109)
| CMMC | Persyaratan | Kecocokan | 800-53 | Bukti |
|---|---|---|---|---|
| AC Access Control · 22 | ||||
| AC.L2-3.1.1 | Authorized Access Control | Crosswalk | AC-2AC-3AC-4+3 | Topik sama: Kontrol Akses, Zero Trust |
| AC.L2-3.1.2 | Transaction & Function Control | Crosswalk | AC-2AC-3AC-17 | Topik sama: Kontrol Akses |
| AC.L2-3.1.3 | Control CUI Flow | Crosswalk | AC-4SC-7(10) | Topik sama: DLP |
| AC.L2-3.1.4 | Separation of Duties | Crosswalk | AC-5 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC.L2-3.1.5 | Least Privilege | Crosswalk | AC-2(7)AC-6(5)AC-6+1 | Topik sama: Akses Istimewa |
| AC.L2-3.1.6 | Non-Privileged Account Use | Crosswalk | AC-2(7)AC-6(5)AC-6 | Topik sama: Akses Istimewa |
| AC.L2-3.1.7 | Privileged Functions | Crosswalk | AC-2(7)AC-6(5)AC-6 | Topik sama: Akses Istimewa |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | Crosswalk | AC-7 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC.L2-3.1.9 | Privacy & Security Notices | Crosswalk | AC-8 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC.L2-3.1.10 | Session Lock | Crosswalk | AC-11 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC.L2-3.1.11 | Session Termination | Crosswalk | AC-12 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC.L2-3.1.12 | Control Remote Access | Crosswalk | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Crosswalk | SC-8SC-12SC-13+2 | Topik sama: Enkripsi |
| AC.L2-3.1.14 | Remote Access Routing | Crosswalk | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.15 | Privileged Remote Access | Crosswalk | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.16 | Wireless Access Authorization | Crosswalk | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.17 | Wireless Access Protection | Crosswalk | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.18 | Mobile Device Connection | Crosswalk | AC-19AC-19(5) | Topik sama: Keamanan Seluler |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Crosswalk | AC-19AC-19(5)SC-8+3 | Topik sama: Keamanan Seluler, Enkripsi |
| AC.L2-3.1.20 | External Connections | Crosswalk | AC-20SA-9 | Topik sama: Keamanan Cloud |
| AC.L2-3.1.21 | Portable Storage Use | Crosswalk | AC-20 | NIST SP 800-171r3 03.01.20 → SP 800-53 |
| AC.L2-3.1.22 | Control Public Information | Crosswalk | AC-22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 3 | ||||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Crosswalk | AT-2AT-3 | Topik sama: Kesadaran & Pelatihan |
| AT.L2-3.2.2 | Role-Based Training | Crosswalk | AT-2AT-3 | Topik sama: Kesadaran & Pelatihan |
| AT.L2-3.2.3 | Insider Threat Awareness | Crosswalk | AT-2AT-3AC-2(12)+2 | Topik sama: Kesadaran & Pelatihan, Ancaman Orang Dalam |
| AU Audit and Accountability · 9 | ||||
| AU.L2-3.3.1 | System Auditing | Crosswalk | AU-2AU-3AU-11+2 | Topik sama: Pencatatan & Audit |
| AU.L2-3.3.2 | User Accountability | Crosswalk | AU-2AU-3AU-11+5 | Topik sama: Pencatatan & Audit |
| AU.L2-3.3.3 | Event Review | Crosswalk | AU-2AU-11AU-12 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.03.03 → SP 800-53 |
| AU.L2-3.3.4 | Audit Failure Alerting | Crosswalk | AU-5 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU.L2-3.3.5 | Audit Correlation | Crosswalk | AU-6AU-6(3)IR-5 | Topik sama: SIEM / SOC |
| AU.L2-3.3.6 | Reduction & Reporting | Crosswalk | AU-7SI-2(7) | Topik sama: Forensik |
| AU.L2-3.3.7 | Authoritative Time Source | Crosswalk | AU-2AU-3AU-11+3 | Topik sama: Pencatatan & Audit (pilihan editor) |
| AU.L2-3.3.8 | Audit Protection | Crosswalk | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU.L2-3.3.9 | Audit Management | Crosswalk | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| CA Security Assessment · 4 | ||||
| CA.L2-3.12.1 | Security Control Assessment | Crosswalk | CA-2PM-4PM-6+3 | Topik sama: Kepatuhan (pilihan editor) |
| CA.L2-3.12.2 | Plan of Action | Crosswalk | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA.L2-3.12.3 | Security Control Monitoring | Crosswalk | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.03 → SP 800-53 |
| CA.L2-3.12.4 | System Security Plan | Crosswalk | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D |
| CM Configuration Management · 9 | ||||
| CM.L2-3.4.1 | System Baselining | Crosswalk | CM-2CM-6CM-7+2 | Topik sama: Konfigurasi Aman |
| CM.L2-3.4.2 | Security Configuration Enforcement | Crosswalk | CM-2CM-6CM-7+1 | Topik sama: Konfigurasi Aman |
| CM.L2-3.4.3 | System Change Management | Crosswalk | CM-3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM.L2-3.4.4 | Security Impact Analysis | Crosswalk | CM-4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM.L2-3.4.5 | Access Restrictions for Change | Crosswalk | CM-5CM-7(5) | NIST SP 800-171r3 03.04.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| CM.L2-3.4.6 | Least Functionality | Crosswalk | CM-2CM-6CM-7 | Topik sama: Konfigurasi Aman |
| CM.L2-3.4.7 | Nonessential Functionality | Crosswalk | CM-2CM-6CM-7+1 | Topik sama: Konfigurasi Aman |
| CM.L2-3.4.8 | Application Execution Policy | Crosswalk | CM-7CM-7(5) | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.04.08 → SP 800-53 |
| CM.L2-3.4.9 | User-Installed Software | Crosswalk | AC-6AC-6(5)AU-9+3 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.01.06 → SP 800-53 |
| IA Identification and Authentication · 11 | ||||
| IA.L2-3.5.1 | Identification | Crosswalk | IA-2IA-3IA-5+1 | NIST SP 800-171r3 03.05.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.2 | Authentication | Crosswalk | IA-2IA-3IA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA.L2-3.5.3 | Multifactor Authentication | Crosswalk | IA-2(1)IA-2(2) | Topik sama: Autentikasi Multi-Faktor |
| IA.L2-3.5.4 | Replay-Resistant Authentication | Crosswalk | IA-2 | NIST SP 800-171r3 03.05.04 → SP 800-53 |
| IA.L2-3.5.5 | Identifier Reuse | Crosswalk | IA-4 | NIST SP 800-171r3 03.05.05 → SP 800-53 |
| IA.L2-3.5.6 | Identifier Handling | Crosswalk | IA-4 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.7 | Password Complexity | Crosswalk | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.8 | Password Reuse | Crosswalk | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.9 | Temporary Passwords | Crosswalk | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | Crosswalk | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.11 | Obscure Feedback | Crosswalk | IA-6 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IR Incident Response · 3 | ||||
| IR.L2-3.6.1 | Incident Handling | Crosswalk | IR-4IR-8IR-2+4 | Topik sama: Respons Insiden, Mitigasi, Pelajaran yang Dipetik |
| IR.L2-3.6.2 | Incident Reporting | Crosswalk | CP-10IR-6IR-7+3 | Topik sama: Komunikasi & Pemulihan, Pelaporan, Komunikasi |
| IR.L2-3.6.3 | Incident Response Testing | Editorial | IR-2IR-3IR-4+1 | Topik sama: Respons Insiden (pilihan editor) |
| MA Maintenance · 6 | ||||
| MA.L2-3.7.1 | Perform Maintenance | Crosswalk | MA-2MA-3 | NIST SP 800-171r2 Appendix D |
| MA.L2-3.7.2 | System Maintenance Control | Crosswalk | MA-2MA-3MA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53; NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MA.L2-3.7.3 | Equipment Sanitization | Crosswalk | MA-2MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.03 → SP 800-53 |
| MA.L2-3.7.4 | Media Inspection | Crosswalk | MA-3 | NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA.L2-3.7.5 | Nonlocal Maintenance | Crosswalk | MA-4 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA.L2-3.7.6 | Maintenance Personnel | Crosswalk | MA-5 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 9 | ||||
| MP.L2-3.8.1 | Media Protection | Crosswalk | MP-2MP-4MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.01 → SP 800-53 |
| MP.L2-3.8.2 | Media Access | Crosswalk | MP-2MP-4MP-6 | NIST SP 800-171r3 03.08.02 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP.L2-3.8.3 | Media Disposal | Crosswalk | SC-8SC-28SI-7+3 | Topik sama: Perlindungan Data (pilihan editor) |
| MP.L2-3.8.4 | Media Markings | Crosswalk | RA-2MP-3 | Topik sama: Klasifikasi Data (pilihan editor) |
| MP.L2-3.8.5 | Media Accountability | Crosswalk | MP-5SC-28 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP.L2-3.8.6 | Portable Storage Encryption | Crosswalk | SC-8SC-12SC-13+1 | Topik sama: Enkripsi |
| MP.L2-3.8.7 | Removable Media | Crosswalk | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.8 | Shared Media | Crosswalk | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.9 | Protect Backups | Crosswalk | CP-6CP-9 | Topik sama: Cadangan & Pemulihan |
| PE Physical Protection · 6 | ||||
| PE.L2-3.10.1 | Limit Physical Access | Crosswalk | PE-2PE-3PE-6+5 | Topik sama: Keamanan Fisik |
| PE.L2-3.10.2 | Monitor Facility | Crosswalk | PE-2PE-3PE-6+5 | Topik sama: Keamanan Fisik |
| PE.L2-3.10.3 | Escort Visitors | Crosswalk | PE-2PE-3PE-6+4 | Topik sama: Keamanan Fisik |
| PE.L2-3.10.4 | Physical Access Logs | Crosswalk | PE-2PE-3PE-6+4 | Topik sama: Keamanan Fisik |
| PE.L2-3.10.5 | Manage Physical Access | Crosswalk | PE-2PE-3PE-6+4 | Topik sama: Keamanan Fisik |
| PE.L2-3.10.6 | Alternative Work Sites | Crosswalk | PE-2PE-3PE-6+4 | Topik sama: Keamanan Fisik (pilihan editor) |
| PS Personnel Security · 2 | ||||
| PS.L2-3.9.1 | Screen Individuals | Crosswalk | AC-2(12)AU-13PM-12+3 | Topik sama: Ancaman Orang Dalam (pilihan editor) |
| PS.L2-3.9.2 | Personnel Actions | Crosswalk | PS-3PS-4PS-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 3 | ||||
| RA.L2-3.11.1 | Risk Assessments | Crosswalk | PM-9PM-28RA-3+2 | Topik sama: Manajemen Risiko, Penilaian Risiko |
| RA.L2-3.11.2 | Vulnerability Scan | Crosswalk | CA-8RA-5 | Topik sama: Manajemen Kerentanan |
| RA.L2-3.11.3 | Vulnerability Remediation | Crosswalk | CA-8RA-5 | Topik sama: Manajemen Kerentanan |
| SC System and Communications Protection · 15 | ||||
| SC.L2-3.13.1 | Boundary Protection | Crosswalk | AC-3AC-4AC-6+4 | Topik sama: Zero Trust, Firewall / Segmentasi Jaringan |
| SC.L2-3.13.2 | Security Engineering | Crosswalk | SA-3SA-8SA-11+2 | Topik sama: Pengembangan Aman |
| SC.L2-3.13.3 | Role Separation | Crosswalk | AC-2AC-3AC-4+5 | NIST SP 800-171r3 03.01.01 → SP 800-53; NIST SP 800-171r3 03.01.02 → SP 800-53; NIST SP 800-171r3 03.01.03 → SP 800-53 |
| SC.L2-3.13.4 | Shared Resource Control | Crosswalk | SC-4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC.L2-3.13.5 | Public-Access System Separation | Crosswalk | AC-4SC-7 | Topik sama: Firewall / Segmentasi Jaringan |
| SC.L2-3.13.6 | Network Communication by Exception | Crosswalk | AC-3AC-4AC-6+2 | Topik sama: Zero Trust, Firewall / Segmentasi Jaringan |
| SC.L2-3.13.7 | Split Tunneling | Crosswalk | AC-17CM-6CM-7+1 | NIST SP 800-171r3 03.01.12 → SP 800-53; NIST SP 800-171r3 03.04.02 → SP 800-53; NIST SP 800-171r3 03.04.06 → SP 800-53 |
| SC.L2-3.13.8 | Data in Transit | Crosswalk | SC-8SC-12SC-13+1 | Topik sama: Enkripsi |
| SC.L2-3.13.9 | Connections Termination | Crosswalk | SC-10 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC.L2-3.13.10 | Key Management | Crosswalk | SC-8SC-12SC-13+1 | Topik sama: Enkripsi |
| SC.L2-3.13.11 | CUI Encryption | Crosswalk | SC-8SC-12SC-13+1 | Topik sama: Enkripsi |
| SC.L2-3.13.12 | Collaborative Device Control | Crosswalk | SC-15 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC.L2-3.13.13 | Mobile Code | Crosswalk | SC-18 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC.L2-3.13.15 | Communications Authenticity | Crosswalk | SC-23 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC.L2-3.13.16 | Data at Rest | Crosswalk | SC-8SC-12SC-13+2 | Topik sama: Enkripsi, Perlindungan Data |
| SI System and Information Integrity · 7 | ||||
| SI.L2-3.14.1 | Flaw Remediation | Crosswalk | SI-2SI-3SI-5 | Topik sama: Manajemen Patch |
| SI.L2-3.14.2 | Malicious Code Protection | Crosswalk | SI-3CM-7(5)SI-4+3 | Topik sama: Perlindungan Endpoint, Keamanan Email |
| SI.L2-3.14.3 | Security Alerts & Advisories | Crosswalk | PM-15PM-16SI-5+2 | Topik sama: Intelijen Ancaman |
| SI.L2-3.14.4 | Update Malicious Code Protection | Editorial | CM-7(5)SI-3SI-4 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| SI.L2-3.14.5 | System & File Scanning | Crosswalk | SI-3 | NIST SP 800-171r3 03.14.02 → SP 800-53 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Crosswalk | CA-7SI-4 | Topik sama: Pemantauan Berkelanjutan, Deteksi Intrusi |
| SI.L2-3.14.7 | Identify Unauthorized Use | Crosswalk | AU-6CA-7SI-4 | Topik sama: Deteksi Anomali, Pemantauan Berkelanjutan |
Menurut topik
Keduanya mencakup (39):
Kesadaran & PelatihanManajemen RisikoKepatuhanManajemen AsetPenilaian RisikoKlasifikasi DataManajemen KerentananIntelijen AncamanKontrol AksesAutentikasi Multi-FaktorEnkripsiPerlindungan DataCadangan & PemulihanAkses IstimewaFirewall / Segmentasi JaringanPerlindungan EndpointManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan SelulerKeamanan CloudDLPPemantauan BerkelanjutanPencatatan & AuditDeteksi IntrusiDeteksi AnomaliSIEM / SOCRespons InsidenForensikKomunikasiMitigasiPelaporanPelajaran yang DipetikKomunikasi & PemulihanAncaman Orang DalamKeamanan Fisik
Hanya 800-53 (11):
Pertanyaan
Apakah CMMC Level 2 sama dengan NIST SP 800-171?
Level 2 adalah 110 persyaratan SP 800-171 Revisi 2, dengan nama praktik dan aturan penilaian DoD. NIST kemudian menerbitkan Revisi 3, tetapi CMMC tetap terikat pada Revisi 2 sampai DoD mengubah aturannya.
Jika kami memenuhi 800-53 Moderate, apakah kami sudah siap CMMC Level 2?
Sebagian besar, secara substansi: hampir setiap praktik Level 2 dapat ditelusuri ke kontrol 800-53. Anda tetap memerlukan penilaian CMMC, bukti dalam format penilaian tersebut, dan System Security Plan yang ruang lingkupnya dibatasi pada CUI.
Berapa skor yang dibutuhkan untuk CMMC Level 2?
Setiap dari 110 persyaratan dinilai berdasarkan metodologi penilaian DoD, dengan skor maksimum 110. Status Level 2 bersyarat dengan rencana tindakan memerlukan skor minimum yang ditetapkan oleh aturan CMMC, dan persyaratan tertentu tidak boleh dibiarkan terbuka.
Apakah otorisasi FedRAMP mencakup CMMC?
Tidak secara otomatis. FedRAMP mencakup kontrol layanan cloud; CMMC menilai lingkungan kontraktor yang menangani CUI. Namun, layanan cloud FedRAMP Moderate dapat menyediakan kontrol warisan (inherited) untuk ruang lingkup CMMC kontraktor.
Apakah CMMC akan beralih ke SP 800-171 Revisi 3?
CMMC Level 2 saat ini terikat pada Revisi 2. DoD telah menyatakan perubahan apa pun akan dilakukan melalui pembuatan aturan; sampai saat itu, lakukan penilaian terhadap Revisi 2.
Apa perbedaan antara CMMC Level 1, 2, dan 3?
Level 1 mencakup pengamanan dasar Federal Contract Information (17 persyaratan, penilaian mandiri). Level 2 mencakup CUI dengan 110 persyaratan SP 800-171 Rev 2. Level 3 menambahkan persyaratan SP 800-172 tertentu untuk program paling sensitif, dinilai oleh pemerintah.
Siapa yang dapat melakukan penilaian sertifikasi CMMC Level 2?
Organisasi Penilaian Pihak Ketiga CMMC (C3PAO) yang berwenang, dengan asesor bersertifikat.
Apakah subkontraktor juga memerlukan CMMC?
Ya, jika mereka memproses, menyimpan, atau mengirimkan CUI atau Federal Contract Information berdasarkan kontrak. Kontraktor utama harus meneruskan persyaratan CMMC yang relevan kepada subkontraktornya pada tingkat yang sesuai.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.