Kerangka kerja
CMMC Level 2
Apa itu
Cybersecurity Maturity Model Certification dari Department of Defense AS. Level 2 adalah 110 persyaratan keamanan dari NIST SP 800-171 Rev 2 untuk melindungi Controlled Unclassified Information (CUI). Aturan program mulai berlaku pada Desember 2024, dan persyaratan kontrak diterapkan secara bertahap mulai November 2025.
Siapa yang membutuhkannya
Kontraktor dan subkontraktor pertahanan yang memproses, menyimpan, atau mengirimkan CUI.
Cara penilaiannya dilakukan
Dapat berupa penilaian mandiri atau, untuk sebagian besar kontrak CUI, penilaian sertifikasi oleh asesor pihak ketiga terakreditasi (C3PAO), dilakukan setiap tiga tahun dengan afirmasi tahunan. Rencana aksi dan tonggak (plan of action and milestones) terbatas diperbolehkan untuk beberapa persyaratan, dengan penutupan dalam 180 hari.
110
Praktik
109
Dipetakan ke kerangka kerja lain
78%
Topik tercakup (39/50)
Perbandingan
Persyaratan
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
| ID | Persyaratan | Topik | Dipetakan dalam |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Kontrol Akses, Zero Trust | 11 dari 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Kontrol Akses | 11 dari 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 dari 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 dari 13 |
| AC.L2-3.1.5 | Least Privilege | Akses Istimewa | 10 dari 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Akses Istimewa | 10 dari 13 |
| AC.L2-3.1.7 | Privileged Functions | Akses Istimewa | 10 dari 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 dari 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 dari 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 dari 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 dari 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 dari 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Enkripsi | 10 dari 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 dari 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 dari 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 dari 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 dari 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Keamanan Seluler | 7 dari 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Enkripsi, Keamanan Seluler | 11 dari 13 |
| AC.L2-3.1.20 | External Connections | Keamanan Cloud | 11 dari 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 dari 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 dari 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Kesadaran & Pelatihan | 10 dari 13 |
| AT.L2-3.2.2 | Role-Based Training | Kesadaran & Pelatihan | 10 dari 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Kesadaran & Pelatihan, Ancaman Orang Dalam | 10 dari 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Pencatatan & Audit | 10 dari 13 |
| AU.L2-3.3.2 | User Accountability | Pencatatan & Audit, Ancaman Orang Dalam | 11 dari 13 |
| AU.L2-3.3.3 | Event Review | — | 1 dari 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 dari 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 dari 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Forensik | 7 dari 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Pencatatan & Audit | 10 dari 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 dari 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 dari 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Kepatuhan | 10 dari 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 dari 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 dari 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 dari 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Manajemen Aset, Konfigurasi Aman | 13 dari 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Konfigurasi Aman | 9 dari 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 dari 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 dari 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 dari 13 |
| CM.L2-3.4.6 | Least Functionality | Konfigurasi Aman | 9 dari 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Konfigurasi Aman | 9 dari 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 dari 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 dari 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 dari 13 |
| IA.L2-3.5.2 | Authentication | — | 1 dari 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Autentikasi Multi-Faktor | 10 dari 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 dari 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 dari 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 dari 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 dari 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 dari 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 dari 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 dari 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 dari 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Respons Insiden, Mitigasi, Pelajaran yang Dipetik | 12 dari 13 |
| IR.L2-3.6.2 | Incident Reporting | Komunikasi, Pelaporan, Komunikasi & Pemulihan | 12 dari 13 |
| IR.L2-3.6.3 | Incident Response Testing | Respons Insiden | 12 dari 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 dari 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 dari 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 dari 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 dari 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 dari 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 dari 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 dari 13 |
| MP.L2-3.8.2 | Media Access | — | 1 dari 13 |
| MP.L2-3.8.3 | Media Disposal | Perlindungan Data | 11 dari 13 |
| MP.L2-3.8.4 | Media Markings | Klasifikasi Data | 9 dari 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 dari 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Enkripsi | 10 dari 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 dari 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 dari 13 |
| MP.L2-3.8.9 | Protect Backups | Cadangan & Pemulihan | 11 dari 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Keamanan Fisik | 8 dari 13 |
| PE.L2-3.10.2 | Monitor Facility | Keamanan Fisik | 8 dari 13 |
| PE.L2-3.10.3 | Escort Visitors | Keamanan Fisik | 8 dari 13 |
| PE.L2-3.10.4 | Physical Access Logs | Keamanan Fisik | 8 dari 13 |
| PE.L2-3.10.5 | Manage Physical Access | Keamanan Fisik | 8 dari 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Keamanan Fisik | 8 dari 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Ancaman Orang Dalam | 8 dari 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 dari 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Manajemen Risiko, Penilaian Risiko | 10 dari 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Manajemen Kerentanan | 13 dari 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Manajemen Kerentanan | 13 dari 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Firewall / Segmentasi Jaringan, Keamanan Web, Zero Trust | 9 dari 13 |
| SC.L2-3.13.2 | Security Engineering | Pengembangan Aman | 8 dari 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 dari 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 dari 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Firewall / Segmentasi Jaringan | 9 dari 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Firewall / Segmentasi Jaringan, Zero Trust | 9 dari 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 dari 13 |
| SC.L2-3.13.8 | Data in Transit | Enkripsi | 10 dari 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 dari 13 |
| SC.L2-3.13.10 | Key Management | Enkripsi | 10 dari 13 |
| SC.L2-3.13.11 | CUI Encryption | Enkripsi | 10 dari 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 dari 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 dari 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | tidak ada |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 dari 13 |
| SC.L2-3.13.16 | Data at Rest | Enkripsi, Perlindungan Data | 11 dari 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Manajemen Patch | 10 dari 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Perlindungan Endpoint, Keamanan Email | 10 dari 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Intelijen Ancaman | 6 dari 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Perlindungan Endpoint | 10 dari 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 dari 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Pemantauan Berkelanjutan, Deteksi Intrusi | 11 dari 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Pemantauan Berkelanjutan, Deteksi Anomali | 10 dari 13 |
Cakupan topik
Topik dengan persyaratan CMMC yang dipetakan (39):
Kesadaran & PelatihanManajemen RisikoKepatuhanManajemen AsetPenilaian RisikoKlasifikasi DataManajemen KerentananIntelijen AncamanKontrol AksesAutentikasi Multi-FaktorEnkripsiPerlindungan DataCadangan & PemulihanAkses IstimewaFirewall / Segmentasi JaringanPerlindungan EndpointManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan SelulerKeamanan CloudDLPPemantauan BerkelanjutanPencatatan & AuditDeteksi IntrusiDeteksi AnomaliSIEM / SOCRespons InsidenForensikKomunikasiMitigasiPelaporanPelajaran yang DipetikKomunikasi & PemulihanAncaman Orang DalamKeamanan Fisik
Tidak ada pemetaan dalam data kami Tidak ada persyaratan CMMC (11):