CMMC Level 2 ricondotto a SP 800-53: cosa indica l'Appendice D del NIST

Il programma CMMC del Dipartimento della Difesa degli Stati Uniti è ora in fase di introduzione tramite i contratti della difesa, e il Level 2 è il livello in cui ricade la maggior parte dei fornitori che trattano Controlled Unclassified Information. Il Level 2 comprende i 110 requisiti di sicurezza di NIST SP 800-171 Revision 2, e tali requisiti derivano da SP 800-53, il catalogo federale dei controlli. Il NIST ha documentato con precisione come, nell'Appendice D di SP 800-171 Rev 2.

Quella mappatura è il documento singolo più utile per un fornitore che già segue 800-53, ed è la base su cui ControlMapping collega CMMC a tutto il resto.

Quanto è completa la tracciabilità

Dei 110 pratiche di CMMC, 109 (99%) corrispondono a qualcosa in 800-53, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati. Apri il report sui gap →

Tutte le pratiche CMMC Level 2 tranne una corrispondono a un controllo SP 800-53 presente nel nostro elenco. I collegamenti provengono dall'Appendice D del NIST stesso, quindi sono etichettati come crosswalk.

Per famiglia

CMMC sezione	Mappato	Correlazione debole	Nessuna mappatura
AC Access Control	22 di 22	0	0
AT Awareness and Training	3 di 3	0	0
AU Audit and Accountability	9 di 9	0	0
CA Security Assessment	4 di 4	0	0
CM Configuration Management	9 di 9	0	0
IA Identification and Authentication	11 di 11	0	0
IR Incident Response	3 di 3	0	0
MA Maintenance	6 di 6	0	0
MP Media Protection	9 di 9	0	0
PE Physical Protection	6 di 6	0	0
PS Personnel Security	2 di 2	0	0
RA Risk Assessment	3 di 3	0	0
SC System and Communications Protection	15 di 16	0	1
SI System and Information Integrity	7 di 7	0	0

Hai 800-53, ti serve CMMC. Requisito per requisito: apri il report sul gap →

Come funziona l'Appendice D

L'Appendice D contiene una tabella per ciascuna delle 14 famiglie di requisiti, che elenca ogni requisito accanto ai controlli 800-53 da cui deriva. Due dettagli sono importanti quando la si usa:

• I requisiti di base sono mappati congiuntamente. In ciascuna famiglia, i requisiti "di base" (tratti da FIPS 200) condividono un'unica cella unita di controlli 800-53. Per esempio, 3.1.1 e 3.1.2 risalgono entrambi ad AC-2, AC-3 e AC-17. I requisiti "derivati" hanno righe proprie.
• Gli ID sono di SP 800-53 Revision 4. La maggior parte passa alla Revision 5 invariata. Sette sono stati ritirati nella Rev 5 e fusi in altri controlli; il catalogo Rev 5 del NIST indica dove è finito ciascuno (per esempio, AU-8(1) è passato a SC-45(1), e MP-5(4) è stato incorporato in SC-28(1)). Noi seguiamo quei collegamenti.

L'unica pratica senza corrispondenza

SC.L2-3.13.14 impone di controllare e monitorare il Voice over Internet Protocol. L'Appendice D lo mappa a SC-19, che il NIST ha ritirato nella Rev 5 senza un successore: la VoIP è ora trattata come qualsiasi altra tecnologia, nell'ambito dei controlli generali su confini e comunicazioni. Quindi, in un contesto Rev 5, questa pratica CMMC non ha un controllo 800-53 dedicato, anche se SC-7 e SC-8 coprono la maggior parte della sostanza.

Il percorso inverso

Dei 300 controlli di base di 800-53, 114 (38%) corrispondono a qualcosa in CMMC, 78 sono solo debolmente correlati e 108 non hanno mappature nei nostri dati. Apri il report sui gap →

La maggior parte di SP 800-53 non ha un equivalente in CMMC, ed è voluto. SP 800-171 seleziona i controlli rilevanti per la protezione della riservatezza della CUI nei sistemi non federali e lascia fuori il resto: i controlli sulla privacy, la gestione dei programmi specifica per il settore federale, molte estensioni e i controlli che la baseline "Non-Federal Organization" dà per scontati (tra cui i controlli di policy della serie -1).

Cosa significa per i fornitori

1. Se applicate una baseline moderata di 800-53, avete già gran parte della sostanza. Il vostro lavoro diventa evidenza nel formato CMMC, un System Security Plan limitato alla CUI e una valutazione.
2. Usate l'Appendice D per riutilizzare le evidenze. Per ciascuna pratica, i controlli 800-53 elencati indicano quali evidenze dei vostri controlli esistenti si applicano.
3. Attenzione al divario tra Rev 2 e Rev 3. Il NIST con la Revision 3 ha riscritto diversi requisiti, ma CMMC resta ancorato alla Revision 2. Valutate rispetto a ciò che richiede il vostro contratto.

Il report gap CMMC → SP 800-53 elenca ogni pratica con i relativi controlli dell'Appendice D, e il confronto CMMC vs SP 800-53 copre entrambe le direzioni. I nomi delle pratiche CMMC su questo sito sono quelli del DoD; il testo dei requisiti è del NIST (di pubblico dominio).

Domande

Il CMMC Level 2 coincide con NIST SP 800-171?

Il Level 2 comprende i 110 requisiti di sicurezza di SP 800-171 Revision 2, valutati secondo le regole CMMC del DoD con i propri nomi di pratica. Il NIST ha pubblicato la Revision 3, ma CMMC resta ancorato alla Revision 2.

Quale pratica CMMC non ha una corrispondenza in SP 800-53 Rev 5?

SC.L2-3.13.14 (controllare e monitorare il Voice over IP). L'Appendice D la mappa a SC-19, che il NIST ha ritirato nella Rev 5 senza un successore, dato che la VoIP è ora gestita come qualsiasi altra tecnologia.