Prepararsi a una valutazione CMMC Level 2 quando si gestisce già SP 800-53

CMMC Level 2 viene ormai inserito nei contratti della difesa statunitense, e molti appaltatori che lo affrontano già applicano i controlli NIST SP 800-53, per il lavoro federale, per FedRAMP o semplicemente come loro libreria di controlli. È un punto di partenza solido: ogni pratica di CMMC Level 2 risale a SP 800-53 attraverso la mappatura ufficiale del NIST, come mostra la nostra analisi dell'Appendice D.

Dei 110 pratiche di CMMC, 109 (99%) corrispondono a qualcosa in 800-53, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati. Apri il report sui gap →

Quindi i controlli sono in gran parte già presenti. Ciò che non è automatico è lo scoping, la documentazione e la valutazione vera e propria.

Passo 1: delimitare l'ambito dell'ambiente CUI

CMMC si applica ai sistemi che elaborano, memorizzano o trasmettono Controlled Unclassified Information, e agli asset che li proteggono. Mappate dove entrano le CUI, dove risiedono e chi vi accede. Un perimetro ben definito e documentato (spesso un enclave) riduce il numero di asset che il valutatore deve esaminare. Un perimetro di autorizzazione 800-53 per un sistema federale raramente coincide con il vostro perimetro CUI.

Passo 2: redigere il System Security Plan per quel perimetro

L'SSP (CA.L2-3.12.4) descrive il perimetro, l'ambiente e il modo in cui ciascuno dei 110 requisiti è implementato. Riutilizzate le descrizioni dei controlli 800-53, ma riscrivetele per l'ambiente CUI e usate gli identificativi delle pratiche CMMC; i valutatori lavorano pratica per pratica.

Passo 3: verificare la formulazione della Rev 2

CMMC è vincolato a SP 800-171 Revision 2. Dove la vostra implementazione 800-53 è più ampia, di solito soddisfa la pratica; dove la Rev 2 è specifica (crittografia convalidata FIPS per le CUI, blocchi di sessione, contenuti specifici dei log di audit), verificate il dettaglio.

Passo 4: associare le evidenze agli obiettivi di valutazione

I valutatori verificano ogni pratica rispetto agli obiettivi di valutazione, esaminando documenti, intervistando le persone e testando i meccanismi. Per ogni pratica, elencate le evidenze che già producete per i controlli 800-53 corrispondenti e colmate le lacune. Le nostre pagine dei requisiti mostrano i controlli 800-53 da cui deriva ciascuna pratica.

Passo 5: autovalutarsi con onestà e calcolare il punteggio

Eseguite voi stessi per primi la metodologia di valutazione del DoD e calcolate il punteggio. Correggete ciò che non supera la verifica. Per alcuni requisiti sono ammessi piani d'azione limitati, ma vanno chiusi entro 180 giorni, e alcuni requisiti non possono essere rinviati affatto.

Evidenze che i valutatori si aspettano

Per ogni pratica, i valutatori cercano tre tipi di evidenze: documenti (policy, procedure, SSP), interviste alle persone che svolgono la pratica e test o dimostrazioni dei meccanismi. Le richieste tipiche includono:

• elenchi degli account e approvazioni di accesso per i sistemi CUI (AC.L2-3.1.1, 3.1.2);
• configurazione MFA per l'accesso privilegiato e di rete (IA.L2-3.5.3);
• configurazione dei log di audit, conservazione e registrazioni di revisione (AU.L2-3.3.1, 3.3.2);
• configurazioni di baseline e registrazioni delle modifiche (CM.L2-3.4.1 a 3.4.3);
• risultati delle scansioni di vulnerabilità e relativa risoluzione (RA.L2-3.11.2, 3.11.3);
• piano di risposta agli incidenti e registrazioni dei test (IR.L2-3.6.1, 3.6.3);
• impostazioni di cifratura che mostrano moduli validati FIPS dove le CUI sono protette (SC.L2-3.13.11).

La maggior parte di queste evidenze esiste già in un ambiente 800-53; il lavoro consiste nel raccoglierle per il perimetro CUI e classificarle per pratica. Ogni pagina di pratica, per esempio AC.L2-3.1.1, elenca i controlli 800-53 le cui evidenze possono essere riutilizzate.

Punti chiave

• Una baseline 800-53 vi fornisce gran parte della sostanza di CMMC Level 2.
• Il lavoro consiste nel definire l'ambito delle CUI, redigere l'SSP e associare le evidenze a ciascuna pratica.
• Autovalutatevi con onestà secondo la metodologia del DoD prima della valutazione reale.

Insidie comuni

• Espansione incontrollata dell'ambito: le CUI che si diffondono nella posta elettronica, nelle condivisioni di file e nei laptop al di fuori dell'enclave.
• Servizi condivisi: identità, logging e strumenti di gestione che toccano l'ambiente CUI rientrano anch'essi nell'ambito.
• Fornitori di servizi esterni: i servizi cloud che trattano CUI devono soddisfare i requisiti federali appropriati, tipicamente FedRAMP Moderate o equivalente.
• Dichiarazioni di ereditarietà senza evidenze: se un controllo è ereditato da un fornitore, conservate la sua documentazione.

Il confronto CMMC vs SP 800-53 elenca ogni pratica con i relativi controlli di origine, e la gap analysis le esporta come tracker.

Domande

Chi valuta il CMMC Level 2?

A seconda del contratto, può trattarsi dell'appaltatore stesso (autovalutazione) oppure di un'organizzazione di valutazione di terza parte CMMC autorizzata (C3PAO). La maggior parte dei contratti che coinvolgono CUI richiede la valutazione di certificazione da parte di terzi.

Che cos'è un System Security Plan?

Documento che descrive il perimetro del sistema, l'ambiente e le modalità di implementazione di ciascun requisito di sicurezza. È richiesto da SP 800-171 (pratica CMMC CA.L2-3.12.4) ed è la prima cosa che i valutatori leggono.

La certificazione FedRAMP di un fornitore cloud può coprire le pratiche CMMC?

Può coprire le pratiche che il fornitore implementa per vostro conto, come controlli ereditati, se il fornitore soddisfa la baseline richiesta e voi conservate la sua documentazione. Restate responsabili della vostra configurazione, degli utenti e dei dati all'interno del servizio.