Confronto

CMMC Level 2 vs NIST SP 800-53: i 110 requisiti e il loro catalogo di riferimento

CMMC Level 2 · NIST SP 800-53 Rev 5.2 · dati al 2026-10-27

Per Paul Gillet · Aggiornato il 2026-10-17

CMMC Level 2 è il requisito del Dipartimento della Difesa degli Stati Uniti per gli appaltatori che trattano Controlled Unclassified Information (CUI). Le sue 110 pratiche sono i requisiti di sicurezza di NIST SP 800-171 Rev 2, che NIST ha derivato dalla baseline Moderate di SP 800-53 e adattato alle organizzazioni non federali. La maggior parte degli appaltatori di Level 2 necessita di una valutazione da parte di una terza parte, un C3PAO, ogni tre anni.

Poiché 800-171 deriva da 800-53, quasi ogni pratica CMMC ha una controparte diretta, e ControlMapping le collega tramite le mappature ufficiali di NIST: l'Appendice D di SP 800-171 Rev 2, più i riferimenti da SP 800-171 Rev 3 → SP 800-53. Passando da 800-53 a CMMC Level 2, la copertura è quasi completa. L'unica eccezione è il monitoraggio VoIP (SC.L2-3.13.14): l'Appendice D lo collega a SC-19, che NIST ha ritirato in Rev 5 senza un successore.

Passando da CMMC a 800-53, gran parte del catalogo risulta non corrispondente o solo debolmente correlata. È un esito atteso: CMMC Level 2 è un sottoinsieme deliberato. Esclude i controlli che hanno senso solo per i sistemi federali o per baseline più elevate, e molti miglioramenti di 800-53.

Una sfumatura da tenere presente: CMMC Level 2 è vincolato a SP 800-171 Rev 2, anche se NIST ha pubblicato la Rev 3. Valuta rispetto alla versione che il contratto e la regola CMMC richiedono effettivamente.

In sintesi

	CMMC	800-53
Di cosa si tratta	Certificazione DoD di 110 pratiche (NIST SP 800-171 Rev 2)	Catalogo di controlli di sicurezza e privacy per i sistemi federali
Chi ne ha bisogno	Appaltatori della difesa che trattano CUI	Agenzie federali e relativi sistemi; fornitori cloud FedRAMP
Valutazione	Autovalutazione o certificazione C3PAO ogni tre anni	Valutazione e autorizzazione nell'ambito del Risk Management Framework
Mappatura ufficiale	L'Appendice D di SP 800-171r2 collega ogni requisito a 800-53	—

Come si relazionano i tre documenti di NIST e DoD

SP 800-53 è il catalogo completo di NIST dei controlli di sicurezza e privacy per i sistemi federali, con le baseline in SP 800-53B.
SP 800-171 seleziona e adatta i controlli rilevanti per proteggere la Controlled Unclassified Information nei sistemi non federali. La sua Revisione 2 contiene 110 requisiti, e l'Appendice D collega ciascuno alla sua fonte in 800-53.
CMMC Level 2 è il programma del DoD che valuta gli appaltatori rispetto ai 110 requisiti della Revisione 2 di SP 800-171, con nomi delle pratiche, punteggi e regole di certificazione propri.

Quindi CMMC Level 2 è un sottoinsieme deliberato di 800-53, valutato nel contesto dei contratti per la difesa.

Cosa cambia con la Revisione 3 e perché non si applica ancora

NIST ha pubblicato SP 800-171 Revisione 3 nel 2024. Ha riallineato i requisiti a SP 800-53 Rev 5, ne ha uniti o ritirati alcuni, ha aggiunto parametri definiti dall'organizzazione e li ha rinumerati (03.01.01 invece di 3.1.1). CMMC Level 2 resta vincolato alla Revisione 2, quindi le valutazioni verificano i requisiti della Rev 2. La Rev 3 resta utile: quando un requisito della Rev 2 corrisponde a uno della Rev 3, ControlMapping usa i riferimenti della Rev 3 di NIST come evidenza aggiuntiva, e le organizzazioni che pianificano in anticipo possono progettare controlli che soddisfino entrambe.

Chi ha bisogno di cosa

SP 800-53 si applica ai sistemi informativi federali statunitensi e ai servizi cloud che cercano l'autorizzazione FedRAMP. CMMC Level 2 si applica agli appaltatori e subappaltatori della difesa i cui contratti coinvolgono la CUI. Molte aziende hanno bisogno di entrambi: un fornitore cloud che serve agenzie federali sotto FedRAMP (800-53) e appaltatori della difesa (CMMC), oppure un appaltatore i cui sistemi propri contengono CUI mentre gestisce sistemi federali per un altro cliente.

Costi e impegno

Per un'organizzazione che già opera una baseline Moderate di 800-53, CMMC Level 2 raramente richiede nuove tecnologie. Il costo sta nel definire il perimetro dell'ambiente CUI, redigere per esso un System Security Plan, mappare le evidenze su ciascuna pratica e nella valutazione vera e propria: un'autovalutazione o, per la maggior parte dei contratti con CUI, una valutazione di certificazione da parte di un C3PAO autorizzato ogni tre anni. Nell'altra direzione, un appaltatore già pronto per CMMC che cerca l'autorizzazione FedRAMP affronta un insieme di controlli molto più ampio, il processo di autorizzazione federale e il monitoraggio continuo.

Tempistiche per una valutazione di certificazione

I requisiti CMMC vengono introdotti progressivamente nei contratti del DoD, con certificazione di terza parte richiesta in più contratti a partire dalla seconda fase del programma. Un appaltatore con un ambiente 800-53 di solito necessita di due-quattro mesi per definire il perimetro CUI, redigere lo SSP e raccogliere le evidenze, poi di un'autovalutazione secondo la metodologia del DoD, infine della valutazione C3PAO, la cui pianificazione può richiedere tempo. È possibile una certificazione condizionata con un piano d'azione limitato se il punteggio raggiunge il minimo richiesto, con le voci aperte da chiudere entro 180 giorni.

Caso pratico: un subappaltatore della difesa

Una società di ingegneria da 120 persone fornisce componenti a un appaltatore principale e riceve disegni tecnici contrassegnati come CUI. Gestisce già controlli SP 800-53 Moderate per un distinto contratto federale di ricerca. Definisce un enclave CUI che comprende il file server di ingegneria, le workstation di progettazione e il proprio sistema di identità, riutilizza le sue politiche 800-53 e le evidenze mappate tramite l'Appendice D, e conferma la cifratura validata FIPS per l'enclave. La sua autovalutazione dà buoni risultati; le lacune residue sono limitate (monitoraggio VoIP e alcune impostazioni di audit). Prenota una valutazione C3PAO e trasferisce i requisiti di gestione della CUI ai suoi due subappaltatori.

Errori comuni

Definire il perimetro dell'autorizzazione federale invece di quello CUI. Raramente coincidono.
Presumere che le evidenze 800-53 vadano bene così come sono. I valutatori lavorano pratica per pratica, con gli identificativi e gli obiettivi di valutazione di CMMC.
Dimenticare i servizi condivisi. Identità, logging e strumenti di gestione che toccano l'enclave CUI rientrano nel perimetro.
Usare crittografia non validata dove la riservatezza della CUI dipende da essa.
Non trasferire i requisiti ai subappaltatori che ricevono CUI.

Punti chiave

Se già operi una baseline 800-53 Moderate, CMMC Level 2 è per lo più un esercizio di evidenze e valutazione.
CMMC → 800-53 (ad es. verso FedRAMP): aspettati un grande salto nel perimetro.
Verifica quale revisione di 800-171 cita il tuo contratto.

Scarica questo confronto (CSV) Apri in analisi dei gap →

Hai CMMC → ti serve 800-53

300 req.

114 mappati · · 108 senza mappatura Apri in vista dei gap →

Dei 300 requisiti di NIST SP 800-53 Rev 5.2, 114 corrispondono a qualcosa in CMMC, 78 sono solo debolmente correlati e 108 non hanno mappature nei nostri dati.

Probabile lavoro aggiuntivo: requisiti di 800-53 senza mappature verso CMMC (108)

800-53	Requisito	Corrispondenza	CMMC	Evidenze
AC Access Control · 4
AC-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AC-21	Information Sharing	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AC-23	Data Mining Protection	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AC-25	Reference Monitor	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AT Awareness and Training · 3
AT-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AT-4	Training Records	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AT-6	Training Feedback	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AU Audit and Accountability · 4
AU-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AU-4	Audit Log Storage Capacity	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AU-10	Non-repudiation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
AU-14	Session Audit	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CA Assessment, Authorization and Monitoring · 2
CA-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CA-6	Authorization	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CM Configuration Management · 2
CM-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CM-14	Signed Components	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CP Contingency Planning · 6
CP-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CP-3	Contingency Training	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CP-8	Telecommunications Services	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CP-11	Alternate Communications Protocols	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CP-12	Safe Mode	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
CP-13	Alternative Security Mechanisms	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
IA Identification and Authentication · 2
IA-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
IA-12	Identity Proofing	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
IR Incident Response · 2
IR-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
IR-9	Information Spillage Response	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
MA Maintenance · 2
MA-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
MA-7	Field Maintenance	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
MP Media Protection · 1
MP-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PE Physical and Environmental Protection · 4
PE-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PE-16	Delivery and Removal	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PE-21	Electromagnetic Pulse Protection	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PE-22	Component Marking	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PL Planning · 6
PL-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PL-4	Rules of Behavior	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PL-7	Concept of Operations	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PL-9	Central Management	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PL-10	Baseline Selection	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PL-11	Baseline Tailoring	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM Program Management · 15
PM-1	Information Security Program Plan	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-2	Information Security Program Leadership Role	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-3	Information Security and Privacy Resources	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-8	Critical Infrastructure Plan	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-10	Authorization Process	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-14	Testing, Training, and Monitoring	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-17	Protecting Controlled Unclassified Information on External Systems	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-20	Dissemination of Privacy Program Information	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-21	Accounting of Disclosures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-24	Data Integrity Board	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-25	Minimization of Personally Identifiable Information Used in Testing, Training, and Research	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-26	Complaint Management	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-27	Privacy Reporting	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-29	Risk Management Program Leadership Roles	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PM-32	Purposing	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PS Personnel Security · 4
PS-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PS-2	Position Risk Designation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PS-6	Access Agreements	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PS-8	Personnel Sanctions	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT PII Processing and Transparency · 8
PT-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-2	Authority to Process Personally Identifiable Information	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-3	Personally Identifiable Information Processing Purposes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-4	Consent	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-5	Privacy Notice	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-6	System of Records Notice	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-7	Specific Categories of Personally Identifiable Information	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
PT-8	Computer Matching Requirements	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
RA Risk Assessment · 2
RA-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
RA-6	Technical Surveillance Countermeasures Survey	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SA System and Services Acquisition · 6
SA-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SA-2	Allocation of Resources	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SA-16	Developer-provided Training	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SA-20	Customized Development of Critical Components	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SA-21	Developer Screening	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SA-23	Specialization	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC System and Communications Protection · 20
SC-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-3	Security Function Isolation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-17	Public Key Infrastructure Certificates	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-25	Thin Nodes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-26	Decoys	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-27	Platform-independent Applications	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-29	Heterogeneity	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-30	Concealment and Misdirection	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-31	Covert Channel Analysis	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-37	Out-of-band Channels	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-38	Operations Security	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-41	Port and I/O Device Access	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-42	Sensor Capability and Data	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-44	Detonation Chambers	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-46	Cross Domain Policy Enforcement	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-47	Alternate Communications Paths	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-48	Sensor Relocation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-49	Hardware-enforced Separation and Policy Enforcement	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-50	Software-enforced Separation and Policy Enforcement	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SC-51	Hardware-based Protection	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI System and Information Integrity · 11
SI-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-6	Security and Privacy Function Verification	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-11	Error Handling	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-14	Non-persistence	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-15	Information Output Filtering	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-17	Fail-safe Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-19	De-identification	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-20	Tainting	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-21	Information Refresh	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-22	Information Diversity	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SI-23	Information Fragmentation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SR Supply Chain Risk Management · 4
SR-1	Policy and Procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SR-4	Provenance	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SR-7	Supply Chain Operations Security	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.
SR-9	Tamper Resistance and Detection	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso CMMC nei nostri dati.

Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (78)

800-53	Requisito	Corrispondenza	CMMC	Evidenze
AC Access Control · 5
AC-9	Previous Logon Notification	Correlazione debole	AC.L2-3.1.3 AU.L2-3.3.3 CA.L2-3.12.3+5	Condivide solo le sottocategorie CSF DE.CM-09: correlato, non una mappatura
AC-10	Concurrent Session Control	Correlazione debole	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura
AC-14	Permitted Actions Without Identification or Authentication	Correlazione debole	AC.L2-3.1.1 IA.L2-3.5.1 IA.L2-3.5.2+5	Condivide solo le sottocategorie CSF PR.AA-01: correlato, non una mappatura
AC-16	Security and Privacy Attributes	Correlazione debole	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura
AC-24	Access Control Decisions	Correlazione debole	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura
AU Audit and Accountability · 1
AU-16	Cross-organizational Audit Logging	Correlazione debole	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.1+5	Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura
CA Assessment, Authorization and Monitoring · 2
CA-3	Information Exchange	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura
CA-9	Internal System Connections	Correlazione debole	CA.L2-3.12.4	Condivide solo le sottocategorie CSF ID.AM-03: correlato, non una mappatura
CM Configuration Management · 4
CM-9	Configuration Management Plan	Correlazione debole	CA.L2-3.12.4 CM.L2-3.4.1 CM.L2-3.4.2+5	Condivide solo le sottocategorie CSF ID.AM-08, PR.PS-01: correlato, non una mappatura
CM-10	Software Usage Restrictions	Correlazione debole	CM.L2-3.4.9 AU.L2-3.3.3 CA.L2-3.12.3+5	Condivide solo le sottocategorie CSF DE.CM-03, DE.CM-09, PR.PS-01: correlato, non una mappatura
CM-12	Information Location	Correlazione debole	MP.L2-3.8.4	Condivide solo le sottocategorie CSF ID.AM-07: correlato, non una mappatura
CM-13	Data Action Mapping	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+2	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
CP Contingency Planning · 3
CP-2	Contingency Plan	Correlazione debole	IR.L2-3.6.1 MP.L2-3.8.9 PE.L2-3.10.6	Condivide solo le sottocategorie CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.CO-04…: correlato, non una mappatura
CP-4	Contingency Plan Testing	Correlazione debole	MP.L2-3.8.9	Condivide solo le sottocategorie CSF RC.RP-03: correlato, non una mappatura
CP-7	Alternate Processing Site	Correlazione debole	IR.L2-3.6.1 SC.L2-3.13.2	Condivide solo le sottocategorie CSF RC.RP-02, PR.IR-03: correlato, non una mappatura
IA Identification and Authentication · 5
IA-7	Cryptographic Module Authentication	Correlazione debole	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-03: correlato, non una mappatura
IA-8	Identification and Authentication (Non-organizational Users)	Correlazione debole	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-03: correlato, non una mappatura
IA-9	Service Identification and Authentication	Correlazione debole	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-03: correlato, non una mappatura
IA-10	Adaptive Authentication	Correlazione debole	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.3+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.AA-03: correlato, non una mappatura
IA-13	Identity Providers and Authorization Servers	Correlazione debole	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.4+5	Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura
MA Maintenance · 1
MA-6	Timely Maintenance	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
MP Media Protection · 1
MP-8	Media Downgrading	Correlazione debole	AC.L2-3.1.13 MP.L2-3.8.5 MP.L2-3.8.6+5	Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura
PE Physical and Environmental Protection · 9
PE-9	Power Equipment and Cabling	Correlazione debole	PE.L2-3.10.6	Condivide solo le sottocategorie CSF PR.IR-02: correlato, non una mappatura
PE-10	Emergency Shutoff	Correlazione debole	PE.L2-3.10.6	Condivide solo le sottocategorie CSF PR.IR-02: correlato, non una mappatura
PE-11	Emergency Power	Correlazione debole	PE.L2-3.10.6	Condivide solo le sottocategorie CSF PR.IR-02: correlato, non una mappatura
PE-12	Emergency Lighting	Correlazione debole	PE.L2-3.10.6	Condivide solo le sottocategorie CSF PR.IR-02: correlato, non una mappatura
PE-15	Water Damage Protection	Correlazione debole	PE.L2-3.10.6	Condivide solo le sottocategorie CSF PR.IR-02: correlato, non una mappatura
PE-18	Location of System Components	Correlazione debole	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Condivide solo le sottocategorie CSF PR.AA-06: correlato, non una mappatura
PE-19	Information Leakage	Correlazione debole	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Condivide solo le sottocategorie CSF PR.AA-06: correlato, non una mappatura
PE-20	Asset Monitoring and Tracking	Correlazione debole	PE.L2-3.10.2 PE.L2-3.10.3 PE.L2-3.10.4+5	Condivide solo le sottocategorie CSF DE.CM-02, PR.AA-06: correlato, non una mappatura
PE-23	Facility Location	Correlazione debole	PE.L2-3.10.6	Condivide solo le sottocategorie CSF PR.IR-02: correlato, non una mappatura
PL Planning · 1
PL-8	Security and Privacy Architectures	Correlazione debole	CA.L2-3.12.4	Condivide solo le sottocategorie CSF ID.AM-03: correlato, non una mappatura
PM Program Management · 9
PM-7	Enterprise Architecture	Correlazione debole	CA.L2-3.12.4	Condivide solo le sottocategorie CSF ID.AM-03: correlato, non una mappatura
PM-11	Mission and Business Process Definition	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF ID.RA-04: correlato, non una mappatura
PM-13	Security and Privacy Workforce	Correlazione debole	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Condivide solo le sottocategorie CSF GV.RR-04: correlato, non una mappatura
PM-18	Privacy Program Plan	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF GV.OC-02, GV.OV-01, GV.RM-06, GV.RM-07…: correlato, non una mappatura
PM-19	Privacy Program Leadership Role	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF GV.OV-02, GV.SC-09: correlato, non una mappatura
PM-22	Personally Identifiable Information Quality Management	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
PM-23	Data Governance Body	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
PM-30	Supply Chain Risk Management Strategy	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF GV.OC-02, GV.OV-01, GV.OV-02, GV.RM-06…: correlato, non una mappatura
PM-31	Continuous Monitoring Strategy	Correlazione debole	RA.L2-3.11.1 RA.L2-3.11.2 RA.L2-3.11.3	Condivide solo le sottocategorie CSF GV.OV-01, GV.OV-02, GV.SC-03, GV.SC-09…: correlato, non una mappatura
PS Personnel Security · 2
PS-7	External Personnel Security	Correlazione debole	CA.L2-3.12.3 CM.L2-3.4.9 SI.L2-3.14.6+4	Condivide solo le sottocategorie CSF DE.CM-06: correlato, non una mappatura
PS-9	Position Descriptions	Correlazione debole	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Condivide solo le sottocategorie CSF GV.RR-04: correlato, non una mappatura
RA Risk Assessment · 3
RA-8	Privacy Impact Assessments	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF ID.RA-04: correlato, non una mappatura
RA-9	Criticality Analysis	Correlazione debole	RA.L2-3.11.1 MP.L2-3.8.4	Condivide solo le sottocategorie CSF GV.SC-04, GV.SC-07, ID.RA-04, ID.AM-05: correlato, non una mappatura
RA-10	Threat Hunting	Correlazione debole	IR.L2-3.6.1 RA.L2-3.11.1	Condivide solo le sottocategorie CSF DE.AE-06, DE.AE-07: correlato, non una mappatura
SA System and Services Acquisition · 6
SA-4	Acquisition Process	Correlazione debole	RA.L2-3.11.1 CA.L2-3.12.3 CA.L2-3.12.4+5	Condivide solo le sottocategorie CSF GV.SC-05, GV.SC-06, GV.SC-07, GV.SC-09…: correlato, non una mappatura
SA-5	System Documentation	Correlazione debole	AC.L2-3.1.20 AC.L2-3.1.21 RA.L2-3.11.1	Condivide solo le sottocategorie CSF ID.AM-02, ID.RA-09: correlato, non una mappatura
SA-10	Developer Configuration Management	Correlazione debole	MA.L2-3.7.1 MA.L2-3.7.2 MA.L2-3.7.4+3	Condivide solo le sottocategorie CSF PR.PS-02: correlato, non una mappatura
SA-17	Developer Security and Privacy Architecture and Design	Correlazione debole	RA.L2-3.11.1 SC.L2-3.13.2	Condivide solo le sottocategorie CSF ID.IM-01, ID.RA-09, PR.PS-06: correlato, non una mappatura
SA-22	Unsupported System Components	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
SA-24	Design For Cyber Resiliency	Correlazione debole	SC.L2-3.13.2	Condivide solo le sottocategorie CSF PR.IR-03, PR.PS-06: correlato, non una mappatura
SC System and Communications Protection · 15
SC-5	Denial-of-service Protection	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Condivide solo le sottocategorie CSF DE.CM-01, PR.IR-01: correlato, non una mappatura
SC-6	Resource Availability	Correlazione debole	SC.L2-3.13.2	Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura
SC-11	Trusted Path	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Condivide solo le sottocategorie CSF PR.DS-02, PR.DS-10: correlato, non una mappatura
SC-16	Transmission of Security and Privacy Attributes	Correlazione debole	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.1+5	Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura
SC-20	Secure Name/Address Resolution Service (Authoritative Source)	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Condivide solo le sottocategorie CSF DE.CM-01, PR.IR-01: correlato, non una mappatura
SC-21	Secure Name/Address Resolution Service (Recursive or Caching Resolver)	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Condivide solo le sottocategorie CSF DE.CM-01, PR.IR-01: correlato, non una mappatura
SC-22	Architecture and Provisioning for Name/Address Resolution Service	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.3+5	Condivide solo le sottocategorie CSF DE.CM-01, PR.IR-01: correlato, non una mappatura
SC-24	Fail in Known State	Correlazione debole	SC.L2-3.13.2 AC.L2-3.1.1 AC.L2-3.1.2+5	Condivide solo le sottocategorie CSF PR.DS-10, PR.IR-03: correlato, non una mappatura
SC-32	System Partitioning	Correlazione debole	MP.L2-3.8.9 SC.L2-3.13.1 SC.L2-3.13.2+5	Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-10: correlato, non una mappatura
SC-34	Non-modifiable Executable Programs	Correlazione debole	AC.L2-3.1.3 AU.L2-3.3.3 CA.L2-3.12.3+5	Condivide solo le sottocategorie CSF DE.CM-09: correlato, non una mappatura
SC-35	External Malicious Code Identification	Correlazione debole	AC.L2-3.1.3 AU.L2-3.3.3 CA.L2-3.12.3+5	Condivide solo le sottocategorie CSF DE.CM-09: correlato, non una mappatura
SC-36	Distributed Processing and Storage	Correlazione debole	SC.L2-3.13.2	Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura
SC-39	Process Isolation	Correlazione debole	SC.L2-3.13.2 MP.L2-3.8.9 SC.L2-3.13.1+5	Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-10, PR.IR-03: correlato, non una mappatura
SC-40	Wireless Link Protection	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Condivide solo le sottocategorie CSF PR.DS-02, PR.DS-10: correlato, non una mappatura
SC-43	Usage Restrictions	Correlazione debole	SC.L2-3.13.1 SC.L2-3.13.2 SC.L2-3.13.4+5	Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura
SI System and Information Integrity · 4
SI-12	Information Management and Retention	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+2	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
SI-13	Predictable Failure Prevention	Correlazione debole	SC.L2-3.13.2	Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura
SI-16	Memory Protection	Correlazione debole	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.3+5	Condivide solo le sottocategorie CSF PR.DS-10: correlato, non una mappatura
SI-18	Personally Identifiable Information Quality Operations	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
SR Supply Chain Risk Management · 7
SR-2	Supply Chain Risk Management Plan	Correlazione debole	RA.L2-3.11.1 AC.L2-3.1.20 AC.L2-3.1.21+4	Condivide solo le sottocategorie CSF GV.SC-03, GV.SC-09, GV.SC-10, ID.AM-04: correlato, non una mappatura
SR-3	Supply Chain Controls and Processes	Correlazione debole	RA.L2-3.11.1 IR.L2-3.6.2 IR.L2-3.6.1+3	Condivide solo le sottocategorie CSF GV.OC-02, GV.SC-03, GV.SC-05, GV.SC-07…: correlato, non una mappatura
SR-5	Acquisition Strategies, Tools, and Methods	Correlazione debole	RA.L2-3.11.1 CA.L2-3.12.4 RA.L2-3.11.2+4	Condivide solo le sottocategorie CSF GV.OC-02, GV.SC-05, GV.SC-06, GV.SC-09…: correlato, non una mappatura
SR-8	Notification Agreements	Correlazione debole	IR.L2-3.6.2 IR.L2-3.6.1 RA.L2-3.11.1+1	Condivide solo le sottocategorie CSF GV.SC-08, RC.CO-03, RS.CO-02, RS.CO-03…: correlato, non una mappatura
SR-10	Inspection of Systems or Components	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF GV.SC-05, ID.RA-09: correlato, non una mappatura
SR-11	Component Authenticity	Correlazione debole	RA.L2-3.11.1	Condivide solo le sottocategorie CSF ID.RA-09: correlato, non una mappatura
SR-12	Component Disposal	Correlazione debole	CA.L2-3.12.4 MA.L2-3.7.1 MA.L2-3.7.3+1	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura

Mappato (114)

800-53	Requisito	Corrispondenza	CMMC	Evidenze
AC Access Control · 14
AC-2	Account Management	Crosswalk	AC.L2-3.1.1 AC.L2-3.1.2 SC.L2-3.13.3	Stesso argomento: Controllo degli accessi
AC-3	Access Enforcement	Crosswalk	AC.L2-3.1.1 AC.L2-3.1.2 SC.L2-3.13.1+2	Stesso argomento: Controllo degli accessi, Zero Trust
AC-4	Information Flow Enforcement	Crosswalk	AC.L2-3.1.1 AC.L2-3.1.3 SC.L2-3.13.1+3	Stesso argomento: Zero Trust, DLP, Firewall / Segmentazione di rete
AC-5	Separation of Duties	Crosswalk	AC.L2-3.1.4 SC.L2-3.13.3	NIST SP 800-171r3 03.01.04 → SP 800-53
AC-6	Least Privilege	Crosswalk	AC.L2-3.1.1 SC.L2-3.13.1 SC.L2-3.13.6+5	Stesso argomento: Zero Trust
AC-7	Unsuccessful Logon Attempts	Crosswalk	AC.L2-3.1.8	NIST SP 800-171r3 03.01.08 → SP 800-53
AC-8	System Use Notification	Crosswalk	AC.L2-3.1.9	NIST SP 800-171r3 03.01.09 → SP 800-53
AC-11	Device Lock	Crosswalk	AC.L2-3.1.10	NIST SP 800-171r3 03.01.10 → SP 800-53
AC-12	Session Termination	Crosswalk	AC.L2-3.1.11	NIST SP 800-171r3 03.01.11 → SP 800-53
AC-17	Remote Access	Crosswalk	AC.L2-3.1.1 AC.L2-3.1.2 AC.L2-3.1.12+4	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.01.12 → SP 800-53
AC-18	Wireless Access	Crosswalk	AC.L2-3.1.16 AC.L2-3.1.17	NIST SP 800-171r3 03.01.16 → SP 800-53
AC-19	Access Control for Mobile Devices	Crosswalk	AC.L2-3.1.18 AC.L2-3.1.19	Stesso argomento: Sicurezza mobile
AC-20	Use of External Systems	Crosswalk	AC.L2-3.1.20 AC.L2-3.1.21	Stesso argomento: Sicurezza del cloud
AC-22	Publicly Accessible Content	Crosswalk	AC.L2-3.1.22	NIST SP 800-171r3 03.01.22 → SP 800-53
AT Awareness and Training · 2
AT-2	Literacy Training and Awareness	Crosswalk	AT.L2-3.2.1 AT.L2-3.2.2 AT.L2-3.2.3	Stesso argomento: Consapevolezza e formazione
AT-3	Role-based Training	Crosswalk	AT.L2-3.2.1 AT.L2-3.2.2 AT.L2-3.2.3	Stesso argomento: Consapevolezza e formazione
AU Audit and Accountability · 10
AU-2	Event Logging	Crosswalk	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7+1	Stesso argomento: Logging e audit
AU-3	Content of Audit Records	Crosswalk	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7	Stesso argomento: Logging e audit
AU-5	Response to Audit Logging Process Failures	Crosswalk	AU.L2-3.3.4	NIST SP 800-171r3 03.03.04 → SP 800-53
AU-6	Audit Record Review, Analysis, and Reporting	Crosswalk	AU.L2-3.3.5 SI.L2-3.14.7 AU.L2-3.3.1+1	Stesso argomento: SIEM / SOC, Rilevamento delle anomalie
AU-7	Audit Record Reduction and Report Generation	Crosswalk	AU.L2-3.3.6	Stesso argomento: Analisi forense
AU-8	Time Stamps	Crosswalk	AU.L2-3.3.7	NIST SP 800-171r3 03.03.07 → SP 800-53
AU-9	Protection of Audit Information	Crosswalk	AC.L2-3.1.5 AU.L2-3.3.8 AU.L2-3.3.9+2	NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.03.08 → SP 800-53
AU-11	Audit Record Retention	Crosswalk	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7+1	Stesso argomento: Logging e audit
AU-12	Audit Record Generation	Crosswalk	AU.L2-3.3.1 AU.L2-3.3.2 AU.L2-3.3.7+1	Stesso argomento: Logging e audit
AU-13	Monitoring for Information Disclosure	Redazione	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Stesso argomento: Minaccia interna (selezione della redazione)
CA Assessment, Authorization and Monitoring · 4
CA-2	Control Assessments	Crosswalk	CA.L2-3.12.1 CA.L2-3.12.2 CA.L2-3.12.3+1	Stesso argomento: Conformità (selezione della redazione)
CA-5	Plan of Action and Milestones	Crosswalk	CA.L2-3.12.1 CA.L2-3.12.2 CA.L2-3.12.3+1	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53
CA-7	Continuous Monitoring	Crosswalk	SI.L2-3.14.6 SI.L2-3.14.7 CA.L2-3.12.1+4	Stesso argomento: Monitoraggio continuo
CA-8	Penetration Testing	Crosswalk	RA.L2-3.11.2 RA.L2-3.11.3	Stesso argomento: Gestione delle vulnerabilità
CM Configuration Management · 8
CM-2	Baseline Configuration	Crosswalk	CM.L2-3.4.1 CM.L2-3.4.2 CM.L2-3.4.6+1	Stesso argomento: Configurazione sicura
CM-3	Configuration Change Control	Crosswalk	CM.L2-3.4.3	NIST SP 800-171r3 03.04.03 → SP 800-53
CM-4	Impact Analyses	Crosswalk	CM.L2-3.4.4	NIST SP 800-171r3 03.04.04 → SP 800-53
CM-5	Access Restrictions for Change	Crosswalk	CM.L2-3.4.5	NIST SP 800-171r3 03.04.05 → SP 800-53
CM-6	Configuration Settings	Crosswalk	CM.L2-3.4.1 CM.L2-3.4.2 CM.L2-3.4.6+2	Stesso argomento: Configurazione sicura
CM-7	Least Functionality	Crosswalk	CM.L2-3.4.1 CM.L2-3.4.2 CM.L2-3.4.6+3	Stesso argomento: Configurazione sicura
CM-8	System Component Inventory	Crosswalk	CM.L2-3.4.1 CM.L2-3.4.2	Stesso argomento: Gestione degli asset
CM-11	User-installed Software	Crosswalk	CM.L2-3.4.9	NIST SP 800-171r2 Appendix D
CP Contingency Planning · 3
CP-6	Alternate Storage Site	Crosswalk	MP.L2-3.8.9	Stesso argomento: Backup e ripristino
CP-9	System Backup	Crosswalk	MP.L2-3.8.9	Stesso argomento: Backup e ripristino
CP-10	System Recovery and Reconstitution	Crosswalk	IR.L2-3.6.2	Stesso argomento: Comunicazioni e ripristino
IA Identification and Authentication · 6
IA-2	Identification and Authentication (Organizational Users)	Crosswalk	AC.L2-3.1.1 SC.L2-3.13.1 SC.L2-3.13.6+3	Stesso argomento: Zero Trust
IA-3	Device Identification and Authentication	Crosswalk	IA.L2-3.5.1 IA.L2-3.5.2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53
IA-4	Identifier Management	Crosswalk	IA.L2-3.5.5 IA.L2-3.5.6	NIST SP 800-171r3 03.05.05 → SP 800-53; NIST SP 800-171r2 Appendix D
IA-5	Authenticator Management	Crosswalk	IA.L2-3.5.1 IA.L2-3.5.2 IA.L2-3.5.7+3	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.07 → SP 800-53
IA-6	Authentication Feedback	Crosswalk	IA.L2-3.5.11	NIST SP 800-171r3 03.05.11 → SP 800-53
IA-11	Re-authentication	Crosswalk	IA.L2-3.5.1	NIST SP 800-171r3 03.05.01 → SP 800-53
IR Incident Response · 7
IR-2	Incident Response Training	Crosswalk	IR.L2-3.6.1 IR.L2-3.6.3 IR.L2-3.6.2	Stesso argomento: Gestione degli incidenti (selezione della redazione)
IR-3	Incident Response Testing	Redazione	IR.L2-3.6.1 IR.L2-3.6.3	Stesso argomento: Gestione degli incidenti (selezione della redazione)
IR-4	Incident Handling	Crosswalk	IR.L2-3.6.1 IR.L2-3.6.3 IR.L2-3.6.2	Stesso argomento: Gestione degli incidenti, Mitigazione, Lezioni apprese
IR-5	Incident Monitoring	Crosswalk	AU.L2-3.3.5 IR.L2-3.6.1 IR.L2-3.6.2	Stesso argomento: SIEM / SOC
IR-6	Incident Reporting	Crosswalk	IR.L2-3.6.2 IR.L2-3.6.1	Stesso argomento: Segnalazione, Comunicazioni e ripristino
IR-7	Incident Response Assistance	Crosswalk	IR.L2-3.6.2 IR.L2-3.6.1	Stesso argomento: Comunicazione
IR-8	Incident Response Plan	Crosswalk	IR.L2-3.6.1 IR.L2-3.6.3	Stesso argomento: Gestione degli incidenti
MA Maintenance · 4
MA-2	Controlled Maintenance	Crosswalk	MA.L2-3.7.1 MA.L2-3.7.2 MA.L2-3.7.3	NIST SP 800-171r2 Appendix D
MA-3	Maintenance Tools	Crosswalk	MA.L2-3.7.1 MA.L2-3.7.2 MA.L2-3.7.4	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53
MA-4	Nonlocal Maintenance	Crosswalk	MA.L2-3.7.5	NIST SP 800-171r3 03.07.05 → SP 800-53
MA-5	Maintenance Personnel	Crosswalk	MA.L2-3.7.2 MA.L2-3.7.6	NIST SP 800-171r3 03.07.06 → SP 800-53
MP Media Protection · 6
MP-2	Media Access	Crosswalk	MP.L2-3.8.1 MP.L2-3.8.2 MP.L2-3.8.3	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.02 → SP 800-53
MP-3	Media Marking	Crosswalk	MP.L2-3.8.4	NIST SP 800-171r3 03.08.04 → SP 800-53
MP-4	Media Storage	Crosswalk	MP.L2-3.8.1 MP.L2-3.8.2 MP.L2-3.8.3	NIST SP 800-171r3 03.08.01 → SP 800-53; NIST SP 800-171r2 Appendix D
MP-5	Media Transport	Crosswalk	MP.L2-3.8.5	NIST SP 800-171r3 03.08.05 → SP 800-53
MP-6	Media Sanitization	Crosswalk	MA.L2-3.7.3 MP.L2-3.8.1 MP.L2-3.8.2+1	NIST SP 800-171r3 03.08.03 → SP 800-53; NIST SP 800-171r2 Appendix D
MP-7	Media Use	Crosswalk	MP.L2-3.8.7 MP.L2-3.8.8	NIST SP 800-171r3 03.08.07 → SP 800-53
PE Physical and Environmental Protection · 9
PE-2	Physical Access Authorizations	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Stesso argomento: Sicurezza fisica
PE-3	Physical Access Control	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Stesso argomento: Sicurezza fisica
PE-4	Access Control for Transmission	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2	NIST SP 800-171r2 Appendix D
PE-5	Access Control for Output Devices	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.10.07 → SP 800-53
PE-6	Monitoring Physical Access	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Stesso argomento: Sicurezza fisica
PE-8	Visitor Access Records	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Stesso argomento: Sicurezza fisica
PE-13	Fire Protection	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Stesso argomento: Sicurezza fisica
PE-14	Environmental Controls	Crosswalk	PE.L2-3.10.1 PE.L2-3.10.2 PE.L2-3.10.3+3	Stesso argomento: Sicurezza fisica
PE-17	Alternate Work Site	Crosswalk	PE.L2-3.10.6	NIST SP 800-171r3 03.10.06 → SP 800-53
PL Planning · 1
PL-2	System Security and Privacy Plans	Crosswalk	CA.L2-3.12.1 CA.L2-3.12.2 CA.L2-3.12.3+1	NIST SP 800-171r2 Appendix D
PM Program Management · 8
PM-4	Plan of Action and Milestones Process	Redazione	CA.L2-3.12.1	Stesso argomento: Conformità (selezione della redazione)
PM-5	System Inventory	Crosswalk	CM.L2-3.4.1	Stesso argomento: Gestione degli asset
PM-6	Measures of Performance	Redazione	CA.L2-3.12.1	Stesso argomento: Conformità (selezione della redazione)
PM-9	Risk Management Strategy	Crosswalk	RA.L2-3.11.1	Stesso argomento: Gestione del rischio
PM-12	Insider Threat Program	Redazione	AT.L2-3.2.3 AU.L2-3.3.2 PS.L2-3.9.1	Stesso argomento: Minaccia interna (selezione della redazione)
PM-15	Security and Privacy Groups and Associations	Crosswalk	SI.L2-3.14.3	Stesso argomento: Threat Intelligence
PM-16	Threat Awareness Program	Crosswalk	SI.L2-3.14.3	Stesso argomento: Threat Intelligence
PM-28	Risk Framing	Crosswalk	RA.L2-3.11.1	Stesso argomento: Gestione del rischio
PS Personnel Security · 3
PS-3	Personnel Screening	Crosswalk	PS.L2-3.9.1 PS.L2-3.9.2	NIST SP 800-171r3 03.09.01 → SP 800-53; NIST SP 800-171r2 Appendix D
PS-4	Personnel Termination	Crosswalk	PS.L2-3.9.1 PS.L2-3.9.2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53
PS-5	Personnel Transfer	Crosswalk	PS.L2-3.9.1 PS.L2-3.9.2	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53
RA Risk Assessment · 4
RA-2	Security Categorization	Redazione	MP.L2-3.8.4	Stesso argomento: Classificazione dei dati (selezione della redazione)
RA-3	Risk Assessment	Crosswalk	RA.L2-3.11.1	Stesso argomento: Risk Assessment
RA-5	Vulnerability Monitoring and Scanning	Crosswalk	RA.L2-3.11.2 RA.L2-3.11.3	Stesso argomento: Gestione delle vulnerabilità
RA-7	Risk Response	Crosswalk	RA.L2-3.11.1	Stesso argomento: Gestione del rischio, Risk Assessment
SA System and Services Acquisition · 5
SA-3	System Development Life Cycle	Crosswalk	SC.L2-3.13.2	Stesso argomento: Sviluppo sicuro
SA-8	Security and Privacy Engineering Principles	Crosswalk	SC.L2-3.13.2 SC.L2-3.13.1	Stesso argomento: Sviluppo sicuro
SA-9	External System Services	Crosswalk	AC.L2-3.1.20	Stesso argomento: Sicurezza del cloud
SA-11	Developer Testing and Evaluation	Crosswalk	SC.L2-3.13.2	Stesso argomento: Sviluppo sicuro
SA-15	Development Process, Standards, and Tools	Crosswalk	SC.L2-3.13.2	Stesso argomento: Sviluppo sicuro
SC System and Communications Protection · 12
SC-2	Separation of System and User Functionality	Crosswalk	SC.L2-3.13.3	NIST SP 800-171r2 Appendix D
SC-4	Information in Shared System Resources	Crosswalk	SC.L2-3.13.4	NIST SP 800-171r3 03.13.04 → SP 800-53
SC-7	Boundary Protection	Crosswalk	SC.L2-3.13.1 SC.L2-3.13.5 SC.L2-3.13.6+2	Stesso argomento: Firewall / Segmentazione di rete, Sicurezza web
SC-8	Transmission Confidentiality and Integrity	Crosswalk	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+5	Stesso argomento: Crittografia
SC-10	Network Disconnect	Crosswalk	SC.L2-3.13.9	NIST SP 800-171r3 03.13.09 → SP 800-53
SC-12	Cryptographic Key Establishment and Management	Crosswalk	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+4	Stesso argomento: Crittografia
SC-13	Cryptographic Protection	Crosswalk	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+4	Stesso argomento: Crittografia
SC-15	Collaborative Computing Devices and Applications	Crosswalk	SC.L2-3.13.12	NIST SP 800-171r3 03.13.12 → SP 800-53
SC-18	Mobile Code	Crosswalk	SC.L2-3.13.13	NIST SP 800-171r3 03.13.13 → SP 800-53
SC-23	Session Authenticity	Crosswalk	SC.L2-3.13.15	NIST SP 800-171r3 03.13.15 → SP 800-53
SC-28	Protection of Information at Rest	Crosswalk	AC.L2-3.1.13 MP.L2-3.8.6 SC.L2-3.13.8+6	Stesso argomento: Crittografia
SC-45	System Time Synchronization	Crosswalk	AU.L2-3.3.7	NIST SP 800-171r2 Appendix D
SI System and Information Integrity · 7
SI-2	Flaw Remediation	Crosswalk	SI.L2-3.14.1 SI.L2-3.14.2 SI.L2-3.14.3	Stesso argomento: Gestione delle patch
SI-3	Malicious Code Protection	Crosswalk	SI.L2-3.14.2 SI.L2-3.14.4 SI.L2-3.14.1+2	Stesso argomento: Protezione degli endpoint, Sicurezza della posta elettronica
SI-4	System Monitoring	Crosswalk	SI.L2-3.14.6 SI.L2-3.14.7 SI.L2-3.14.2+1	Stesso argomento: Monitoraggio continuo, Intrusion Detection, Rilevamento delle anomalie, Protezione degli endpoint
SI-5	Security Alerts, Advisories, and Directives	Crosswalk	SI.L2-3.14.3 SI.L2-3.14.1 SI.L2-3.14.2	Stesso argomento: Threat Intelligence
SI-7	Software, Firmware, and Information Integrity	Crosswalk	SC.L2-3.13.16 MP.L2-3.8.3	Stesso argomento: Protezione dei dati
SI-8	Spam Protection	Redazione	SI.L2-3.14.2	Stesso argomento: Sicurezza della posta elettronica (selezione della redazione)
SI-10	Information Input Validation	Redazione	SC.L2-3.13.1	Stesso argomento: Sicurezza web (selezione della redazione)
SR Supply Chain Risk Management · 1
SR-6	Supplier Assessments and Reviews	Crosswalk	RA.L2-3.11.1	NIST SP 800-171r3 03.11.01 → SP 800-53

Hai 800-53 → ti serve CMMC

110 req.

109 mappati · · 1 senza mappatura Apri in vista dei gap →

Dei 110 requisiti di CMMC Level 2, 109 corrispondono a qualcosa in 800-53, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati.

Probabile lavoro aggiuntivo: requisiti di CMMC senza mappature verso 800-53 (1)

CMMC	Requisito	Corrispondenza	800-53	Evidenze
SC System and Communications Protection · 1
SC.L2-3.13.14	Voice over Internet Protocol	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso 800-53 nei nostri dati.

Mappato (109)

CMMC	Requisito	Corrispondenza	800-53	Evidenze
AC Access Control · 22
AC.L2-3.1.1	Authorized Access Control	Crosswalk	AC-2 AC-3 AC-4+3	Stesso argomento: Controllo degli accessi, Zero Trust
AC.L2-3.1.2	Transaction & Function Control	Crosswalk	AC-2 AC-3 AC-17	Stesso argomento: Controllo degli accessi
AC.L2-3.1.3	Control CUI Flow	Crosswalk	AC-4 SC-7(10)	Stesso argomento: DLP
AC.L2-3.1.4	Separation of Duties	Crosswalk	AC-5	NIST SP 800-171r3 03.01.04 → SP 800-53
AC.L2-3.1.5	Least Privilege	Crosswalk	AC-2(7)AC-6(5)AC-6+1	Stesso argomento: Accesso privilegiato
AC.L2-3.1.6	Non-Privileged Account Use	Crosswalk	AC-2(7)AC-6(5)AC-6	Stesso argomento: Accesso privilegiato
AC.L2-3.1.7	Privileged Functions	Crosswalk	AC-2(7)AC-6(5)AC-6	Stesso argomento: Accesso privilegiato
AC.L2-3.1.8	Unsuccessful Logon Attempts	Crosswalk	AC-7	NIST SP 800-171r3 03.01.08 → SP 800-53
AC.L2-3.1.9	Privacy & Security Notices	Crosswalk	AC-8	NIST SP 800-171r3 03.01.09 → SP 800-53
AC.L2-3.1.10	Session Lock	Crosswalk	AC-11	NIST SP 800-171r3 03.01.10 → SP 800-53
AC.L2-3.1.11	Session Termination	Crosswalk	AC-12	NIST SP 800-171r3 03.01.11 → SP 800-53
AC.L2-3.1.12	Control Remote Access	Crosswalk	AC-17	NIST SP 800-171r3 03.01.12 → SP 800-53
AC.L2-3.1.13	Remote Access Confidentiality	Crosswalk	SC-8 SC-12 SC-13+2	Stesso argomento: Crittografia
AC.L2-3.1.14	Remote Access Routing	Crosswalk	AC-17	NIST SP 800-171r3 03.01.12 → SP 800-53
AC.L2-3.1.15	Privileged Remote Access	Crosswalk	AC-17	NIST SP 800-171r3 03.01.12 → SP 800-53
AC.L2-3.1.16	Wireless Access Authorization	Crosswalk	AC-18	NIST SP 800-171r3 03.01.16 → SP 800-53
AC.L2-3.1.17	Wireless Access Protection	Crosswalk	AC-18	NIST SP 800-171r3 03.01.16 → SP 800-53
AC.L2-3.1.18	Mobile Device Connection	Crosswalk	AC-19 AC-19(5)	Stesso argomento: Sicurezza mobile
AC.L2-3.1.19	Encrypt CUI on Mobile	Crosswalk	AC-19 AC-19(5)SC-8+3	Stesso argomento: Sicurezza mobile, Crittografia
AC.L2-3.1.20	External Connections	Crosswalk	AC-20 SA-9	Stesso argomento: Sicurezza del cloud
AC.L2-3.1.21	Portable Storage Use	Crosswalk	AC-20	NIST SP 800-171r3 03.01.20 → SP 800-53
AC.L2-3.1.22	Control Public Information	Crosswalk	AC-22	NIST SP 800-171r3 03.01.22 → SP 800-53
AT Awareness and Training · 3
AT.L2-3.2.1	Role-Based Risk Awareness	Crosswalk	AT-2 AT-3	Stesso argomento: Consapevolezza e formazione
AT.L2-3.2.2	Role-Based Training	Crosswalk	AT-2 AT-3	Stesso argomento: Consapevolezza e formazione
AT.L2-3.2.3	Insider Threat Awareness	Crosswalk	AT-2 AT-3 AC-2(12)+2	Stesso argomento: Consapevolezza e formazione, Minaccia interna
AU Audit and Accountability · 9
AU.L2-3.3.1	System Auditing	Crosswalk	AU-2 AU-3 AU-11+2	Stesso argomento: Logging e audit
AU.L2-3.3.2	User Accountability	Crosswalk	AU-2 AU-3 AU-11+5	Stesso argomento: Logging e audit
AU.L2-3.3.3	Event Review	Crosswalk	AU-2 AU-11 AU-12	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.03.03 → SP 800-53
AU.L2-3.3.4	Audit Failure Alerting	Crosswalk	AU-5	NIST SP 800-171r3 03.03.04 → SP 800-53
AU.L2-3.3.5	Audit Correlation	Crosswalk	AU-6 AU-6(3)IR-5	Stesso argomento: SIEM / SOC
AU.L2-3.3.6	Reduction & Reporting	Crosswalk	AU-7 SI-2(7)	Stesso argomento: Analisi forense
AU.L2-3.3.7	Authoritative Time Source	Crosswalk	AU-2 AU-3 AU-11+3	Stesso argomento: Logging e audit (selezione della redazione)
AU.L2-3.3.8	Audit Protection	Crosswalk	AU-9	NIST SP 800-171r3 03.03.08 → SP 800-53
AU.L2-3.3.9	Audit Management	Crosswalk	AU-9	NIST SP 800-171r3 03.03.08 → SP 800-53
CA Security Assessment · 4
CA.L2-3.12.1	Security Control Assessment	Crosswalk	CA-2 PM-4 PM-6+3	Stesso argomento: Conformità (selezione della redazione)
CA.L2-3.12.2	Plan of Action	Crosswalk	CA-2 CA-5 CA-7+1	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53
CA.L2-3.12.3	Security Control Monitoring	Crosswalk	CA-2 CA-5 CA-7+1	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.03 → SP 800-53
CA.L2-3.12.4	System Security Plan	Crosswalk	CA-2 CA-5 CA-7+1	NIST SP 800-171r2 Appendix D
CM Configuration Management · 9
CM.L2-3.4.1	System Baselining	Crosswalk	CM-2 CM-6 CM-7+2	Stesso argomento: Configurazione sicura
CM.L2-3.4.2	Security Configuration Enforcement	Crosswalk	CM-2 CM-6 CM-7+1	Stesso argomento: Configurazione sicura
CM.L2-3.4.3	System Change Management	Crosswalk	CM-3	NIST SP 800-171r3 03.04.03 → SP 800-53
CM.L2-3.4.4	Security Impact Analysis	Crosswalk	CM-4	NIST SP 800-171r3 03.04.04 → SP 800-53
CM.L2-3.4.5	Access Restrictions for Change	Crosswalk	CM-5 CM-7(5)	NIST SP 800-171r3 03.04.05 → SP 800-53; NIST SP 800-171r2 Appendix D
CM.L2-3.4.6	Least Functionality	Crosswalk	CM-2 CM-6 CM-7	Stesso argomento: Configurazione sicura
CM.L2-3.4.7	Nonessential Functionality	Crosswalk	CM-2 CM-6 CM-7+1	Stesso argomento: Configurazione sicura
CM.L2-3.4.8	Application Execution Policy	Crosswalk	CM-7 CM-7(5)	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.04.08 → SP 800-53
CM.L2-3.4.9	User-Installed Software	Crosswalk	AC-6 AC-6(5)AU-9+3	NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.01.06 → SP 800-53
IA Identification and Authentication · 11
IA.L2-3.5.1	Identification	Crosswalk	IA-2 IA-3 IA-5+1	NIST SP 800-171r3 03.05.01 → SP 800-53; NIST SP 800-171r2 Appendix D
IA.L2-3.5.2	Authentication	Crosswalk	IA-2 IA-3 IA-5	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53
IA.L2-3.5.3	Multifactor Authentication	Crosswalk	IA-2(1)IA-2(2)	Stesso argomento: Autenticazione a più fattori
IA.L2-3.5.4	Replay-Resistant Authentication	Crosswalk	IA-2	NIST SP 800-171r3 03.05.04 → SP 800-53
IA.L2-3.5.5	Identifier Reuse	Crosswalk	IA-4	NIST SP 800-171r3 03.05.05 → SP 800-53
IA.L2-3.5.6	Identifier Handling	Crosswalk	IA-4	NIST SP 800-171r2 Appendix D
IA.L2-3.5.7	Password Complexity	Crosswalk	IA-5	NIST SP 800-171r3 03.05.07 → SP 800-53
IA.L2-3.5.8	Password Reuse	Crosswalk	IA-5	NIST SP 800-171r2 Appendix D
IA.L2-3.5.9	Temporary Passwords	Crosswalk	IA-5	NIST SP 800-171r2 Appendix D
IA.L2-3.5.10	Cryptographically-Protected Passwords	Crosswalk	IA-5	NIST SP 800-171r3 03.05.07 → SP 800-53
IA.L2-3.5.11	Obscure Feedback	Crosswalk	IA-6	NIST SP 800-171r3 03.05.11 → SP 800-53
IR Incident Response · 3
IR.L2-3.6.1	Incident Handling	Crosswalk	IR-4 IR-8 IR-2+4	Stesso argomento: Gestione degli incidenti, Mitigazione, Lezioni apprese
IR.L2-3.6.2	Incident Reporting	Crosswalk	CP-10 IR-6 IR-7+3	Stesso argomento: Comunicazioni e ripristino, Segnalazione, Comunicazione
IR.L2-3.6.3	Incident Response Testing	Redazione	IR-2 IR-3 IR-4+1	Stesso argomento: Gestione degli incidenti (selezione della redazione)
MA Maintenance · 6
MA.L2-3.7.1	Perform Maintenance	Crosswalk	MA-2 MA-3	NIST SP 800-171r2 Appendix D
MA.L2-3.7.2	System Maintenance Control	Crosswalk	MA-2 MA-3 MA-5	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53; NIST SP 800-171r3 03.07.06 → SP 800-53
MA.L2-3.7.3	Equipment Sanitization	Crosswalk	MA-2 MP-6	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.03 → SP 800-53
MA.L2-3.7.4	Media Inspection	Crosswalk	MA-3	NIST SP 800-171r3 03.07.04 → SP 800-53
MA.L2-3.7.5	Nonlocal Maintenance	Crosswalk	MA-4	NIST SP 800-171r3 03.07.05 → SP 800-53
MA.L2-3.7.6	Maintenance Personnel	Crosswalk	MA-5	NIST SP 800-171r3 03.07.06 → SP 800-53
MP Media Protection · 9
MP.L2-3.8.1	Media Protection	Crosswalk	MP-2 MP-4 MP-6	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.01 → SP 800-53
MP.L2-3.8.2	Media Access	Crosswalk	MP-2 MP-4 MP-6	NIST SP 800-171r3 03.08.02 → SP 800-53; NIST SP 800-171r2 Appendix D
MP.L2-3.8.3	Media Disposal	Crosswalk	SC-8 SC-28 SI-7+3	Stesso argomento: Protezione dei dati (selezione della redazione)
MP.L2-3.8.4	Media Markings	Crosswalk	RA-2 MP-3	Stesso argomento: Classificazione dei dati (selezione della redazione)
MP.L2-3.8.5	Media Accountability	Crosswalk	MP-5 SC-28	NIST SP 800-171r3 03.08.05 → SP 800-53
MP.L2-3.8.6	Portable Storage Encryption	Crosswalk	SC-8 SC-12 SC-13+1	Stesso argomento: Crittografia
MP.L2-3.8.7	Removable Media	Crosswalk	MP-7	NIST SP 800-171r3 03.08.07 → SP 800-53
MP.L2-3.8.8	Shared Media	Crosswalk	MP-7	NIST SP 800-171r3 03.08.07 → SP 800-53
MP.L2-3.8.9	Protect Backups	Crosswalk	CP-6 CP-9	Stesso argomento: Backup e ripristino
PE Physical Protection · 6
PE.L2-3.10.1	Limit Physical Access	Crosswalk	PE-2 PE-3 PE-6+5	Stesso argomento: Sicurezza fisica
PE.L2-3.10.2	Monitor Facility	Crosswalk	PE-2 PE-3 PE-6+5	Stesso argomento: Sicurezza fisica
PE.L2-3.10.3	Escort Visitors	Crosswalk	PE-2 PE-3 PE-6+4	Stesso argomento: Sicurezza fisica
PE.L2-3.10.4	Physical Access Logs	Crosswalk	PE-2 PE-3 PE-6+4	Stesso argomento: Sicurezza fisica
PE.L2-3.10.5	Manage Physical Access	Crosswalk	PE-2 PE-3 PE-6+4	Stesso argomento: Sicurezza fisica
PE.L2-3.10.6	Alternative Work Sites	Crosswalk	PE-2 PE-3 PE-6+4	Stesso argomento: Sicurezza fisica (selezione della redazione)
PS Personnel Security · 2
PS.L2-3.9.1	Screen Individuals	Crosswalk	AC-2(12)AU-13 PM-12+3	Stesso argomento: Minaccia interna (selezione della redazione)
PS.L2-3.9.2	Personnel Actions	Crosswalk	PS-3 PS-4 PS-5	NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53
RA Risk Assessment · 3
RA.L2-3.11.1	Risk Assessments	Crosswalk	PM-9 PM-28 RA-3+2	Stesso argomento: Gestione del rischio, Risk Assessment
RA.L2-3.11.2	Vulnerability Scan	Crosswalk	CA-8 RA-5	Stesso argomento: Gestione delle vulnerabilità
RA.L2-3.11.3	Vulnerability Remediation	Crosswalk	CA-8 RA-5	Stesso argomento: Gestione delle vulnerabilità
SC System and Communications Protection · 15
SC.L2-3.13.1	Boundary Protection	Crosswalk	AC-3 AC-4 AC-6+4	Stesso argomento: Zero Trust, Firewall / Segmentazione di rete
SC.L2-3.13.2	Security Engineering	Crosswalk	SA-3 SA-8 SA-11+2	Stesso argomento: Sviluppo sicuro
SC.L2-3.13.3	Role Separation	Crosswalk	AC-2 AC-3 AC-4+5	NIST SP 800-171r3 03.01.01 → SP 800-53; NIST SP 800-171r3 03.01.02 → SP 800-53; NIST SP 800-171r3 03.01.03 → SP 800-53
SC.L2-3.13.4	Shared Resource Control	Crosswalk	SC-4	NIST SP 800-171r3 03.13.04 → SP 800-53
SC.L2-3.13.5	Public-Access System Separation	Crosswalk	AC-4 SC-7	Stesso argomento: Firewall / Segmentazione di rete
SC.L2-3.13.6	Network Communication by Exception	Crosswalk	AC-3 AC-4 AC-6+2	Stesso argomento: Zero Trust, Firewall / Segmentazione di rete
SC.L2-3.13.7	Split Tunneling	Crosswalk	AC-17 CM-6 CM-7+1	NIST SP 800-171r3 03.01.12 → SP 800-53; NIST SP 800-171r3 03.04.02 → SP 800-53; NIST SP 800-171r3 03.04.06 → SP 800-53
SC.L2-3.13.8	Data in Transit	Crosswalk	SC-8 SC-12 SC-13+1	Stesso argomento: Crittografia
SC.L2-3.13.9	Connections Termination	Crosswalk	SC-10	NIST SP 800-171r3 03.13.09 → SP 800-53
SC.L2-3.13.10	Key Management	Crosswalk	SC-8 SC-12 SC-13+1	Stesso argomento: Crittografia
SC.L2-3.13.11	CUI Encryption	Crosswalk	SC-8 SC-12 SC-13+1	Stesso argomento: Crittografia
SC.L2-3.13.12	Collaborative Device Control	Crosswalk	SC-15	NIST SP 800-171r3 03.13.12 → SP 800-53
SC.L2-3.13.13	Mobile Code	Crosswalk	SC-18	NIST SP 800-171r3 03.13.13 → SP 800-53
SC.L2-3.13.15	Communications Authenticity	Crosswalk	SC-23	NIST SP 800-171r3 03.13.15 → SP 800-53
SC.L2-3.13.16	Data at Rest	Crosswalk	SC-8 SC-12 SC-13+2	Stesso argomento: Crittografia, Protezione dei dati
SI System and Information Integrity · 7
SI.L2-3.14.1	Flaw Remediation	Crosswalk	SI-2 SI-3 SI-5	Stesso argomento: Gestione delle patch
SI.L2-3.14.2	Malicious Code Protection	Crosswalk	SI-3 CM-7(5)SI-4+3	Stesso argomento: Protezione degli endpoint, Sicurezza della posta elettronica
SI.L2-3.14.3	Security Alerts & Advisories	Crosswalk	PM-15 PM-16 SI-5+2	Stesso argomento: Threat Intelligence
SI.L2-3.14.4	Update Malicious Code Protection	Redazione	CM-7(5)SI-3 SI-4	Stesso argomento: Protezione degli endpoint (selezione della redazione)
SI.L2-3.14.5	System & File Scanning	Crosswalk	SI-3	NIST SP 800-171r3 03.14.02 → SP 800-53
SI.L2-3.14.6	Monitor Communications for Attacks	Crosswalk	CA-7 SI-4	Stesso argomento: Monitoraggio continuo, Intrusion Detection
SI.L2-3.14.7	Identify Unauthorized Use	Crosswalk	AU-6 CA-7 SI-4	Stesso argomento: Rilevamento delle anomalie, Monitoraggio continuo

Per tema

Coperti da entrambi (39):

Solo 800-53 (11):

Politica di governance Gestione del rischio della supply chain Ruoli e responsabilità Contesto aziendale Sicurezza DNS WAF Pianificazione del ripristino Continuità operativa Disaster Recovery Sicurezza delle API Gestione del rischio dei fornitori

Domande

CMMC Level 2 è lo stesso di NIST SP 800-171?

Level 2 comprende i 110 requisiti di SP 800-171 Revisione 2, con i nomi delle pratiche e le regole di valutazione del DoD. NIST ha poi pubblicato la Revisione 3, ma CMMC resta vincolato alla Revisione 2 finché il DoD non modifica la regola.

Se rispettiamo 800-53 Moderate, siamo pronti per CMMC Level 2?

In sostanza, in gran parte sì: quasi ogni pratica di Level 2 risale a un controllo 800-53. Serve comunque una valutazione CMMC, le evidenze nel formato della valutazione e un System Security Plan definito sulla CUI.

Quale punteggio serve per CMMC Level 2?

Ciascuno dei 110 requisiti è valutato secondo la metodologia di valutazione del DoD, con un punteggio massimo di 110. Uno stato Level 2 condizionato con un piano d'azione richiede un punteggio minimo stabilito dalla regola CMMC, e alcuni requisiti non possono restare aperti.

La certificazione FedRAMP copre CMMC?

Non automaticamente. FedRAMP copre i controlli di un servizio cloud; CMMC valuta l'ambiente dell'appaltatore che tratta la CUI. Un servizio cloud FedRAMP Moderate può però fornire controlli ereditati per il perimetro CMMC dell'appaltatore.

CMMC passerà a SP 800-171 Revisione 3?

CMMC Level 2 è attualmente vincolato alla Revisione 2. Il DoD ha indicato che qualsiasi modifica avverrebbe tramite un procedimento normativo; fino ad allora, valuta rispetto alla Revisione 2.

Qual è la differenza tra CMMC Level 1, 2 e 3?

Level 1 copre la protezione di base delle Federal Contract Information (17 requisiti, autovalutati). Level 2 copre la CUI con i 110 requisiti di SP 800-171 Rev 2. Level 3 aggiunge alcuni requisiti di SP 800-172 per i programmi più sensibili, valutati dal governo.

Chi può effettuare una valutazione di certificazione CMMC Level 2?

Un'organizzazione di valutazione di terza parte CMMC (C3PAO) autorizzata, con valutatori certificati.

Anche i subappaltatori hanno bisogno di CMMC?

Sì, quando trattano, conservano o trasmettono CUI o Federal Contract Information nell'ambito del contratto. Gli appaltatori principali devono trasferire i requisiti CMMC pertinenti ai subappaltatori al livello appropriato.

ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.

Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · Correlazione debole condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.