Framework
CMMC Level 2
Di cosa si tratta
La Cybersecurity Maturity Model Certification del Department of Defense degli Stati Uniti. Il Level 2 comprende i 110 requisiti di sicurezza di NIST SP 800-171 Rev 2 per la protezione delle Controlled Unclassified Information (CUI). La norma del programma è entrata in vigore a dicembre 2024, mentre i requisiti contrattuali vengono introdotti gradualmente a partire da novembre 2025.
Chi ne ha bisogno
Contractor e subappaltatori del settore difesa che trattano, memorizzano o trasmettono CUI.
Come viene valutato
Un'autovalutazione oppure, per la maggior parte dei contratti CUI, una valutazione di certificazione condotta da un valutatore terzo accreditato (C3PAO), da ripetere ogni tre anni con un'attestazione annuale. Per alcuni requisiti è consentito un piano d'azione e milestone limitato, da chiudere entro 180 giorni.
110
Pratiche
109
Mappato su un altro framework
78%
Argomenti coperti (39/50)
Confronti
Requisiti
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
| ID | Requisito | Argomenti | Mappato in |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Controllo degli accessi, Zero Trust | 11 di 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Controllo degli accessi | 11 di 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 di 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 di 13 |
| AC.L2-3.1.5 | Least Privilege | Accesso privilegiato | 10 di 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Accesso privilegiato | 10 di 13 |
| AC.L2-3.1.7 | Privileged Functions | Accesso privilegiato | 10 di 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 di 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 di 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 di 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 di 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 di 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Crittografia | 10 di 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 di 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 di 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 di 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 di 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Sicurezza mobile | 7 di 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Crittografia, Sicurezza mobile | 11 di 13 |
| AC.L2-3.1.20 | External Connections | Sicurezza del cloud | 11 di 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 di 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 di 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Consapevolezza e formazione | 10 di 13 |
| AT.L2-3.2.2 | Role-Based Training | Consapevolezza e formazione | 10 di 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Consapevolezza e formazione, Minaccia interna | 10 di 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Logging e audit | 10 di 13 |
| AU.L2-3.3.2 | User Accountability | Logging e audit, Minaccia interna | 11 di 13 |
| AU.L2-3.3.3 | Event Review | — | 1 di 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 di 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 di 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Analisi forense | 7 di 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Logging e audit | 10 di 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 di 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 di 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Conformità | 10 di 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 di 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 di 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 di 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Gestione degli asset, Configurazione sicura | 13 di 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Configurazione sicura | 9 di 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 di 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 di 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 di 13 |
| CM.L2-3.4.6 | Least Functionality | Configurazione sicura | 9 di 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Configurazione sicura | 9 di 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 di 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 di 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 di 13 |
| IA.L2-3.5.2 | Authentication | — | 1 di 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Autenticazione a più fattori | 10 di 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 di 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 di 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 di 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 di 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 di 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 di 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 di 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 di 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Gestione degli incidenti, Mitigazione, Lezioni apprese | 12 di 13 |
| IR.L2-3.6.2 | Incident Reporting | Comunicazione, Segnalazione, Comunicazioni e ripristino | 12 di 13 |
| IR.L2-3.6.3 | Incident Response Testing | Gestione degli incidenti | 12 di 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 di 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 di 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 di 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 di 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 di 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 di 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 di 13 |
| MP.L2-3.8.2 | Media Access | — | 1 di 13 |
| MP.L2-3.8.3 | Media Disposal | Protezione dei dati | 11 di 13 |
| MP.L2-3.8.4 | Media Markings | Classificazione dei dati | 9 di 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 di 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Crittografia | 10 di 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 di 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 di 13 |
| MP.L2-3.8.9 | Protect Backups | Backup e ripristino | 11 di 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Sicurezza fisica | 8 di 13 |
| PE.L2-3.10.2 | Monitor Facility | Sicurezza fisica | 8 di 13 |
| PE.L2-3.10.3 | Escort Visitors | Sicurezza fisica | 8 di 13 |
| PE.L2-3.10.4 | Physical Access Logs | Sicurezza fisica | 8 di 13 |
| PE.L2-3.10.5 | Manage Physical Access | Sicurezza fisica | 8 di 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Sicurezza fisica | 8 di 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Minaccia interna | 8 di 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 di 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Gestione del rischio, Risk Assessment | 10 di 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Gestione delle vulnerabilità | 13 di 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Gestione delle vulnerabilità | 13 di 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Firewall / Segmentazione di rete, Sicurezza web, Zero Trust | 9 di 13 |
| SC.L2-3.13.2 | Security Engineering | Sviluppo sicuro | 8 di 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 di 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 di 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Firewall / Segmentazione di rete | 9 di 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Firewall / Segmentazione di rete, Zero Trust | 9 di 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 di 13 |
| SC.L2-3.13.8 | Data in Transit | Crittografia | 10 di 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 di 13 |
| SC.L2-3.13.10 | Key Management | Crittografia | 10 di 13 |
| SC.L2-3.13.11 | CUI Encryption | Crittografia | 10 di 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 di 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 di 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | nessuno |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 di 13 |
| SC.L2-3.13.16 | Data at Rest | Crittografia, Protezione dei dati | 11 di 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Gestione delle patch | 10 di 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Protezione degli endpoint, Sicurezza della posta elettronica | 10 di 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Threat Intelligence | 6 di 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Protezione degli endpoint | 10 di 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 di 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Monitoraggio continuo, Intrusion Detection | 11 di 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Monitoraggio continuo, Rilevamento delle anomalie | 10 di 13 |
Copertura dell'argomento
Argomenti con requisiti CMMC mappati (39):
Consapevolezza e formazioneGestione del rischioConformitàGestione degli assetRisk AssessmentClassificazione dei datiGestione delle vulnerabilitàThreat IntelligenceControllo degli accessiAutenticazione a più fattoriCrittografiaProtezione dei datiBackup e ripristinoAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza mobileSicurezza del cloudDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCGestione degli incidentiAnalisi forenseComunicazioneMitigazioneSegnalazioneLezioni appreseComunicazioni e ripristinoMinaccia internaSicurezza fisica
Nessuna mappatura nei nostri dati Nessun requisito di CMMC (11):