CMMC Level 2를 SP 800-53에 추적: NIST 부록 D가 알려 주는 것

미국 국방부(DoD)의 CMMC 프로그램은 현재 국방 계약을 통해 시행되고 있으며, Level 2는 통제 대상 비기밀 정보(CUI)를 취급하는 대부분의 계약업체가 해당되는 수준입니다. Level 2는 NIST SP 800-171 Revision 2의 110개 보안 요구사항이며, 이 요구사항들은 연방 통제 카탈로그인 SP 800-53에서 도출되었습니다. NIST는 SP 800-171 Rev 2 부록 D에서 그 방법을 정확히 문서화했습니다.

이 매핑은 이미 800-53을 따르고 있는 계약업체에게 가장 유용한 단일 문서이며, ControlMapping이 CMMC를 다른 모든 프레임워크와 연결하는 핵심 근간입니다.

추적의 완전성

CMMC의 실무 관행 110개 중 109개(99%)는 800-53의 항목에 대응되고, 0개는 느슨하게만 관련되며, 1개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

CMMC Level 2 실천 항목 중 하나를 제외한 모든 항목이 저희가 나열한 SP 800-53 통제에 매핑됩니다. 이 연결은 NIST의 부록 D에서 가져온 것이므로 대응표로 표시되어 있습니다.

패밀리별

CMMC 섹션	매핑됨	느슨하게 관련됨	매핑 없음
AC Access Control	22 / 22	0	0
AT Awareness and Training	3 / 3	0	0
AU Audit and Accountability	9 / 9	0	0
CA Security Assessment	4 / 4	0	0
CM Configuration Management	9 / 9	0	0
IA Identification and Authentication	11 / 11	0	0
IR Incident Response	3 / 3	0	0
MA Maintenance	6 / 6	0	0
MP Media Protection	9 / 9	0	0
PE Physical Protection	6 / 6	0	0
PS Personnel Security	2 / 2	0	0
RA Risk Assessment	3 / 3	0	0
SC System and Communications Protection	15 / 16	0	1
SI System and Information Integrity	7 / 7	0	0

800-53 보유, CMMC 필요. 요구사항별: 격차 보고서 열기 →

부록 D의 작동 방식

부록 D에는 14개 요구사항 패밀리마다 표가 있으며, 각 요구사항과 그것이 파생된 800-53 통제를 나란히 나열합니다. 사용할 때 중요한 세부 사항은 두 가지입니다:

• 기본 요구사항은 공동으로 매핑됩니다. 각 패밀리에서 (FIPS 200에서 가져온) "기본" 요구사항들은 하나의 병합된 셀에 있는 800-53 통제를 공유합니다. 예를 들어 3.1.1과 3.1.2는 모두 AC-2, AC-3, AC-17로 추적됩니다. "파생" 요구사항은 각자의 행을 가집니다.
• ID는 SP 800-53 Revision 4 기준입니다. 대부분은 Revision 5에서도 변경 없이 유지됩니다. 7개는 Rev 5에서 폐지되어 다른 통제에 통합되었으며, NIST의 Rev 5 카탈로그가 각각 어디로 옮겨졌는지 명시하고 있습니다(예: AU-8(1)은 SC-45(1)로 이동했고, MP-5(4)는 SC-28(1)에 통합되었습니다). 저희는 해당 연결을 따릅니다.

대응 항목이 없는 실천 항목

SC.L2-3.13.14는 Voice over Internet Protocol(VoIP)을 통제하고 모니터링할 것을 요구합니다. 부록 D는 이를 SC-19에 매핑하지만, NIST는 SC-19를 Rev 5에서 후속 통제 없이 폐지했습니다. VoIP는 이제 다른 기술과 마찬가지로 일반 경계 및 통신 통제 아래에서 다루어집니다. 따라서 Rev 5 체계에서 이 CMMC 실천 항목에는 전용 800-53 통제가 없지만, SC-7과 SC-8이 대부분의 실질 내용을 다룹니다.

반대 방향

800-53의 기본 통제 300개 중 114개(38%)는 CMMC의 항목에 대응되고, 78개는 느슨하게만 관련되며, 108개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

SP 800-53의 대부분은 CMMC에 대응하는 항목이 없으며, 이는 의도된 설계입니다. SP 800-171은 비연방 시스템에서 CUI 기밀성을 보호하는 데 관련된 통제만 선별하고 나머지는 제외합니다. 개인정보 보호 통제, 연방 전용 프로그램 관리, 많은 확장 통제, 그리고 "비연방 조직" 기준선이 이미 수행하고 있다고 가정하는 통제(그중 -1 정책 통제 포함)가 여기에 해당합니다.

계약업체에 의미하는 바

1. 800-53 중간(moderate) 기준선을 운영하고 있다면, 실질 내용의 대부분을 이미 갖추고 있습니다. 여러분의 작업은 CMMC 형식의 증적, CUI 범위로 한정된 시스템 보안 계획(SSP), 그리고 평가가 됩니다.
2. 부록 D를 활용해 증적을 재사용하십시오. 각 실천 항목에 대해 나열된 800-53 통제는 기존 통제 증적 중 어떤 것이 적용되는지 알려 줍니다.
3. Rev 2에서 Rev 3으로의 차이를 주시하십시오. NIST의 Revision 3은 여러 요구사항을 재작성했지만, CMMC는 여전히 Revision 2에 고정되어 있습니다. 계약이 요구하는 내용을 기준으로 평가하십시오.

CMMC → SP 800-53 격차 분석 보고서에서는 각 실천 항목과 해당 부록 D 통제를 모두 확인할 수 있으며, CMMC와 SP 800-53 비교는 양방향을 모두 다룹니다. 이 사이트의 CMMC 실천 항목 명칭은 DoD의 것이며, 요구사항 본문은 NIST의 것(퍼블릭 도메인)입니다.

질문

CMMC Level 2는 NIST SP 800-171과 동일합니까?

Level 2는 SP 800-171 Revision 2의 110개 보안 요구사항으로, DoD의 CMMC 규칙에 따라 자체 실천 항목 명칭으로 평가됩니다. NIST는 Revision 3을 발행했지만 CMMC는 여전히 Revision 2에 고정되어 있습니다.

SP 800-53 Rev 5에 대응하는 항목이 없는 CMMC 실천 항목은 무엇입니까?

SC.L2-3.13.14(Voice over IP 통제 및 모니터링). 부록 D는 이를 SC-19에 매핑하지만, NIST는 SC-19를 Rev 5에서 후속 통제 없이 폐지했습니다. VoIP는 이제 다른 기술과 마찬가지로 다루어지기 때문입니다.