이미 SP 800-53을 운영 중일 때 CMMC Level 2 평가 준비하기

CMMC Level 2는 현재 미국 국방 계약에 반영되고 있으며, 이에 직면한 많은 계약업체는 연방 업무, FedRAMP 또는 단순히 통제 라이브러리로서 이미 NIST SP 800-53 통제를 운영하고 있습니다. 이는 좋은 출발점입니다. 모든 CMMC Level 2 실무 항목은 부록 D 분석에서 보여주듯이 NIST 자체 매핑을 통해 SP 800-53에 추적됩니다.

CMMC의 실무 관행 110개 중 109개(99%)는 800-53의 항목에 대응되고, 0개는 느슨하게만 관련되며, 1개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

따라서 통제는 대부분 이미 갖춰져 있습니다. 자동으로 해결되지 않는 것은 범위 설정, 문서화, 그리고 평가 자체입니다.

1단계: CUI 환경 범위 설정

CMMC는 통제된 비기밀 정보(CUI)를 처리, 저장 또는 전송하는 시스템과 이를 보호하는 자산에 적용됩니다. CUI가 어디로 유입되고, 어디에 보관되며, 누가 접근하는지 매핑하십시오. 명확하고 잘 문서화된 경계(대개 엔클레이브)는 평가자가 검토해야 할 자산 수를 줄여 줍니다. 연방 시스템의 800-53 인가 경계는 대개 CUI 경계와 같지 않습니다.

2단계: 해당 경계에 대한 SSP 작성

SSP(CA.L2-3.12.4)는 경계, 환경, 그리고 110개 요구사항 각각이 어떻게 구현되는지를 기술합니다. 800-53 통제 설명을 재사용하되, CUI 환경에 맞게 다시 작성하고 CMMC 실무 식별자를 사용하십시오. 평가자는 실무 단위로 평가하기 때문입니다.

3단계: Rev 2 문구 확인

CMMC는 SP 800-171 Revision 2에 고정되어 있습니다. 800-53 구현 범위가 더 넓다면 대개 해당 실무를 충족하지만, Rev 2가 구체적으로 규정한 부분(CUI 보호용 FIPS 검증 암호화, 세션 잠금, 특정 감사 내용)은 세부 사항을 확인하십시오.

4단계: 증거를 평가 목표에 매핑

평가자는 각 실무를 평가 목표에 따라 검증하며, 문서 검토, 담당자 면담, 메커니즘 테스트를 수행합니다. 각 실무에 대해 해당 800-53 통제에서 이미 생성되는 증거를 나열하고 공백을 메우십시오. 요구사항 페이지에서 각 실무가 어떤 800-53 통제에서 도출되는지 확인할 수 있습니다.

5단계: 정직하게 자체 평가하고 점수 산정

먼저 DoD 평가 방법론을 직접 수행하고 점수를 계산하십시오. 실패한 항목은 수정하십시오. 일부 요구사항에는 제한된 조치 계획이 허용되지만 180일 이내에 종결해야 하며, 일부 요구사항은 전혀 연기할 수 없습니다.

평가자가 기대하는 증거

각 실무에 대해 평가자는 세 가지 유형의 증거를 찾습니다. 문서(정책, 절차, SSP), 실무를 수행하는 담당자와의 면담, 그리고 메커니즘에 대한 테스트 또는 시연입니다. 일반적인 요청 항목은 다음과 같습니다:

• CUI 시스템에 대한 계정 목록 및 접근 승인 (AC.L2-3.1.1, 3.1.2);
• 특권 및 네트워크 접근에 대한 MFA 구성 (IA.L2-3.5.3);
• 감사 로그 구성, 보존 및 검토 기록 (AU.L2-3.3.1, 3.3.2);
• 기준 구성 및 변경 기록 (CM.L2-3.4.1~3.4.3);
• 취약점 스캔 결과 및 조치 (RA.L2-3.11.2, 3.11.3);
• 침해사고 대응 계획 및 테스트 기록 (IR.L2-3.6.1, 3.6.3);
• CUI를 보호하는 곳에 FIPS 검증 모듈이 사용됨을 보여 주는 암호화 설정 (SC.L2-3.13.11).

대부분은 800-53 환경에 이미 존재합니다. 작업은 이를 CUI 경계에 맞게 수집하고 실무별로 라벨을 붙이는 것입니다. 예를 들어 AC.L2-3.1.1 실무 페이지에는 증거를 재사용할 수 있는 800-53 통제가 나열되어 있습니다.

핵심 요약

• 800-53 기준선은 CMMC Level 2의 핵심 내용 대부분을 제공합니다.
• 작업은 CUI 범위 설정, SSP 작성, 각 실무에 대한 증거 매핑입니다.
• 실제 평가 전에 DoD 방법론에 따라 정직하게 자체 평가하십시오.

흔한 함정

• 범위 확대(scope creep): CUI가 엔클레이브 밖의 이메일, 파일 공유, 노트북으로 퍼지는 경우.
• 공유 서비스: CUI 환경에 접근하는 ID, 로깅, 관리 도구도 범위에 포함됩니다.
• 외부 서비스 제공업체: CUI를 처리하는 클라우드 서비스는 적절한 연방 요구사항, 일반적으로 FedRAMP Moderate 또는 동등 수준을 충족해야 합니다.
• 증거 없는 상속 주장: 통제가 제공업체로부터 상속된 경우 해당 제공업체의 문서를 보관하십시오.

CMMC vs SP 800-53 비교에서는 각 실무와 원천 통제를 모두 나열하며, 격차 분석에서는 이를 추적 도구로 내보낼 수 있습니다.

질문

CMMC Level 2 평가는 누가 수행하나요?

계약 내용에 따라 계약업체 자체(자체 평가) 또는 공인 CMMC 제3자 평가 기관(C3PAO)이 수행합니다. CUI가 관련된 대부분의 계약은 제3자 인증 평가를 요구합니다.

시스템 보안 계획(SSP)이란 무엇인가요?

시스템 경계, 환경, 그리고 각 보안 요구사항이 어떻게 구현되는지를 설명하는 문서입니다. SP 800-171에서 요구하며(CMMC 실무 CA.L2-3.12.4), 평가자가 가장 먼저 읽는 문서입니다.

클라우드 제공업체의 FedRAMP 인가가 CMMC 실무를 포괄할 수 있나요?

제공업체가 귀사를 위해 구현하는 실무에 대해서는, 제공업체가 요구되는 기준선을 충족하고 귀사가 해당 문서를 보관한다면 상속 통제로서 이를 포괄할 수 있습니다. 서비스 내 귀사의 구성, 사용자, 데이터에 대한 책임은 여전히 귀사에 있습니다.