CMMC Level 2 vs NIST SP 800-53: 110개 실천 항목과 상위 카탈로그

Paul Gillet 기준 · 2026-10-17 업데이트

CMMC Level 2는 통제되지 않은 기밀 정보(CUI)를 취급하는 계약업체를 대상으로 한 미 국방부(DoD)의 요구사항입니다. 이 110개 실천 항목은 NIST SP 800-171 Rev 2의 보안 요구사항이며, NIST는 이를 비연방 조직에 맞게 조정하여 SP 800-53 Moderate 기준선에서 도출했습니다. 대부분의 Level 2 계약업체는 3년마다 C3PAO의 제3자 평가를 받아야 합니다.

800-171은 800-53에서 파생되었기 때문에 거의 모든 CMMC 실천 항목에 직접 대응하는 항목이 있으며, ControlMapping은 NIST가 직접 제공하는 매핑을 통해 이를 추적합니다. 여기에는 SP 800-171 Rev 2의 부록 D와 SP 800-171 Rev 3 → SP 800-53 참조가 포함됩니다. 800-53에서 CMMC Level 2로 이동하면 대응 범위는 거의 완전합니다. 예외는 VoIP 모니터링(SC.L2-3.13.14)으로, 부록 D는 이를 SC-19에 매핑하지만 NIST는 Rev 5에서 후속 통제 없이 SC-19를 폐기했습니다.

CMMC에서 800-53으로 이동하면 카탈로그의 대부분이 매칭되지 않거나 느슨하게 관련된 것으로 나타납니다. 이는 예상된 결과입니다. CMMC Level 2는 의도적으로 설계된 부분집합이기 때문입니다. 연방 시스템이나 상위 기준선에서만 의미가 있는 통제와 다수의 800-53 세부 통제(enhancement)는 제외되어 있습니다.

유의할 점이 하나 있습니다. NIST가 Rev 3을 발행했음에도 CMMC Level 2는 SP 800-171 Rev 2에 고정되어 있습니다. 계약과 CMMC 규칙이 실제로 요구하는 버전을 기준으로 평가하십시오.

한눈에 보기

NIST 및 DoD 문서 3종의 관계

• SP 800-53은 연방 시스템을 위한 NIST의 보안 및 개인정보 보호 통제 전체 카탈로그이며, 기준선은 SP 800-53B에 있습니다.
• SP 800-171은 비연방 시스템에서 통제되지 않은 기밀 정보(CUI)를 보호하는 데 관련된 통제를 선별하고 조정합니다. Revision 2에는 110개 요구사항이 있으며, 부록 D는 각 요구사항을 그 원천인 800-53 통제에 매핑합니다.
• CMMC Level 2는 이 SP 800-171 Revision 2의 110개 요구사항을 기준으로 계약업체를 평가하는 DoD 프로그램이며, 고유한 실천 항목 명칭, 점수 체계, 인증 규칙을 갖습니다.

따라서 CMMC Level 2는 국방 계약 맥락에서 평가되는, 800-53의 의도적인 부분집합입니다.

Revision 3의 변경 사항과 아직 적용되지 않는 이유

NIST는 2024년에 SP 800-171 Revision 3을 발행했습니다. 이 개정판은 요구사항을 SP 800-53 Rev 5에 맞게 재정렬하고, 일부를 병합하거나 폐기했으며, 조직 정의 매개변수를 추가하고, 번호 체계를 바꾸었습니다(3.1.1 대신 03.01.01). CMMC Level 2는 여전히 Revision 2에 고정되어 있으므로, 평가는 Rev 2 요구사항을 기준으로 이루어집니다. 그럼에도 Rev 3은 유용합니다. Rev 2 요구사항이 Rev 3 요구사항에 매핑되는 경우 ControlMapping은 NIST의 Rev 3 참조를 추가 증거로 활용하며, 미리 준비하는 조직은 두 버전을 모두 충족하는 통제를 설계할 수 있습니다.

어떤 기준이 누구에게 필요한가

SP 800-53은 미국 연방 정보 시스템과 FedRAMP 승인을 받으려는 클라우드 서비스에 적용됩니다. CMMC Level 2는 계약에 CUI가 관련된 국방 계약업체 및 하도급업체에 적용됩니다. 많은 기업이 두 기준 모두를 필요로 합니다. 예를 들어 FedRAMP(800-53)에 따라 연방 기관에 서비스를 제공하는 클라우드 사업자이면서 국방 계약업체인 경우, 또는 자사 시스템에 CUI를 보관하면서 다른 고객을 위해 연방 시스템을 운영하는 계약업체인 경우입니다.

비용과 노력

이미 800-53 Moderate 기준선을 운영 중인 조직이라면 CMMC Level 2에는 새로운 기술이 거의 필요하지 않은 경우가 많습니다. 비용은 CUI 환경의 범위 설정, 해당 환경에 대한 시스템 보안 계획(SSP) 작성, 각 실천 항목에 대한 증거 매핑, 그리고 평가 자체에서 발생합니다. 평가는 자체 평가이거나, CUI가 포함된 대부분의 계약에서는 공인 C3PAO에 의한 3년마다의 인증 평가입니다. 반대로 CMMC 준비가 된 계약업체가 FedRAMP 승인을 받으려면 훨씬 더 큰 통제 집합, 연방 승인 절차, 지속적 모니터링을 감당해야 합니다.

인증 평가까지의 일정

CMMC 요구사항은 DoD 계약에 단계적으로 도입되고 있으며, 프로그램의 2단계 이후에는 더 많은 계약에서 제3자 인증이 요구됩니다. 800-53 환경을 가진 계약업체는 일반적으로 CUI 범위 설정, SSP 작성, 증거 수집에 2~4개월이 필요하며, 이후 DoD 방법론에 따른 자체 평가, 그리고 일정 조율에 시간이 걸릴 수 있는 C3PAO 평가가 이어집니다. 점수가 필요한 최소 기준에 도달하면 제한된 조치 계획과 함께 조건부 인증을 받을 수 있으며, 미결 항목은 180일 이내에 해결해야 합니다.

사례: 국방 하도급업체

직원 120명 규모의 엔지니어링 기업이 주계약업체에 부품을 공급하고 있으며, CUI로 표시된 기술 도면을 전달받습니다. 이 기업은 별도의 연방 연구 계약을 위해 이미 SP 800-53 Moderate 통제를 운영하고 있습니다. 엔지니어링 파일 서버, 설계 워크스테이션, 신원 관리 시스템을 포함하는 CUI 격리 영역(enclave)의 범위를 정하고, 800-53 정책과 부록 D를 통해 매핑된 증거를 재사용하며, 해당 영역에 FIPS 검증 암호화를 적용했는지 확인합니다. 자체 평가 점수는 양호하며, 남은 격차는 VoIP 모니터링과 몇 가지 감사 설정으로 범위가 좁습니다. 이 기업은 C3PAO 평가를 예약하고, CUI 취급 요구사항을 자사의 하도급업체 2곳에도 전달합니다.

흔한 실수

• CUI 경계가 아니라 연방 승인 경계의 범위를 설정하는 것. 두 경계가 같은 경우는 드뭅니다.
• 800-53 증거가 그대로 맞을 것이라고 가정하는 것. 평가자는 CMMC의 식별자와 평가 목표에 따라 실천 항목별로 검토합니다.
• 공유 서비스를 간과하는 것. CUI 격리 영역과 연결되는 신원 관리, 로깅, 관리 도구는 범위에 포함됩니다.
• CUI 기밀성이 의존하는 곳에 검증되지 않은 암호를 사용하는 것.
• CUI를 전달받는 하도급업체에 요구사항을 전달하지 않는 것.

핵심 요점

• 이미 800-53 Moderate 기준선을 운영 중이라면 CMMC Level 2는 대부분 증거 준비와 평가 작업입니다.
• CMMC → 800-53(예: FedRAMP 진입): 범위가 크게 늘어날 것으로 예상하십시오.
• 계약에서 참조하는 800-171 개정판이 무엇인지 확인하십시오.

이 비교 결과 다운로드(CSV) 갭 분석에서 열기 →