프레임워크
CMMC Level 2
개요
미국 국방부의 사이버보안 성숙도 모델 인증(CMMC). Level 2는 통제되지 않은 기밀 정보(CUI) 보호를 위한 NIST SP 800-171 Rev 2의 110개 보안 요구사항입니다. 프로그램 규칙은 2024년 12월에 시행되었으며, 계약 요구사항은 2025년 11월부터 단계적으로 적용되고 있습니다.
필요한 대상
CUI를 처리, 저장 또는 전송하는 국방 계약업체 및 하위 계약업체.
평가 방식
자체 평가 또는, 대부분의 CUI 계약의 경우, 공인 제3자 평가기관(C3PAO)에 의한 인증 평가를 3년마다 받아야 하며, 매년 적합성 확인서를 제출해야 합니다. 일부 요구사항에 대해서는 제한적 시정 계획 및 이정표(POA&M)가 허용되며, 180일 이내에 종료해야 합니다.
110
실무 관행
109
다른 프레임워크에 매핑됨
78%
다루는 주제 (39/50)
비교 자료
요구사항
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
| ID | 요구사항 | 주제 | 매핑 위치: |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | 접근 통제, 제로 트러스트 | 11 / 13 |
| AC.L2-3.1.2 | Transaction & Function Control | 접근 통제 | 11 / 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 / 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 / 13 |
| AC.L2-3.1.5 | Least Privilege | 특권 접근 | 10 / 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | 특권 접근 | 10 / 13 |
| AC.L2-3.1.7 | Privileged Functions | 특권 접근 | 10 / 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 / 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 / 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 / 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 / 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 / 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | 암호화 | 10 / 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 / 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 / 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 / 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 / 13 |
| AC.L2-3.1.18 | Mobile Device Connection | 모바일 보안 | 7 / 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | 암호화, 모바일 보안 | 11 / 13 |
| AC.L2-3.1.20 | External Connections | 클라우드 보안 | 11 / 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 / 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 / 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | 인식 제고 및 교육 | 10 / 13 |
| AT.L2-3.2.2 | Role-Based Training | 인식 제고 및 교육 | 10 / 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | 인식 제고 및 교육, 내부자 위협 | 10 / 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | 로깅 및 감사 | 10 / 13 |
| AU.L2-3.3.2 | User Accountability | 로깅 및 감사, 내부자 위협 | 11 / 13 |
| AU.L2-3.3.3 | Event Review | — | 1 / 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 / 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 / 13 |
| AU.L2-3.3.6 | Reduction & Reporting | 포렌식 | 7 / 13 |
| AU.L2-3.3.7 | Authoritative Time Source | 로깅 및 감사 | 10 / 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 / 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 / 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | 컴플라이언스 | 10 / 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 / 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 / 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 / 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | 자산 관리, 보안 구성 | 13 / 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | 보안 구성 | 9 / 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 / 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 / 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 / 13 |
| CM.L2-3.4.6 | Least Functionality | 보안 구성 | 9 / 13 |
| CM.L2-3.4.7 | Nonessential Functionality | 보안 구성 | 9 / 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 / 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 / 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 / 13 |
| IA.L2-3.5.2 | Authentication | — | 1 / 13 |
| IA.L2-3.5.3 | Multifactor Authentication | 다단계 인증 | 10 / 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 / 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 / 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 / 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 / 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 / 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 / 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 / 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 / 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | 사고 대응, 완화, 교훈 도출 | 12 / 13 |
| IR.L2-3.6.2 | Incident Reporting | 커뮤니케이션, 보고, 커뮤니케이션 및 복구 | 12 / 13 |
| IR.L2-3.6.3 | Incident Response Testing | 사고 대응 | 12 / 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 / 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 / 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 / 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 / 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 / 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 / 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 / 13 |
| MP.L2-3.8.2 | Media Access | — | 1 / 13 |
| MP.L2-3.8.3 | Media Disposal | 데이터 보호 | 11 / 13 |
| MP.L2-3.8.4 | Media Markings | 데이터 분류 | 9 / 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 / 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | 암호화 | 10 / 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 / 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 / 13 |
| MP.L2-3.8.9 | Protect Backups | 백업 및 복구 | 11 / 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | 물리적 보안 | 8 / 13 |
| PE.L2-3.10.2 | Monitor Facility | 물리적 보안 | 8 / 13 |
| PE.L2-3.10.3 | Escort Visitors | 물리적 보안 | 8 / 13 |
| PE.L2-3.10.4 | Physical Access Logs | 물리적 보안 | 8 / 13 |
| PE.L2-3.10.5 | Manage Physical Access | 물리적 보안 | 8 / 13 |
| PE.L2-3.10.6 | Alternative Work Sites | 물리적 보안 | 8 / 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | 내부자 위협 | 8 / 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 / 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | 위험 관리, 위험 평가 | 10 / 13 |
| RA.L2-3.11.2 | Vulnerability Scan | 취약점 관리 | 13 / 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | 취약점 관리 | 13 / 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | 방화벽 / 네트워크 분리, 웹 보안, 제로 트러스트 | 9 / 13 |
| SC.L2-3.13.2 | Security Engineering | 보안 개발 | 8 / 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 / 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 / 13 |
| SC.L2-3.13.5 | Public-Access System Separation | 방화벽 / 네트워크 분리 | 9 / 13 |
| SC.L2-3.13.6 | Network Communication by Exception | 방화벽 / 네트워크 분리, 제로 트러스트 | 9 / 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 / 13 |
| SC.L2-3.13.8 | Data in Transit | 암호화 | 10 / 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 / 13 |
| SC.L2-3.13.10 | Key Management | 암호화 | 10 / 13 |
| SC.L2-3.13.11 | CUI Encryption | 암호화 | 10 / 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 / 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 / 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | 없음 |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 / 13 |
| SC.L2-3.13.16 | Data at Rest | 암호화, 데이터 보호 | 11 / 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | 패치 관리 | 10 / 13 |
| SI.L2-3.14.2 | Malicious Code Protection | 엔드포인트 보호, 이메일 보안 | 10 / 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | 위협 인텔리전스 | 6 / 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | 엔드포인트 보호 | 10 / 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 / 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | 지속적 모니터링, 침입 탐지 | 11 / 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | 지속적 모니터링, 이상 징후 탐지 | 10 / 13 |
주제 커버리지
CMMC 요구사항과 매핑된 주제 (39개):
인식 제고 및 교육위험 관리컴플라이언스자산 관리위험 평가데이터 분류취약점 관리위협 인텔리전스접근 통제다단계 인증암호화데이터 보호백업 및 복구특권 접근방화벽 / 네트워크 분리엔드포인트 보호패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트모바일 보안클라우드 보안DLP지속적 모니터링로깅 및 감사침입 탐지이상 징후 탐지SIEM / SOC사고 대응포렌식커뮤니케이션완화보고교훈 도출커뮤니케이션 및 복구내부자 위협물리적 보안
보유 데이터에 매핑 없음 CMMC 요구사항 없음 (11):