Preparando-se para uma avaliação CMMC Nível 2 quando você já opera o SP 800-53

O CMMC Nível 2 está sendo incorporado aos contratos de defesa dos EUA, e muitos contratados que enfrentam essa exigência já operam controles NIST SP 800-53, seja para trabalhos federais, para o FedRAMP ou simplesmente como sua biblioteca de controles. Isso é um ponto de partida sólido: cada prática do CMMC Nível 2 remonta ao SP 800-53 por meio do próprio mapeamento do NIST, como mostra nossa análise do Apêndice D.

Dos 110 práticas de CMMC, 109 (99%) mapeiam para algo em 800-53, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Assim, os controles em grande parte já existem. O que não é automático é a definição do escopo, a documentação e a própria avaliação.

Etapa 1: definir o escopo do ambiente CUI

O CMMC se aplica aos sistemas que processam, armazenam ou transmitem Informações Controladas Não Classificadas (CUI), e aos ativos que os protegem. Mapeie onde a CUI entra, onde ela fica e quem tem acesso a ela. Um limite bem definido e bem documentado (muitas vezes um enclave) reduz o número de ativos que o avaliador precisa examinar. O limite de autorização do 800-53 para um sistema federal raramente é o mesmo que o seu limite de CUI.

Etapa 2: redigir o Plano de Segurança do Sistema para esse limite

O SSP (CA.L2-3.12.4) descreve o limite, o ambiente e como cada um dos 110 requisitos é implementado. Reaproveite suas descrições de controles do 800-53, mas reescreva-as para o ambiente CUI e use os identificadores de prática do CMMC; os avaliadores trabalham prática por prática.

Etapa 3: verificar a redação da Rev 2

O CMMC está vinculado ao SP 800-171 Revisão 2. Quando sua implementação do 800-53 é mais ampla, ela geralmente atende à prática; quando a Rev 2 é específica (criptografia validada pelo FIPS para CUI, bloqueios de sessão, conteúdo específico de auditoria), verifique o detalhe.

Etapa 4: mapear evidências para os objetivos de avaliação

Os avaliadores testam cada prática em relação a objetivos de avaliação, examinando documentos, entrevistando pessoas e testando mecanismos. Para cada prática, liste as evidências que você já produz para os controles correspondentes do 800-53 e preencha as lacunas. Nossas páginas de requisitos mostram os controles do 800-53 de onde cada prática se origina.

Etapa 5: fazer uma autoavaliação honesta e calcular a pontuação

Execute primeiro você mesmo a metodologia de avaliação do DoD e calcule a pontuação. Corrija o que falhar. Planos de ação limitados são permitidos para alguns requisitos, mas devem ser concluídos em até 180 dias, e alguns requisitos não podem ser adiados de forma alguma.

Evidências que os avaliadores esperam

Para cada prática, os avaliadores buscam três tipos de evidência: documentos (políticas, procedimentos, o SSP), entrevistas com as pessoas que executam a prática e testes ou demonstrações dos mecanismos. Solicitações típicas incluem:

• listas de contas e aprovações de acesso para sistemas CUI (AC.L2-3.1.1, 3.1.2);
• configuração de MFA para acesso privilegiado e de rede (IA.L2-3.5.3);
• configuração dos logs de auditoria, retenção e registros de revisão (AU.L2-3.3.1, 3.3.2);
• configurações de linha de base e registros de mudança (CM.L2-3.4.1 a 3.4.3);
• resultados de varredura de vulnerabilidades e remediação (RA.L2-3.11.2, 3.11.3);
• plano de resposta a incidentes e registros de testes (IR.L2-3.6.1, 3.6.3);
• configurações de criptografia que demonstrem módulos validados pelo FIPS onde a CUI é protegida (SC.L2-3.13.11).

A maioria dessas evidências já existe em um ambiente 800-53; o trabalho consiste em reuni-las para o limite CUI e rotulá-las por prática. Cada página de prática, por exemplo AC.L2-3.1.1, lista os controles do 800-53 cujas evidências podem ser reaproveitadas.

Principais conclusões

• Uma linha de base do 800-53 lhe dá a maior parte da substância do CMMC Nível 2.
• O trabalho consiste em definir o escopo da CUI, redigir o SSP e mapear evidências para cada prática.
• Faça uma autoavaliação honesta com base na metodologia do DoD antes da avaliação real.

Armadilhas comuns

• Expansão indevida do escopo: a CUI se espalhando para e-mail, compartilhamentos de arquivos e notebooks fora do enclave.
• Serviços compartilhados: ferramentas de identidade, registro e gerenciamento que tocam o ambiente CUI também estão no escopo.
• Provedores de serviços externos: serviços de nuvem que tratam CUI devem atender aos requisitos federais aplicáveis, normalmente o FedRAMP Moderate ou equivalente.
• Alegações de herança sem evidência: se um controle é herdado de um provedor, guarde a documentação dele.

A comparação CMMC vs SP 800-53 lista cada prática com seus controles de origem, e a análise de lacunas exporta tudo como um rastreador.

Perguntas

Quem avalia o CMMC Nível 2?

Dependendo do contrato, pode ser o próprio contratado (autoavaliação) ou uma Organização de Avaliação Terceirizada do CMMC (C3PAO) autorizada. A maioria dos contratos que envolvem CUI exige a avaliação de certificação por terceiros.

O que é um Plano de Segurança do Sistema?

Documento que descreve o limite do sistema, o ambiente e como cada requisito de segurança é implementado. É exigido pelo SP 800-171 (prática CMMC CA.L2-3.12.4) e é a primeira coisa que os avaliadores leem.

A autorização FedRAMP de um provedor de nuvem pode cobrir práticas do CMMC?

Pode cobrir as práticas que o provedor implementa em seu nome, como controles herdados, desde que o provedor atenda à linha de base exigida e você mantenha a documentação dele. Você continua responsável pela sua própria configuração, pelos usuários e pelos dados dentro do serviço.