Comparação
CMMC Level 2 vs NIST SP 800-53: as 110 práticas e o catálogo-mãe
CMMC Level 2 · NIST SP 800-53 Rev 5.2 · dados de 2026-10-27
Por Paul Gillet · Atualizado em 2026-10-17
O CMMC Level 2 é o requisito do Departamento de Defesa dos EUA para contratados que tratam Informações Não Classificadas Controladas (CUI). Suas 110 práticas são os requisitos de segurança do NIST SP 800-171 Rev 2, que o NIST derivou da linha de base Moderate do SP 800-53, adaptada para organizações não federais. A maioria dos contratados de Nível 2 precisa de uma avaliação de terceiros por um C3PAO a cada três anos.
Como o 800-171 deriva do 800-53, quase todas as práticas do CMMC têm uma contraparte direta, e o ControlMapping as rastreia pelos próprios mapeamentos do NIST: o Apêndice D do SP 800-171 Rev 2, além das referências do SP 800-171 Rev 3 → SP 800-53. Do 800-53 para o CMMC Level 2, a cobertura é quase completa. A exceção é o monitoramento de VoIP (SC.L2-3.13.14): o Apêndice D o associa ao SC-19, que o NIST retirou na Rev 5 sem sucessor.
Do CMMC para o 800-53, a maior parte do catálogo aparece como sem correspondência ou apenas vagamente relacionada. Isso é esperado: o CMMC Level 2 é um subconjunto deliberado. Ele omite controles que só fazem sentido para sistemas federais ou linhas de base mais altas, e muitos aprimoramentos do 800-53.
Uma nuance a observar: o CMMC Level 2 está fixado no SP 800-171 Rev 2, embora o NIST já tenha publicado a Rev 3. Avalie com base na versão que seu contrato e a regra do CMMC efetivamente exigem.
Em resumo
| CMMC | 800-53 | |
|---|---|---|
| O que é | Certificação do DoD para 110 práticas (NIST SP 800-171 Rev 2) | Catálogo de controles de segurança e privacidade para sistemas federais |
| Quem precisa | Contratados de defesa que tratam CUI | Agências federais e seus sistemas; provedores de nuvem FedRAMP |
| Avaliação | Autoavaliação ou certificação por C3PAO a cada três anos | Avaliação e autorização no Risk Management Framework |
| Mapeamento oficial | O Apêndice D do SP 800-171r2 mapeia cada requisito para o 800-53 | — |
Como os três documentos do NIST e do DoD se relacionam
- SP 800-53 é o catálogo completo de controles de segurança e privacidade do NIST para sistemas federais, com linhas de base no SP 800-53B.
- SP 800-171 seleciona e adapta os controles relevantes para proteger Informações Não Classificadas Controladas em sistemas não federais. Sua Revisão 2 tem 110 requisitos, e o Apêndice D mapeia cada um à sua origem no 800-53.
- CMMC Level 2 é o programa do DoD que avalia contratados em relação a esses 110 requisitos do SP 800-171 Revisão 2, com nomes de práticas, pontuação e regras de certificação próprios.
Assim, o CMMC Level 2 é um subconjunto deliberado do 800-53, avaliado no contexto de contratos de defesa.
O que muda na Revisão 3 e por que ainda não se aplica
O NIST publicou o SP 800-171 Revisão 3 em 2024. Ela realinhou os requisitos ao SP 800-53 Rev 5, uniu ou retirou alguns, acrescentou parâmetros definidos pela organização e os renumerou (03.01.01 em vez de 3.1.1). O CMMC Level 2 continua fixado na Revisão 2, portanto as avaliações testam os requisitos da Rev 2. A Rev 3 continua útil: quando um requisito da Rev 2 corresponde a um da Rev 3, o ControlMapping usa as referências da Rev 3 do NIST como evidência adicional, e organizações que planejam com antecedência podem desenhar controles que atendam às duas.
Quem precisa de cada um
O SP 800-53 se aplica a sistemas de informação federais dos EUA e a serviços em nuvem que buscam autorização FedRAMP. O CMMC Level 2 se aplica a contratados e subcontratados de defesa cujos contratos envolvam CUI. Muitas empresas precisam de ambos: um provedor de nuvem que atende agências federais sob o FedRAMP (800-53) e contratados de defesa (CMMC), ou um contratado cujos próprios sistemas armazenam CUI enquanto opera sistemas federais para outro cliente.
Custo e esforço
Para uma organização que já opera uma linha de base moderada do 800-53, o CMMC Level 2 raramente exige nova tecnologia. O custo está em definir o escopo do ambiente de CUI, redigir um System Security Plan para ele, mapear evidências para cada prática e na própria avaliação: uma autoavaliação ou, para a maioria dos contratos com CUI, uma avaliação de certificação por um C3PAO autorizado a cada três anos. No sentido inverso, um contratado pronto para o CMMC que busca a autorização FedRAMP enfrenta um conjunto de controles muito maior, o processo de autorização federal e o monitoramento contínuo.
Cronograma até a avaliação de certificação
Os requisitos do CMMC estão sendo incorporados gradualmente aos contratos do DoD, com certificação de terceiros exigida em mais contratos a partir da segunda fase do programa. Um contratado com ambiente 800-53 normalmente precisa de dois a quatro meses para definir o escopo do CUI, redigir o SSP e reunir evidências; depois, uma autoavaliação segundo a metodologia do DoD; em seguida, a avaliação do C3PAO, cuja programação pode levar tempo. Uma certificação condicional com plano de ação limitado é possível se a pontuação atingir o mínimo exigido, com os itens em aberto fechados em até 180 dias.
Exemplo prático: um subcontratado de defesa
Uma empresa de engenharia com 120 pessoas fornece componentes a um contratado principal e recebe desenhos técnicos marcados como CUI. Ela já opera controles moderados do SP 800-53 para um contrato federal de pesquisa separado. Define o escopo de um enclave de CUI que abrange seu servidor de arquivos de engenharia, as estações de projeto e seu sistema de identidade, reaproveita suas políticas do 800-53 e evidências mapeadas pelo Apêndice D, e confirma criptografia validada pelo FIPS para o enclave. Sua autoavaliação tem boa pontuação; as lacunas restantes são pontuais (monitoramento de VoIP e algumas configurações de auditoria). Ela agenda uma avaliação com um C3PAO e repassa os requisitos de tratamento de CUI a seus dois subcontratados.
Erros comuns
- Definir o escopo pela fronteira de autorização federal em vez da fronteira de CUI. Raramente são a mesma coisa.
- Presumir que as evidências do 800-53 servem como estão. Os avaliadores trabalham prática por prática, com os identificadores e objetivos de avaliação do CMMC.
- Esquecer os serviços compartilhados. Ferramentas de identidade, registro de logs e gestão que tocam o enclave de CUI estão no escopo.
- Usar criptografia não validada quando a confidencialidade do CUI depende dela.
- Não repassar os requisitos a subcontratados que recebem CUI.
Principais conclusões
- Se você já opera uma linha de base Moderate do 800-53, o CMMC Level 2 é, em grande parte, um exercício de evidências e avaliação.
- CMMC → 800-53 (por exemplo, ao migrar para o FedRAMP): espere um grande aumento de escopo.
- Acompanhe qual revisão do 800-171 seu contrato referencia.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem CMMC → precisa de 800-53
300 req. 114 mapeados · · 108 sem mapeamento Abrir na visão de lacunas →Dos 300 requisitos de NIST SP 800-53 Rev 5.2, 114 mapeiam para algo em CMMC, 78 são apenas vagamente relacionados e 108 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de 800-53 sem mapeamento para CMMC (108)
| 800-53 | Requisito | Correspondência | CMMC | Evidências |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AC-21 | Information Sharing | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AC-23 | Data Mining Protection | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AC-25 | Reference Monitor | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AT Awareness and Training · 3 | ||||
| AT-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AT-4 | Training Records | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AT-6 | Training Feedback | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AU Audit and Accountability · 4 | ||||
| AU-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AU-4 | Audit Log Storage Capacity | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AU-10 | Non-repudiation | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| AU-14 | Session Audit | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CA-6 | Authorization | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CM Configuration Management · 2 | ||||
| CM-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CM-14 | Signed Components | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CP Contingency Planning · 6 | ||||
| CP-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CP-3 | Contingency Training | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CP-8 | Telecommunications Services | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CP-11 | Alternate Communications Protocols | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CP-12 | Safe Mode | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| CP-13 | Alternative Security Mechanisms | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| IA Identification and Authentication · 2 | ||||
| IA-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| IA-12 | Identity Proofing | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| IR Incident Response · 2 | ||||
| IR-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| IR-9 | Information Spillage Response | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| MA Maintenance · 2 | ||||
| MA-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| MA-7 | Field Maintenance | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| MP Media Protection · 1 | ||||
| MP-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PE Physical and Environmental Protection · 4 | ||||
| PE-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PE-16 | Delivery and Removal | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PE-21 | Electromagnetic Pulse Protection | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PE-22 | Component Marking | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PL Planning · 6 | ||||
| PL-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PL-4 | Rules of Behavior | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PL-7 | Concept of Operations | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PL-9 | Central Management | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PL-10 | Baseline Selection | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PL-11 | Baseline Tailoring | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM Program Management · 15 | ||||
| PM-1 | Information Security Program Plan | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-2 | Information Security Program Leadership Role | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-3 | Information Security and Privacy Resources | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-8 | Critical Infrastructure Plan | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-10 | Authorization Process | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-14 | Testing, Training, and Monitoring | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-17 | Protecting Controlled Unclassified Information on External Systems | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-20 | Dissemination of Privacy Program Information | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-21 | Accounting of Disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-24 | Data Integrity Board | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-26 | Complaint Management | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-27 | Privacy Reporting | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-29 | Risk Management Program Leadership Roles | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PM-32 | Purposing | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PS Personnel Security · 4 | ||||
| PS-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PS-2 | Position Risk Designation | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PS-6 | Access Agreements | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PS-8 | Personnel Sanctions | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT PII Processing and Transparency · 8 | ||||
| PT-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-2 | Authority to Process Personally Identifiable Information | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-3 | Personally Identifiable Information Processing Purposes | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-4 | Consent | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-5 | Privacy Notice | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-6 | System of Records Notice | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-7 | Specific Categories of Personally Identifiable Information | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| PT-8 | Computer Matching Requirements | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| RA Risk Assessment · 2 | ||||
| RA-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| RA-6 | Technical Surveillance Countermeasures Survey | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SA System and Services Acquisition · 6 | ||||
| SA-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SA-2 | Allocation of Resources | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SA-16 | Developer-provided Training | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SA-20 | Customized Development of Critical Components | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SA-21 | Developer Screening | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SA-23 | Specialization | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC System and Communications Protection · 20 | ||||
| SC-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-3 | Security Function Isolation | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-17 | Public Key Infrastructure Certificates | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-25 | Thin Nodes | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-26 | Decoys | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-27 | Platform-independent Applications | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-29 | Heterogeneity | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-30 | Concealment and Misdirection | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-31 | Covert Channel Analysis | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-37 | Out-of-band Channels | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-38 | Operations Security | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-41 | Port and I/O Device Access | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-42 | Sensor Capability and Data | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-44 | Detonation Chambers | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-46 | Cross Domain Policy Enforcement | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-47 | Alternate Communications Paths | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-48 | Sensor Relocation | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-50 | Software-enforced Separation and Policy Enforcement | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SC-51 | Hardware-based Protection | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI System and Information Integrity · 11 | ||||
| SI-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-6 | Security and Privacy Function Verification | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-11 | Error Handling | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-14 | Non-persistence | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-15 | Information Output Filtering | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-17 | Fail-safe Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-19 | De-identification | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-20 | Tainting | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-21 | Information Refresh | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-22 | Information Diversity | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SI-23 | Information Fragmentation | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SR Supply Chain Risk Management · 4 | ||||
| SR-1 | Policy and Procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SR-4 | Provenance | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SR-7 | Supply Chain Operations Security | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
| SR-9 | Tamper Resistance and Detection | Sem mapeamento em nossos dados | — | Sem mapeamento para CMMC em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (78)
| 800-53 | Requisito | Correspondência | CMMC | Evidências |
|---|---|---|---|---|
| AC Access Control · 5 | ||||
| AC-9 | Previous Logon Notification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento | |
| AC-10 | Concurrent Session Control | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| AC-14 | Permitted Actions Without Identification or Authentication | AC.L2-3.1.1IA.L2-3.5.1IA.L2-3.5.2+5 | Compartilha apenas CSF PR.AA-01: relacionado, não um mapeamento | |
| AC-16 | Security and Privacy Attributes | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| AC-24 | Access Control Decisions | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| AU Audit and Accountability · 1 | ||||
| AU-16 | Cross-organizational Audit Logging | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | Compartilha apenas CSF PR.DS-02: relacionado, não um mapeamento | |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-3 | Information Exchange | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| CA-9 | Internal System Connections | CA.L2-3.12.4 | Compartilha apenas CSF ID.AM-03: relacionado, não um mapeamento | |
| CM Configuration Management · 4 | ||||
| CM-9 | Configuration Management Plan | CA.L2-3.12.4CM.L2-3.4.1CM.L2-3.4.2+5 | Compartilha apenas CSF ID.AM-08, PR.PS-01: relacionado, não um mapeamento | |
| CM-10 | Software Usage Restrictions | CM.L2-3.4.9AU.L2-3.3.3CA.L2-3.12.3+5 | Compartilha apenas CSF DE.CM-03, DE.CM-09, PR.PS-01: relacionado, não um mapeamento | |
| CM-12 | Information Location | MP.L2-3.8.4 | Compartilha apenas CSF ID.AM-07: relacionado, não um mapeamento | |
| CM-13 | Data Action Mapping | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| CP Contingency Planning · 3 | ||||
| CP-2 | Contingency Plan | IR.L2-3.6.1MP.L2-3.8.9PE.L2-3.10.6 | Compartilha apenas CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.CO-04…: relacionado, não um mapeamento | |
| CP-4 | Contingency Plan Testing | MP.L2-3.8.9 | Compartilha apenas CSF RC.RP-03: relacionado, não um mapeamento | |
| CP-7 | Alternate Processing Site | IR.L2-3.6.1SC.L2-3.13.2 | Compartilha apenas CSF RC.RP-02, PR.IR-03: relacionado, não um mapeamento | |
| IA Identification and Authentication · 5 | ||||
| IA-7 | Cryptographic Module Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Compartilha apenas CSF PR.AA-01, PR.AA-03: relacionado, não um mapeamento | |
| IA-8 | Identification and Authentication (Non-organizational Users) | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Compartilha apenas CSF PR.AA-01, PR.AA-03: relacionado, não um mapeamento | |
| IA-9 | Service Identification and Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Compartilha apenas CSF PR.AA-01, PR.AA-03: relacionado, não um mapeamento | |
| IA-10 | Adaptive Authentication | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.3+5 | Compartilha apenas CSF PR.AA-01, PR.AA-03: relacionado, não um mapeamento | |
| IA-13 | Identity Providers and Authorization Servers | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.4+5 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| MA Maintenance · 1 | ||||
| MA-6 | Timely Maintenance | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| MP Media Protection · 1 | ||||
| MP-8 | Media Downgrading | AC.L2-3.1.13MP.L2-3.8.5MP.L2-3.8.6+5 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| PE Physical and Environmental Protection · 9 | ||||
| PE-9 | Power Equipment and Cabling | PE.L2-3.10.6 | Compartilha apenas CSF PR.IR-02: relacionado, não um mapeamento | |
| PE-10 | Emergency Shutoff | PE.L2-3.10.6 | Compartilha apenas CSF PR.IR-02: relacionado, não um mapeamento | |
| PE-11 | Emergency Power | PE.L2-3.10.6 | Compartilha apenas CSF PR.IR-02: relacionado, não um mapeamento | |
| PE-12 | Emergency Lighting | PE.L2-3.10.6 | Compartilha apenas CSF PR.IR-02: relacionado, não um mapeamento | |
| PE-15 | Water Damage Protection | PE.L2-3.10.6 | Compartilha apenas CSF PR.IR-02: relacionado, não um mapeamento | |
| PE-18 | Location of System Components | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Compartilha apenas CSF PR.AA-06: relacionado, não um mapeamento | |
| PE-19 | Information Leakage | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Compartilha apenas CSF PR.AA-06: relacionado, não um mapeamento | |
| PE-20 | Asset Monitoring and Tracking | PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4+5 | Compartilha apenas CSF DE.CM-02, PR.AA-06: relacionado, não um mapeamento | |
| PE-23 | Facility Location | PE.L2-3.10.6 | Compartilha apenas CSF PR.IR-02: relacionado, não um mapeamento | |
| PL Planning · 1 | ||||
| PL-8 | Security and Privacy Architectures | CA.L2-3.12.4 | Compartilha apenas CSF ID.AM-03: relacionado, não um mapeamento | |
| PM Program Management · 9 | ||||
| PM-7 | Enterprise Architecture | CA.L2-3.12.4 | Compartilha apenas CSF ID.AM-03: relacionado, não um mapeamento | |
| PM-11 | Mission and Business Process Definition | RA.L2-3.11.1 | Compartilha apenas CSF ID.RA-04: relacionado, não um mapeamento | |
| PM-13 | Security and Privacy Workforce | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento | |
| PM-18 | Privacy Program Plan | RA.L2-3.11.1 | Compartilha apenas CSF GV.OC-02, GV.OV-01, GV.RM-06, GV.RM-07…: relacionado, não um mapeamento | |
| PM-19 | Privacy Program Leadership Role | RA.L2-3.11.1 | Compartilha apenas CSF GV.OV-02, GV.SC-09: relacionado, não um mapeamento | |
| PM-22 | Personally Identifiable Information Quality Management | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| PM-23 | Data Governance Body | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| PM-30 | Supply Chain Risk Management Strategy | RA.L2-3.11.1 | Compartilha apenas CSF GV.OC-02, GV.OV-01, GV.OV-02, GV.RM-06…: relacionado, não um mapeamento | |
| PM-31 | Continuous Monitoring Strategy | RA.L2-3.11.1RA.L2-3.11.2RA.L2-3.11.3 | Compartilha apenas CSF GV.OV-01, GV.OV-02, GV.SC-03, GV.SC-09…: relacionado, não um mapeamento | |
| PS Personnel Security · 2 | ||||
| PS-7 | External Personnel Security | CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6+4 | Compartilha apenas CSF DE.CM-06: relacionado, não um mapeamento | |
| PS-9 | Position Descriptions | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento | |
| RA Risk Assessment · 3 | ||||
| RA-8 | Privacy Impact Assessments | RA.L2-3.11.1 | Compartilha apenas CSF ID.RA-04: relacionado, não um mapeamento | |
| RA-9 | Criticality Analysis | RA.L2-3.11.1MP.L2-3.8.4 | Compartilha apenas CSF GV.SC-04, GV.SC-07, ID.RA-04, ID.AM-05: relacionado, não um mapeamento | |
| RA-10 | Threat Hunting | IR.L2-3.6.1RA.L2-3.11.1 | Compartilha apenas CSF DE.AE-06, DE.AE-07: relacionado, não um mapeamento | |
| SA System and Services Acquisition · 6 | ||||
| SA-4 | Acquisition Process | RA.L2-3.11.1CA.L2-3.12.3CA.L2-3.12.4+5 | Compartilha apenas CSF GV.SC-05, GV.SC-06, GV.SC-07, GV.SC-09…: relacionado, não um mapeamento | |
| SA-5 | System Documentation | AC.L2-3.1.20AC.L2-3.1.21RA.L2-3.11.1 | Compartilha apenas CSF ID.AM-02, ID.RA-09: relacionado, não um mapeamento | |
| SA-10 | Developer Configuration Management | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4+3 | Compartilha apenas CSF PR.PS-02: relacionado, não um mapeamento | |
| SA-17 | Developer Security and Privacy Architecture and Design | RA.L2-3.11.1SC.L2-3.13.2 | Compartilha apenas CSF ID.IM-01, ID.RA-09, PR.PS-06: relacionado, não um mapeamento | |
| SA-22 | Unsupported System Components | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| SA-24 | Design For Cyber Resiliency | SC.L2-3.13.2 | Compartilha apenas CSF PR.IR-03, PR.PS-06: relacionado, não um mapeamento | |
| SC System and Communications Protection · 15 | ||||
| SC-5 | Denial-of-service Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Compartilha apenas CSF DE.CM-01, PR.IR-01: relacionado, não um mapeamento | |
| SC-6 | Resource Availability | SC.L2-3.13.2 | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| SC-11 | Trusted Path | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Compartilha apenas CSF PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| SC-16 | Transmission of Security and Privacy Attributes | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.1+5 | Compartilha apenas CSF PR.DS-02: relacionado, não um mapeamento | |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Compartilha apenas CSF DE.CM-01, PR.IR-01: relacionado, não um mapeamento | |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Compartilha apenas CSF DE.CM-01, PR.IR-01: relacionado, não um mapeamento | |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.3+5 | Compartilha apenas CSF DE.CM-01, PR.IR-01: relacionado, não um mapeamento | |
| SC-24 | Fail in Known State | SC.L2-3.13.2AC.L2-3.1.1AC.L2-3.1.2+5 | Compartilha apenas CSF PR.DS-10, PR.IR-03: relacionado, não um mapeamento | |
| SC-32 | System Partitioning | MP.L2-3.8.9SC.L2-3.13.1SC.L2-3.13.2+5 | Compartilha apenas CSF PR.DS-01, PR.DS-10: relacionado, não um mapeamento | |
| SC-34 | Non-modifiable Executable Programs | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento | |
| SC-35 | External Malicious Code Identification | AC.L2-3.1.3AU.L2-3.3.3CA.L2-3.12.3+5 | Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento | |
| SC-36 | Distributed Processing and Storage | SC.L2-3.13.2 | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| SC-39 | Process Isolation | SC.L2-3.13.2MP.L2-3.8.9SC.L2-3.13.1+5 | Compartilha apenas CSF PR.DS-01, PR.DS-10, PR.IR-03: relacionado, não um mapeamento | |
| SC-40 | Wireless Link Protection | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Compartilha apenas CSF PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| SC-43 | Usage Restrictions | SC.L2-3.13.1SC.L2-3.13.2SC.L2-3.13.4+5 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| SI System and Information Integrity · 4 | ||||
| SI-12 | Information Management and Retention | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+2 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| SI-13 | Predictable Failure Prevention | SC.L2-3.13.2 | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| SI-16 | Memory Protection | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.3+5 | Compartilha apenas CSF PR.DS-10: relacionado, não um mapeamento | |
| SI-18 | Personally Identifiable Information Quality Operations | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| SR Supply Chain Risk Management · 7 | ||||
| SR-2 | Supply Chain Risk Management Plan | RA.L2-3.11.1AC.L2-3.1.20AC.L2-3.1.21+4 | Compartilha apenas CSF GV.SC-03, GV.SC-09, GV.SC-10, ID.AM-04: relacionado, não um mapeamento | |
| SR-3 | Supply Chain Controls and Processes | RA.L2-3.11.1IR.L2-3.6.2IR.L2-3.6.1+3 | Compartilha apenas CSF GV.OC-02, GV.SC-03, GV.SC-05, GV.SC-07…: relacionado, não um mapeamento | |
| SR-5 | Acquisition Strategies, Tools, and Methods | RA.L2-3.11.1CA.L2-3.12.4RA.L2-3.11.2+4 | Compartilha apenas CSF GV.OC-02, GV.SC-05, GV.SC-06, GV.SC-09…: relacionado, não um mapeamento | |
| SR-8 | Notification Agreements | IR.L2-3.6.2IR.L2-3.6.1RA.L2-3.11.1+1 | Compartilha apenas CSF GV.SC-08, RC.CO-03, RS.CO-02, RS.CO-03…: relacionado, não um mapeamento | |
| SR-10 | Inspection of Systems or Components | RA.L2-3.11.1 | Compartilha apenas CSF GV.SC-05, ID.RA-09: relacionado, não um mapeamento | |
| SR-11 | Component Authenticity | RA.L2-3.11.1 | Compartilha apenas CSF ID.RA-09: relacionado, não um mapeamento | |
| SR-12 | Component Disposal | CA.L2-3.12.4MA.L2-3.7.1MA.L2-3.7.3+1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
Mapeado (114)
| 800-53 | Requisito | Correspondência | CMMC | Evidências |
|---|---|---|---|---|
| AC Access Control · 14 | ||||
| AC-2 | Account Management | Correspondência | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.3 | Mesmo tópico: Controle de acesso |
| AC-3 | Access Enforcement | Correspondência | AC.L2-3.1.1AC.L2-3.1.2SC.L2-3.13.1+2 | Mesmo tópico: Controle de acesso, Confiança Zero |
| AC-4 | Information Flow Enforcement | Correspondência | AC.L2-3.1.1AC.L2-3.1.3SC.L2-3.13.1+3 | Mesmo tópico: Confiança Zero, DLP, Firewall / Segmentação de rede |
| AC-5 | Separation of Duties | Correspondência | AC.L2-3.1.4SC.L2-3.13.3 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC-6 | Least Privilege | Correspondência | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+5 | Mesmo tópico: Confiança Zero |
| AC-7 | Unsuccessful Logon Attempts | Correspondência | AC.L2-3.1.8 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC-8 | System Use Notification | Correspondência | AC.L2-3.1.9 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC-11 | Device Lock | Correspondência | AC.L2-3.1.10 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC-12 | Session Termination | Correspondência | AC.L2-3.1.11 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC-17 | Remote Access | Correspondência | AC.L2-3.1.1AC.L2-3.1.2AC.L2-3.1.12+4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC-18 | Wireless Access | Correspondência | AC.L2-3.1.16AC.L2-3.1.17 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC-19 | Access Control for Mobile Devices | Correspondência | AC.L2-3.1.18AC.L2-3.1.19 | Mesmo tópico: Segurança Móvel |
| AC-20 | Use of External Systems | Correspondência | AC.L2-3.1.20AC.L2-3.1.21 | Mesmo tópico: Segurança em Nuvem |
| AC-22 | Publicly Accessible Content | Correspondência | AC.L2-3.1.22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 2 | ||||
| AT-2 | Literacy Training and Awareness | Correspondência | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Mesmo tópico: Conscientização e treinamento |
| AT-3 | Role-based Training | Correspondência | AT.L2-3.2.1AT.L2-3.2.2AT.L2-3.2.3 | Mesmo tópico: Conscientização e treinamento |
| AU Audit and Accountability · 10 | ||||
| AU-2 | Event Logging | Correspondência | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Mesmo tópico: Registro e Auditoria |
| AU-3 | Content of Audit Records | Correspondência | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Mesmo tópico: Registro e Auditoria |
| AU-5 | Response to Audit Logging Process Failures | Correspondência | AU.L2-3.3.4 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU-6 | Audit Record Review, Analysis, and Reporting | Correspondência | AU.L2-3.3.5SI.L2-3.14.7AU.L2-3.3.1+1 | Mesmo tópico: SIEM / SOC, Detecção de Anomalias |
| AU-7 | Audit Record Reduction and Report Generation | Correspondência | AU.L2-3.3.6 | Mesmo tópico: Perícia forense |
| AU-8 | Time Stamps | Correspondência | AU.L2-3.3.7 | NIST SP 800-171r3 03.03.07 → SP 800-53 |
| AU-9 | Protection of Audit Information | Correspondência | AC.L2-3.1.5AU.L2-3.3.8AU.L2-3.3.9+2 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU-11 | Audit Record Retention | Correspondência | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Mesmo tópico: Registro e Auditoria |
| AU-12 | Audit Record Generation | Correspondência | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7+1 | Mesmo tópico: Registro e Auditoria |
| AU-13 | Monitoring for Information Disclosure | Editorial | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Mesmo tópico: Ameaça interna (escolha do editor) |
| CA Assessment, Authorization and Monitoring · 4 | ||||
| CA-2 | Control Assessments | Correspondência | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | Mesmo tópico: Conformidade (escolha do editor) |
| CA-5 | Plan of Action and Milestones | Correspondência | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA-7 | Continuous Monitoring | Correspondência | SI.L2-3.14.6SI.L2-3.14.7CA.L2-3.12.1+4 | Mesmo tópico: Monit. contínuo |
| CA-8 | Penetration Testing | Correspondência | RA.L2-3.11.2RA.L2-3.11.3 | Mesmo tópico: Gestão de Vulnerabilidades |
| CM Configuration Management · 8 | ||||
| CM-2 | Baseline Configuration | Correspondência | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+1 | Mesmo tópico: Configuração Segura |
| CM-3 | Configuration Change Control | Correspondência | CM.L2-3.4.3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM-4 | Impact Analyses | Correspondência | CM.L2-3.4.4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM-5 | Access Restrictions for Change | Correspondência | CM.L2-3.4.5 | NIST SP 800-171r3 03.04.05 → SP 800-53 |
| CM-6 | Configuration Settings | Correspondência | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+2 | Mesmo tópico: Configuração Segura |
| CM-7 | Least Functionality | Correspondência | CM.L2-3.4.1CM.L2-3.4.2CM.L2-3.4.6+3 | Mesmo tópico: Configuração Segura |
| CM-8 | System Component Inventory | Correspondência | CM.L2-3.4.1CM.L2-3.4.2 | Mesmo tópico: Gestão de Ativos |
| CM-11 | User-installed Software | Correspondência | CM.L2-3.4.9 | NIST SP 800-171r2 Appendix D |
| CP Contingency Planning · 3 | ||||
| CP-6 | Alternate Storage Site | Correspondência | MP.L2-3.8.9 | Mesmo tópico: Backup e recuperação |
| CP-9 | System Backup | Correspondência | MP.L2-3.8.9 | Mesmo tópico: Backup e recuperação |
| CP-10 | System Recovery and Reconstitution | Correspondência | IR.L2-3.6.2 | Mesmo tópico: Comunicação e restauração |
| IA Identification and Authentication · 6 | ||||
| IA-2 | Identification and Authentication (Organizational Users) | Correspondência | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6+3 | Mesmo tópico: Confiança Zero |
| IA-3 | Device Identification and Authentication | Correspondência | IA.L2-3.5.1IA.L2-3.5.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA-4 | Identifier Management | Correspondência | IA.L2-3.5.5IA.L2-3.5.6 | NIST SP 800-171r3 03.05.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA-5 | Authenticator Management | Correspondência | IA.L2-3.5.1IA.L2-3.5.2IA.L2-3.5.7+3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA-6 | Authentication Feedback | Correspondência | IA.L2-3.5.11 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IA-11 | Re-authentication | Correspondência | IA.L2-3.5.1 | NIST SP 800-171r3 03.05.01 → SP 800-53 |
| IR Incident Response · 7 | ||||
| IR-2 | Incident Response Training | Correspondência | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| IR-3 | Incident Response Testing | Editorial | IR.L2-3.6.1IR.L2-3.6.3 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| IR-4 | Incident Handling | Correspondência | IR.L2-3.6.1IR.L2-3.6.3IR.L2-3.6.2 | Mesmo tópico: Resposta a Incidentes, Mitigação, Lições Aprendidas |
| IR-5 | Incident Monitoring | Correspondência | AU.L2-3.3.5IR.L2-3.6.1IR.L2-3.6.2 | Mesmo tópico: SIEM / SOC |
| IR-6 | Incident Reporting | Correspondência | IR.L2-3.6.2IR.L2-3.6.1 | Mesmo tópico: Notificação, Comunicação e restauração |
| IR-7 | Incident Response Assistance | Correspondência | IR.L2-3.6.2IR.L2-3.6.1 | Mesmo tópico: Comunicação |
| IR-8 | Incident Response Plan | Correspondência | IR.L2-3.6.1IR.L2-3.6.3 | Mesmo tópico: Resposta a Incidentes |
| MA Maintenance · 4 | ||||
| MA-2 | Controlled Maintenance | Correspondência | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.3 | NIST SP 800-171r2 Appendix D |
| MA-3 | Maintenance Tools | Correspondência | MA.L2-3.7.1MA.L2-3.7.2MA.L2-3.7.4 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA-4 | Nonlocal Maintenance | Correspondência | MA.L2-3.7.5 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA-5 | Maintenance Personnel | Correspondência | MA.L2-3.7.2MA.L2-3.7.6 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 6 | ||||
| MP-2 | Media Access | Correspondência | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.02 → SP 800-53 |
| MP-3 | Media Marking | Correspondência | MP.L2-3.8.4 | NIST SP 800-171r3 03.08.04 → SP 800-53 |
| MP-4 | Media Storage | Correspondência | MP.L2-3.8.1MP.L2-3.8.2MP.L2-3.8.3 | NIST SP 800-171r3 03.08.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-5 | Media Transport | Correspondência | MP.L2-3.8.5 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP-6 | Media Sanitization | Correspondência | MA.L2-3.7.3MP.L2-3.8.1MP.L2-3.8.2+1 | NIST SP 800-171r3 03.08.03 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP-7 | Media Use | Correspondência | MP.L2-3.8.7MP.L2-3.8.8 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| PE Physical and Environmental Protection · 9 | ||||
| PE-2 | Physical Access Authorizations | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mesmo tópico: Segurança Física |
| PE-3 | Physical Access Control | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mesmo tópico: Segurança Física |
| PE-4 | Access Control for Transmission | Correspondência | PE.L2-3.10.1PE.L2-3.10.2 | NIST SP 800-171r2 Appendix D |
| PE-5 | Access Control for Output Devices | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.10.07 → SP 800-53 |
| PE-6 | Monitoring Physical Access | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mesmo tópico: Segurança Física |
| PE-8 | Visitor Access Records | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mesmo tópico: Segurança Física |
| PE-13 | Fire Protection | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mesmo tópico: Segurança Física |
| PE-14 | Environmental Controls | Correspondência | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3+3 | Mesmo tópico: Segurança Física |
| PE-17 | Alternate Work Site | Correspondência | PE.L2-3.10.6 | NIST SP 800-171r3 03.10.06 → SP 800-53 |
| PL Planning · 1 | ||||
| PL-2 | System Security and Privacy Plans | Correspondência | CA.L2-3.12.1CA.L2-3.12.2CA.L2-3.12.3+1 | NIST SP 800-171r2 Appendix D |
| PM Program Management · 8 | ||||
| PM-4 | Plan of Action and Milestones Process | Editorial | CA.L2-3.12.1 | Mesmo tópico: Conformidade (escolha do editor) |
| PM-5 | System Inventory | Correspondência | CM.L2-3.4.1 | Mesmo tópico: Gestão de Ativos |
| PM-6 | Measures of Performance | Editorial | CA.L2-3.12.1 | Mesmo tópico: Conformidade (escolha do editor) |
| PM-9 | Risk Management Strategy | Correspondência | RA.L2-3.11.1 | Mesmo tópico: Gestão de Riscos |
| PM-12 | Insider Threat Program | Editorial | AT.L2-3.2.3AU.L2-3.3.2PS.L2-3.9.1 | Mesmo tópico: Ameaça interna (escolha do editor) |
| PM-15 | Security and Privacy Groups and Associations | Correspondência | SI.L2-3.14.3 | Mesmo tópico: Inteligência de Ameaças |
| PM-16 | Threat Awareness Program | Correspondência | SI.L2-3.14.3 | Mesmo tópico: Inteligência de Ameaças |
| PM-28 | Risk Framing | Correspondência | RA.L2-3.11.1 | Mesmo tópico: Gestão de Riscos |
| PS Personnel Security · 3 | ||||
| PS-3 | Personnel Screening | Correspondência | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r3 03.09.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| PS-4 | Personnel Termination | Correspondência | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| PS-5 | Personnel Transfer | Correspondência | PS.L2-3.9.1PS.L2-3.9.2 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 4 | ||||
| RA-2 | Security Categorization | Editorial | MP.L2-3.8.4 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| RA-3 | Risk Assessment | Correspondência | RA.L2-3.11.1 | Mesmo tópico: Avaliação de riscos |
| RA-5 | Vulnerability Monitoring and Scanning | Correspondência | RA.L2-3.11.2RA.L2-3.11.3 | Mesmo tópico: Gestão de Vulnerabilidades |
| RA-7 | Risk Response | Correspondência | RA.L2-3.11.1 | Mesmo tópico: Gestão de Riscos, Avaliação de riscos |
| SA System and Services Acquisition · 5 | ||||
| SA-3 | System Development Life Cycle | Correspondência | SC.L2-3.13.2 | Mesmo tópico: Desenvolvimento Seguro |
| SA-8 | Security and Privacy Engineering Principles | Correspondência | SC.L2-3.13.2SC.L2-3.13.1 | Mesmo tópico: Desenvolvimento Seguro |
| SA-9 | External System Services | Correspondência | AC.L2-3.1.20 | Mesmo tópico: Segurança em Nuvem |
| SA-11 | Developer Testing and Evaluation | Correspondência | SC.L2-3.13.2 | Mesmo tópico: Desenvolvimento Seguro |
| SA-15 | Development Process, Standards, and Tools | Correspondência | SC.L2-3.13.2 | Mesmo tópico: Desenvolvimento Seguro |
| SC System and Communications Protection · 12 | ||||
| SC-2 | Separation of System and User Functionality | Correspondência | SC.L2-3.13.3 | NIST SP 800-171r2 Appendix D |
| SC-4 | Information in Shared System Resources | Correspondência | SC.L2-3.13.4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC-7 | Boundary Protection | Correspondência | SC.L2-3.13.1SC.L2-3.13.5SC.L2-3.13.6+2 | Mesmo tópico: Firewall / Segmentação de rede, Segurança Web |
| SC-8 | Transmission Confidentiality and Integrity | Correspondência | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+5 | Mesmo tópico: Criptografia |
| SC-10 | Network Disconnect | Correspondência | SC.L2-3.13.9 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC-12 | Cryptographic Key Establishment and Management | Correspondência | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | Mesmo tópico: Criptografia |
| SC-13 | Cryptographic Protection | Correspondência | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+4 | Mesmo tópico: Criptografia |
| SC-15 | Collaborative Computing Devices and Applications | Correspondência | SC.L2-3.13.12 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC-18 | Mobile Code | Correspondência | SC.L2-3.13.13 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC-23 | Session Authenticity | Correspondência | SC.L2-3.13.15 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC-28 | Protection of Information at Rest | Correspondência | AC.L2-3.1.13MP.L2-3.8.6SC.L2-3.13.8+6 | Mesmo tópico: Criptografia |
| SC-45 | System Time Synchronization | Correspondência | AU.L2-3.3.7 | NIST SP 800-171r2 Appendix D |
| SI System and Information Integrity · 7 | ||||
| SI-2 | Flaw Remediation | Correspondência | SI.L2-3.14.1SI.L2-3.14.2SI.L2-3.14.3 | Mesmo tópico: Gestão de Patches |
| SI-3 | Malicious Code Protection | Correspondência | SI.L2-3.14.2SI.L2-3.14.4SI.L2-3.14.1+2 | Mesmo tópico: Proteção de endpoints, Segurança de e-mail |
| SI-4 | System Monitoring | Correspondência | SI.L2-3.14.6SI.L2-3.14.7SI.L2-3.14.2+1 | Mesmo tópico: Monit. contínuo, Detecção de intrusão, Detecção de Anomalias, Proteção de endpoints |
| SI-5 | Security Alerts, Advisories, and Directives | Correspondência | SI.L2-3.14.3SI.L2-3.14.1SI.L2-3.14.2 | Mesmo tópico: Inteligência de Ameaças |
| SI-7 | Software, Firmware, and Information Integrity | Correspondência | SC.L2-3.13.16MP.L2-3.8.3 | Mesmo tópico: Proteção de Dados |
| SI-8 | Spam Protection | Editorial | SI.L2-3.14.2 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| SI-10 | Information Input Validation | Editorial | SC.L2-3.13.1 | Mesmo tópico: Segurança Web (escolha do editor) |
| SR Supply Chain Risk Management · 1 | ||||
| SR-6 | Supplier Assessments and Reviews | Correspondência | RA.L2-3.11.1 | NIST SP 800-171r3 03.11.01 → SP 800-53 |
Dos 110 requisitos de CMMC Level 2, 109 mapeiam para algo em 800-53, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de CMMC sem mapeamento para 800-53 (1)
| CMMC | Requisito | Correspondência | 800-53 | Evidências |
|---|---|---|---|---|
| SC System and Communications Protection · 1 | ||||
| SC.L2-3.13.14 | Voice over Internet Protocol | Sem mapeamento em nossos dados | — | Sem mapeamento para 800-53 em nossos dados. |
Mapeado (109)
| CMMC | Requisito | Correspondência | 800-53 | Evidências |
|---|---|---|---|---|
| AC Access Control · 22 | ||||
| AC.L2-3.1.1 | Authorized Access Control | Correspondência | AC-2AC-3AC-4+3 | Mesmo tópico: Controle de acesso, Confiança Zero |
| AC.L2-3.1.2 | Transaction & Function Control | Correspondência | AC-2AC-3AC-17 | Mesmo tópico: Controle de acesso |
| AC.L2-3.1.3 | Control CUI Flow | Correspondência | AC-4SC-7(10) | Mesmo tópico: DLP |
| AC.L2-3.1.4 | Separation of Duties | Correspondência | AC-5 | NIST SP 800-171r3 03.01.04 → SP 800-53 |
| AC.L2-3.1.5 | Least Privilege | Correspondência | AC-2(7)AC-6(5)AC-6+1 | Mesmo tópico: Acesso privilegiado |
| AC.L2-3.1.6 | Non-Privileged Account Use | Correspondência | AC-2(7)AC-6(5)AC-6 | Mesmo tópico: Acesso privilegiado |
| AC.L2-3.1.7 | Privileged Functions | Correspondência | AC-2(7)AC-6(5)AC-6 | Mesmo tópico: Acesso privilegiado |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | Correspondência | AC-7 | NIST SP 800-171r3 03.01.08 → SP 800-53 |
| AC.L2-3.1.9 | Privacy & Security Notices | Correspondência | AC-8 | NIST SP 800-171r3 03.01.09 → SP 800-53 |
| AC.L2-3.1.10 | Session Lock | Correspondência | AC-11 | NIST SP 800-171r3 03.01.10 → SP 800-53 |
| AC.L2-3.1.11 | Session Termination | Correspondência | AC-12 | NIST SP 800-171r3 03.01.11 → SP 800-53 |
| AC.L2-3.1.12 | Control Remote Access | Correspondência | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Correspondência | SC-8SC-12SC-13+2 | Mesmo tópico: Criptografia |
| AC.L2-3.1.14 | Remote Access Routing | Correspondência | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.15 | Privileged Remote Access | Correspondência | AC-17 | NIST SP 800-171r3 03.01.12 → SP 800-53 |
| AC.L2-3.1.16 | Wireless Access Authorization | Correspondência | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.17 | Wireless Access Protection | Correspondência | AC-18 | NIST SP 800-171r3 03.01.16 → SP 800-53 |
| AC.L2-3.1.18 | Mobile Device Connection | Correspondência | AC-19AC-19(5) | Mesmo tópico: Segurança Móvel |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Correspondência | AC-19AC-19(5)SC-8+3 | Mesmo tópico: Segurança Móvel, Criptografia |
| AC.L2-3.1.20 | External Connections | Correspondência | AC-20SA-9 | Mesmo tópico: Segurança em Nuvem |
| AC.L2-3.1.21 | Portable Storage Use | Correspondência | AC-20 | NIST SP 800-171r3 03.01.20 → SP 800-53 |
| AC.L2-3.1.22 | Control Public Information | Correspondência | AC-22 | NIST SP 800-171r3 03.01.22 → SP 800-53 |
| AT Awareness and Training · 3 | ||||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Correspondência | AT-2AT-3 | Mesmo tópico: Conscientização e treinamento |
| AT.L2-3.2.2 | Role-Based Training | Correspondência | AT-2AT-3 | Mesmo tópico: Conscientização e treinamento |
| AT.L2-3.2.3 | Insider Threat Awareness | Correspondência | AT-2AT-3AC-2(12)+2 | Mesmo tópico: Conscientização e treinamento, Ameaça interna |
| AU Audit and Accountability · 9 | ||||
| AU.L2-3.3.1 | System Auditing | Correspondência | AU-2AU-3AU-11+2 | Mesmo tópico: Registro e Auditoria |
| AU.L2-3.3.2 | User Accountability | Correspondência | AU-2AU-3AU-11+5 | Mesmo tópico: Registro e Auditoria |
| AU.L2-3.3.3 | Event Review | Correspondência | AU-2AU-11AU-12 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.03.03 → SP 800-53 |
| AU.L2-3.3.4 | Audit Failure Alerting | Correspondência | AU-5 | NIST SP 800-171r3 03.03.04 → SP 800-53 |
| AU.L2-3.3.5 | Audit Correlation | Correspondência | AU-6AU-6(3)IR-5 | Mesmo tópico: SIEM / SOC |
| AU.L2-3.3.6 | Reduction & Reporting | Correspondência | AU-7SI-2(7) | Mesmo tópico: Perícia forense |
| AU.L2-3.3.7 | Authoritative Time Source | Correspondência | AU-2AU-3AU-11+3 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| AU.L2-3.3.8 | Audit Protection | Correspondência | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| AU.L2-3.3.9 | Audit Management | Correspondência | AU-9 | NIST SP 800-171r3 03.03.08 → SP 800-53 |
| CA Security Assessment · 4 | ||||
| CA.L2-3.12.1 | Security Control Assessment | Correspondência | CA-2PM-4PM-6+3 | Mesmo tópico: Conformidade (escolha do editor) |
| CA.L2-3.12.2 | Plan of Action | Correspondência | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.02 → SP 800-53 |
| CA.L2-3.12.3 | Security Control Monitoring | Correspondência | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.12.03 → SP 800-53 |
| CA.L2-3.12.4 | System Security Plan | Correspondência | CA-2CA-5CA-7+1 | NIST SP 800-171r2 Appendix D |
| CM Configuration Management · 9 | ||||
| CM.L2-3.4.1 | System Baselining | Correspondência | CM-2CM-6CM-7+2 | Mesmo tópico: Configuração Segura |
| CM.L2-3.4.2 | Security Configuration Enforcement | Correspondência | CM-2CM-6CM-7+1 | Mesmo tópico: Configuração Segura |
| CM.L2-3.4.3 | System Change Management | Correspondência | CM-3 | NIST SP 800-171r3 03.04.03 → SP 800-53 |
| CM.L2-3.4.4 | Security Impact Analysis | Correspondência | CM-4 | NIST SP 800-171r3 03.04.04 → SP 800-53 |
| CM.L2-3.4.5 | Access Restrictions for Change | Correspondência | CM-5CM-7(5) | NIST SP 800-171r3 03.04.05 → SP 800-53; NIST SP 800-171r2 Appendix D |
| CM.L2-3.4.6 | Least Functionality | Correspondência | CM-2CM-6CM-7 | Mesmo tópico: Configuração Segura |
| CM.L2-3.4.7 | Nonessential Functionality | Correspondência | CM-2CM-6CM-7+1 | Mesmo tópico: Configuração Segura |
| CM.L2-3.4.8 | Application Execution Policy | Correspondência | CM-7CM-7(5) | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.04.08 → SP 800-53 |
| CM.L2-3.4.9 | User-Installed Software | Correspondência | AC-6AC-6(5)AU-9+3 | NIST SP 800-171r3 03.01.05 → SP 800-53; NIST SP 800-171r3 03.01.06 → SP 800-53 |
| IA Identification and Authentication · 11 | ||||
| IA.L2-3.5.1 | Identification | Correspondência | IA-2IA-3IA-5+1 | NIST SP 800-171r3 03.05.01 → SP 800-53; NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.2 | Authentication | Correspondência | IA-2IA-3IA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.05.02 → SP 800-53 |
| IA.L2-3.5.3 | Multifactor Authentication | Correspondência | IA-2(1)IA-2(2) | Mesmo tópico: Autenticação multifator |
| IA.L2-3.5.4 | Replay-Resistant Authentication | Correspondência | IA-2 | NIST SP 800-171r3 03.05.04 → SP 800-53 |
| IA.L2-3.5.5 | Identifier Reuse | Correspondência | IA-4 | NIST SP 800-171r3 03.05.05 → SP 800-53 |
| IA.L2-3.5.6 | Identifier Handling | Correspondência | IA-4 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.7 | Password Complexity | Correspondência | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.8 | Password Reuse | Correspondência | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.9 | Temporary Passwords | Correspondência | IA-5 | NIST SP 800-171r2 Appendix D |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | Correspondência | IA-5 | NIST SP 800-171r3 03.05.07 → SP 800-53 |
| IA.L2-3.5.11 | Obscure Feedback | Correspondência | IA-6 | NIST SP 800-171r3 03.05.11 → SP 800-53 |
| IR Incident Response · 3 | ||||
| IR.L2-3.6.1 | Incident Handling | Correspondência | IR-4IR-8IR-2+4 | Mesmo tópico: Resposta a Incidentes, Mitigação, Lições Aprendidas |
| IR.L2-3.6.2 | Incident Reporting | Correspondência | CP-10IR-6IR-7+3 | Mesmo tópico: Comunicação e restauração, Notificação, Comunicação |
| IR.L2-3.6.3 | Incident Response Testing | Editorial | IR-2IR-3IR-4+1 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| MA Maintenance · 6 | ||||
| MA.L2-3.7.1 | Perform Maintenance | Correspondência | MA-2MA-3 | NIST SP 800-171r2 Appendix D |
| MA.L2-3.7.2 | System Maintenance Control | Correspondência | MA-2MA-3MA-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.07.04 → SP 800-53; NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MA.L2-3.7.3 | Equipment Sanitization | Correspondência | MA-2MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.03 → SP 800-53 |
| MA.L2-3.7.4 | Media Inspection | Correspondência | MA-3 | NIST SP 800-171r3 03.07.04 → SP 800-53 |
| MA.L2-3.7.5 | Nonlocal Maintenance | Correspondência | MA-4 | NIST SP 800-171r3 03.07.05 → SP 800-53 |
| MA.L2-3.7.6 | Maintenance Personnel | Correspondência | MA-5 | NIST SP 800-171r3 03.07.06 → SP 800-53 |
| MP Media Protection · 9 | ||||
| MP.L2-3.8.1 | Media Protection | Correspondência | MP-2MP-4MP-6 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.08.01 → SP 800-53 |
| MP.L2-3.8.2 | Media Access | Correspondência | MP-2MP-4MP-6 | NIST SP 800-171r3 03.08.02 → SP 800-53; NIST SP 800-171r2 Appendix D |
| MP.L2-3.8.3 | Media Disposal | Correspondência | SC-8SC-28SI-7+3 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| MP.L2-3.8.4 | Media Markings | Correspondência | RA-2MP-3 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| MP.L2-3.8.5 | Media Accountability | Correspondência | MP-5SC-28 | NIST SP 800-171r3 03.08.05 → SP 800-53 |
| MP.L2-3.8.6 | Portable Storage Encryption | Correspondência | SC-8SC-12SC-13+1 | Mesmo tópico: Criptografia |
| MP.L2-3.8.7 | Removable Media | Correspondência | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.8 | Shared Media | Correspondência | MP-7 | NIST SP 800-171r3 03.08.07 → SP 800-53 |
| MP.L2-3.8.9 | Protect Backups | Correspondência | CP-6CP-9 | Mesmo tópico: Backup e recuperação |
| PE Physical Protection · 6 | ||||
| PE.L2-3.10.1 | Limit Physical Access | Correspondência | PE-2PE-3PE-6+5 | Mesmo tópico: Segurança Física |
| PE.L2-3.10.2 | Monitor Facility | Correspondência | PE-2PE-3PE-6+5 | Mesmo tópico: Segurança Física |
| PE.L2-3.10.3 | Escort Visitors | Correspondência | PE-2PE-3PE-6+4 | Mesmo tópico: Segurança Física |
| PE.L2-3.10.4 | Physical Access Logs | Correspondência | PE-2PE-3PE-6+4 | Mesmo tópico: Segurança Física |
| PE.L2-3.10.5 | Manage Physical Access | Correspondência | PE-2PE-3PE-6+4 | Mesmo tópico: Segurança Física |
| PE.L2-3.10.6 | Alternative Work Sites | Correspondência | PE-2PE-3PE-6+4 | Mesmo tópico: Segurança Física (escolha do editor) |
| PS Personnel Security · 2 | ||||
| PS.L2-3.9.1 | Screen Individuals | Correspondência | AC-2(12)AU-13PM-12+3 | Mesmo tópico: Ameaça interna (escolha do editor) |
| PS.L2-3.9.2 | Personnel Actions | Correspondência | PS-3PS-4PS-5 | NIST SP 800-171r2 Appendix D; NIST SP 800-171r3 03.09.02 → SP 800-53 |
| RA Risk Assessment · 3 | ||||
| RA.L2-3.11.1 | Risk Assessments | Correspondência | PM-9PM-28RA-3+2 | Mesmo tópico: Gestão de Riscos, Avaliação de riscos |
| RA.L2-3.11.2 | Vulnerability Scan | Correspondência | CA-8RA-5 | Mesmo tópico: Gestão de Vulnerabilidades |
| RA.L2-3.11.3 | Vulnerability Remediation | Correspondência | CA-8RA-5 | Mesmo tópico: Gestão de Vulnerabilidades |
| SC System and Communications Protection · 15 | ||||
| SC.L2-3.13.1 | Boundary Protection | Correspondência | AC-3AC-4AC-6+4 | Mesmo tópico: Confiança Zero, Firewall / Segmentação de rede |
| SC.L2-3.13.2 | Security Engineering | Correspondência | SA-3SA-8SA-11+2 | Mesmo tópico: Desenvolvimento Seguro |
| SC.L2-3.13.3 | Role Separation | Correspondência | AC-2AC-3AC-4+5 | NIST SP 800-171r3 03.01.01 → SP 800-53; NIST SP 800-171r3 03.01.02 → SP 800-53; NIST SP 800-171r3 03.01.03 → SP 800-53 |
| SC.L2-3.13.4 | Shared Resource Control | Correspondência | SC-4 | NIST SP 800-171r3 03.13.04 → SP 800-53 |
| SC.L2-3.13.5 | Public-Access System Separation | Correspondência | AC-4SC-7 | Mesmo tópico: Firewall / Segmentação de rede |
| SC.L2-3.13.6 | Network Communication by Exception | Correspondência | AC-3AC-4AC-6+2 | Mesmo tópico: Confiança Zero, Firewall / Segmentação de rede |
| SC.L2-3.13.7 | Split Tunneling | Correspondência | AC-17CM-6CM-7+1 | NIST SP 800-171r3 03.01.12 → SP 800-53; NIST SP 800-171r3 03.04.02 → SP 800-53; NIST SP 800-171r3 03.04.06 → SP 800-53 |
| SC.L2-3.13.8 | Data in Transit | Correspondência | SC-8SC-12SC-13+1 | Mesmo tópico: Criptografia |
| SC.L2-3.13.9 | Connections Termination | Correspondência | SC-10 | NIST SP 800-171r3 03.13.09 → SP 800-53 |
| SC.L2-3.13.10 | Key Management | Correspondência | SC-8SC-12SC-13+1 | Mesmo tópico: Criptografia |
| SC.L2-3.13.11 | CUI Encryption | Correspondência | SC-8SC-12SC-13+1 | Mesmo tópico: Criptografia |
| SC.L2-3.13.12 | Collaborative Device Control | Correspondência | SC-15 | NIST SP 800-171r3 03.13.12 → SP 800-53 |
| SC.L2-3.13.13 | Mobile Code | Correspondência | SC-18 | NIST SP 800-171r3 03.13.13 → SP 800-53 |
| SC.L2-3.13.15 | Communications Authenticity | Correspondência | SC-23 | NIST SP 800-171r3 03.13.15 → SP 800-53 |
| SC.L2-3.13.16 | Data at Rest | Correspondência | SC-8SC-12SC-13+2 | Mesmo tópico: Criptografia, Proteção de Dados |
| SI System and Information Integrity · 7 | ||||
| SI.L2-3.14.1 | Flaw Remediation | Correspondência | SI-2SI-3SI-5 | Mesmo tópico: Gestão de Patches |
| SI.L2-3.14.2 | Malicious Code Protection | Correspondência | SI-3CM-7(5)SI-4+3 | Mesmo tópico: Proteção de endpoints, Segurança de e-mail |
| SI.L2-3.14.3 | Security Alerts & Advisories | Correspondência | PM-15PM-16SI-5+2 | Mesmo tópico: Inteligência de Ameaças |
| SI.L2-3.14.4 | Update Malicious Code Protection | Editorial | CM-7(5)SI-3SI-4 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| SI.L2-3.14.5 | System & File Scanning | Correspondência | SI-3 | NIST SP 800-171r3 03.14.02 → SP 800-53 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Correspondência | CA-7SI-4 | Mesmo tópico: Monit. contínuo, Detecção de intrusão |
| SI.L2-3.14.7 | Identify Unauthorized Use | Correspondência | AU-6CA-7SI-4 | Mesmo tópico: Detecção de Anomalias, Monit. contínuo |
Por tópico
Ambos cobrem (39):
Conscientização e treinamentoGestão de RiscosConformidadeGestão de AtivosAvaliação de riscosClassificação de DadosGestão de VulnerabilidadesInteligência de AmeaçasControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesPerícia forenseComunicaçãoMitigaçãoNotificaçãoLições AprendidasComunicação e restauraçãoAmeaça internaSegurança Física
Apenas 800-53 (11):
Perguntas
O CMMC Level 2 é o mesmo que o NIST SP 800-171?
O Level 2 são os 110 requisitos do SP 800-171 Revisão 2, com os nomes de práticas e as regras de avaliação do DoD. O NIST já publicou a Revisão 3, mas o CMMC continua fixado na Revisão 2 até que o DoD altere a regra.
Se atendemos ao 800-53 Moderate, estamos prontos para o CMMC Level 2?
Em substância, em grande parte: quase toda prática do Level 2 remete a um controle do 800-53. Você ainda precisa de uma avaliação do CMMC, de suas evidências no formato da avaliação e de um System Security Plan com escopo de CUI.
Que pontuação é necessária para o CMMC Level 2?
Cada um dos 110 requisitos é pontuado segundo a metodologia de avaliação do DoD, com pontuação máxima de 110. Um status Level 2 condicional com plano de ação exige uma pontuação mínima definida pela regra do CMMC, e certos requisitos não podem ficar em aberto.
A autorização FedRAMP cobre o CMMC?
Não automaticamente. O FedRAMP cobre os controles de um serviço em nuvem; o CMMC avalia o ambiente do contratado que trata CUI. Um serviço em nuvem com FedRAMP Moderate pode, porém, fornecer controles herdados para o escopo CMMC do contratado.
O CMMC vai migrar para o SP 800-171 Revisão 3?
O CMMC Level 2 está atualmente fixado na Revisão 2. O DoD indicou que qualquer mudança viria por meio de processo normativo; até lá, avalie com base na Revisão 2.
Qual é a diferença entre os níveis 1, 2 e 3 do CMMC?
O Nível 1 cobre a proteção básica de Informações de Contrato Federal (17 requisitos, com autoavaliação). O Nível 2 cobre CUI com os 110 requisitos do SP 800-171 Rev 2. O Nível 3 acrescenta requisitos selecionados do SP 800-172 para os programas mais sensíveis, avaliados pelo governo.
Quem pode realizar uma avaliação de certificação CMMC Level 2?
Uma Third-Party Assessment Organization (C3PAO) autorizada pelo CMMC, com avaliadores certificados.
Subcontratados também precisam do CMMC?
Sim, quando processam, armazenam ou transmitem CUI ou Informações de Contrato Federal sob o contrato. Os contratados principais devem repassar os requisitos relevantes do CMMC a seus subcontratados no nível apropriado.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.