Framework
CMMC Level 2
O que é
O Cybersecurity Maturity Model Certification do Departamento de Defesa dos EUA. O Nível 2 corresponde aos 110 requisitos de segurança do NIST SP 800-171 Rev 2 para a proteção de Controlled Unclassified Information (CUI). A regra do programa entrou em vigor em dezembro de 2024, e os requisitos contratuais estão sendo implementados de forma gradual a partir de novembro de 2025.
Quem precisa
Contratados e subcontratados do setor de defesa que processam, armazenam ou transmitem CUI.
Como é avaliado
Autoavaliação ou, para a maioria dos contratos com CUI, avaliação de certificação realizada por um avaliador terceirizado credenciado (C3PAO), a cada três anos, com afirmação anual. É permitido um plano de ação e marcos limitado para alguns requisitos, a ser concluído em até 180 dias.
110
Práticas
109
Mapeado para outro framework
78%
Tópicos cobertos (39/50)
Comparações
Requisitos
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
| ID | Requisito | Tópicos | Mapeado em |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Controle de acesso, Confiança Zero | 11 de 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Controle de acesso | 11 de 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 de 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 de 13 |
| AC.L2-3.1.5 | Least Privilege | Acesso privilegiado | 10 de 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Acesso privilegiado | 10 de 13 |
| AC.L2-3.1.7 | Privileged Functions | Acesso privilegiado | 10 de 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 de 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 de 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 de 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 de 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 de 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Criptografia | 10 de 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 de 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 de 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 de 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 de 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Segurança Móvel | 7 de 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Criptografia, Segurança Móvel | 11 de 13 |
| AC.L2-3.1.20 | External Connections | Segurança em Nuvem | 11 de 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 de 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 de 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Conscientização e treinamento | 10 de 13 |
| AT.L2-3.2.2 | Role-Based Training | Conscientização e treinamento | 10 de 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Conscientização e treinamento, Ameaça interna | 10 de 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Registro e Auditoria | 10 de 13 |
| AU.L2-3.3.2 | User Accountability | Registro e Auditoria, Ameaça interna | 11 de 13 |
| AU.L2-3.3.3 | Event Review | — | 1 de 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 de 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 de 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Perícia forense | 7 de 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Registro e Auditoria | 10 de 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 de 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 de 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Conformidade | 10 de 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 de 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 de 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 de 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Gestão de Ativos, Configuração Segura | 13 de 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Configuração Segura | 9 de 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 de 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 de 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 de 13 |
| CM.L2-3.4.6 | Least Functionality | Configuração Segura | 9 de 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Configuração Segura | 9 de 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 de 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 de 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 de 13 |
| IA.L2-3.5.2 | Authentication | — | 1 de 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Autenticação multifator | 10 de 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 de 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 de 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 de 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 de 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 de 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 de 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 de 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 de 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Resposta a Incidentes, Mitigação, Lições Aprendidas | 12 de 13 |
| IR.L2-3.6.2 | Incident Reporting | Comunicação, Notificação, Comunicação e restauração | 12 de 13 |
| IR.L2-3.6.3 | Incident Response Testing | Resposta a Incidentes | 12 de 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 de 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 de 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 de 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 de 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 de 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 de 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 de 13 |
| MP.L2-3.8.2 | Media Access | — | 1 de 13 |
| MP.L2-3.8.3 | Media Disposal | Proteção de Dados | 11 de 13 |
| MP.L2-3.8.4 | Media Markings | Classificação de Dados | 9 de 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 de 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Criptografia | 10 de 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 de 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 de 13 |
| MP.L2-3.8.9 | Protect Backups | Backup e recuperação | 11 de 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Segurança Física | 8 de 13 |
| PE.L2-3.10.2 | Monitor Facility | Segurança Física | 8 de 13 |
| PE.L2-3.10.3 | Escort Visitors | Segurança Física | 8 de 13 |
| PE.L2-3.10.4 | Physical Access Logs | Segurança Física | 8 de 13 |
| PE.L2-3.10.5 | Manage Physical Access | Segurança Física | 8 de 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Segurança Física | 8 de 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Ameaça interna | 8 de 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 de 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Gestão de Riscos, Avaliação de riscos | 10 de 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Gestão de Vulnerabilidades | 13 de 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Gestão de Vulnerabilidades | 13 de 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Firewall / Segmentação de rede, Segurança Web, Confiança Zero | 9 de 13 |
| SC.L2-3.13.2 | Security Engineering | Desenvolvimento Seguro | 8 de 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 de 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 de 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Firewall / Segmentação de rede | 9 de 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Firewall / Segmentação de rede, Confiança Zero | 9 de 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 de 13 |
| SC.L2-3.13.8 | Data in Transit | Criptografia | 10 de 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 de 13 |
| SC.L2-3.13.10 | Key Management | Criptografia | 10 de 13 |
| SC.L2-3.13.11 | CUI Encryption | Criptografia | 10 de 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 de 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 de 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | nenhum |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 de 13 |
| SC.L2-3.13.16 | Data at Rest | Criptografia, Proteção de Dados | 11 de 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Gestão de Patches | 10 de 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Proteção de endpoints, Segurança de e-mail | 10 de 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Inteligência de Ameaças | 6 de 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Proteção de endpoints | 10 de 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 de 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Monit. contínuo, Detecção de intrusão | 11 de 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Monit. contínuo, Detecção de Anomalias | 10 de 13 |
Cobertura do tópico
Tópicos com requisitos mapeados de CMMC (39):
Conscientização e treinamentoGestão de RiscosConformidadeGestão de AtivosAvaliação de riscosClassificação de DadosGestão de VulnerabilidadesInteligência de AmeaçasControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesPerícia forenseComunicaçãoMitigaçãoNotificaçãoLições AprendidasComunicação e restauraçãoAmeaça internaSegurança Física
Sem mapeamento em nossos dados Nenhum requisito de CMMC (11):