CMMC Level 2 и SP 800-53: что сообщает Приложение D NIST

Программа CMMC Министерства обороны США сейчас внедряется через оборонные контракты, и Level 2 — тот уровень, который касается большинства подрядчиков, работающих с контролируемой неклассифицированной информацией (Controlled Unclassified Information, CUI). Level 2 — это 110 требований безопасности NIST SP 800-171 Revision 2, и эти требования были выведены из SP 800-53, федерального каталога контролей. NIST подробно описал, как именно, в Приложении D к SP 800-171 Rev 2.

Это соответствие — самый полезный отдельный документ для подрядчика, который уже следует 800-53, и на нём держится то, как ControlMapping связывает CMMC со всем остальным.

Насколько полно прослеживается соответствие

Из 110 практики CMMC 109 (99%) сопоставлены с чем-либо в 800-53, 0 связаны лишь косвенно, а для 1 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Все практики CMMC Level 2, кроме одной, сопоставлены с контролем SP 800-53 из нашего списка. Связи взяты из самого Приложения D NIST, поэтому они помечены как соответствия.

По семействам

раздел CMMC	Сопоставлено	Косвенно связано	Нет сопоставления
AC Access Control	22 из 22	0	0
AT Awareness and Training	3 из 3	0	0
AU Audit and Accountability	9 из 9	0	0
CA Security Assessment	4 из 4	0	0
CM Configuration Management	9 из 9	0	0
IA Identification and Authentication	11 из 11	0	0
IR Incident Response	3 из 3	0	0
MA Maintenance	6 из 6	0	0
MP Media Protection	9 из 9	0	0
PE Physical Protection	6 из 6	0	0
PS Personnel Security	2 из 2	0	0
RA Risk Assessment	3 из 3	0	0
SC System and Communications Protection	15 из 16	0	1
SI System and Information Integrity	7 из 7	0	0

Есть 800-53, нужен CMMC. Требование за требованием: открыть отчёт о разрывах →

Как работает Приложение D

Приложение D содержит таблицу для каждого из 14 семейств требований, где каждое требование указано рядом с контролями 800-53, из которых оно выведено. При использовании важны две детали:

• Базовые требования сопоставляются совместно. В каждом семействе «базовые» требования (взятые из FIPS 200) используют одну объединённую ячейку контролей 800-53. Например, 3.1.1 и 3.1.2 оба восходят к AC-2, AC-3 и AC-17. Производные требования имеют собственные строки.
• Идентификаторы относятся к SP 800-53 Revision 4. Большинство из них переносится в Revision 5 без изменений. Семь были исключены в Rev 5 и включены в другие контроли; каталог NIST Rev 5 указывает, куда перешёл каждый из них (например, AU-8(1) перенесён в SC-45(1), а MP-5(4) включён в SC-28(1)). Мы следуем этим связям.

Единственная практика без соответствия

SC.L2-3.13.14 требует контролировать и отслеживать Voice over Internet Protocol (VoIP). Приложение D сопоставляет её с SC-19, который NIST исключил в Rev 5 без преемника: VoIP теперь рассматривается как любая другая технология, в рамках общих контролей границ и коммуникаций. Поэтому в Rev 5 у этой практики CMMC нет выделенного контроля 800-53, хотя SC-7 и SC-8 покрывают большую часть её содержания.

Обратное направление

Из 300 базовые контроли 800-53 114 (38%) сопоставлены с чем-либо в CMMC, 78 связаны лишь косвенно, а для 108 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Большая часть SP 800-53 не имеет аналога в CMMC, и это намеренно. SP 800-171 отбирает контроли, относящиеся к защите конфиденциальности CUI в системах, не являющихся федеральными, а остальные исключает: контроли конфиденциальности, федерально-специфичное управление программами, многие расширения и контроли, которые базовый профиль «Non-Federal Organization» считает уже выполненными (среди них политические контроли -1).

Что это значит для подрядчиков

1. Если вы используете базовый профиль 800-53 moderate, у вас есть большая часть содержания. Вашей работой становятся доказательства в формате CMMC, план безопасности системы (System Security Plan), ограниченный областью CUI, и оценка.
2. Используйте Приложение D для повторного использования доказательств. Для каждой практики перечисленные контроли 800-53 показывают, какие уже имеющиеся у вас доказательства контролей применимы.
3. Следите за разрывом между Rev 2 и Rev 3. NIST в Revision 3 переписал несколько требований, но CMMC по-прежнему привязан к Revision 2. Оценивайте по тому, что требует ваш контракт.

Отчёт об анализе разрывов CMMC → SP 800-53 перечисляет каждую практику с её контролями из Приложения D, а сравнение CMMC и SP 800-53 охватывает оба направления. Названия практик CMMC на этом сайте принадлежат DoD; текст требований принадлежит NIST (общественное достояние).

Вопросы

Совпадает ли CMMC Level 2 с NIST SP 800-171?

Level 2 — это 110 требований безопасности SP 800-171 Revision 2, которые оцениваются по правилам CMMC Министерства обороны и имеют собственные названия практик. NIST опубликовал Revision 3, но CMMC по-прежнему привязан к Revision 2.

Какая практика CMMC не имеет соответствия в SP 800-53 Rev 5?

SC.L2-3.13.14 (контролировать и отслеживать Voice over IP). Приложение D сопоставляет её с SC-19, который NIST исключил в Rev 5 без преемника, поскольку VoIP теперь обрабатывается как любая другая технология.