Подготовка к оценке CMMC Level 2 при уже действующем SP 800-53

CMMC Level 2 уже включается в оборонные контракты США, и многие подрядчики, которым это предстоит, уже применяют меры NIST SP 800-53 — для федеральных работ, для FedRAMP или просто как собственную библиотеку контролей. Это сильная отправная точка: каждая практика CMMC Level 2 прослеживается до SP 800-53 через собственное сопоставление NIST, как показывает наш анализ Appendix D.

Из 110 практики CMMC 109 (99%) сопоставлены с чем-либо в 800-53, 0 связаны лишь косвенно, а для 1 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Так что меры в основном есть. Не автоматизировано то, что касается определения области, документирования и самой оценки.

Шаг 1: определите среду CUI

CMMC распространяется на системы, которые обрабатывают, хранят или передают контролируемую неклассифицированную информацию (CUI), и на активы, которые их защищают. Сопоставьте, где CUI поступает, где хранится и кто с ним работает. Чёткая, хорошо документированная граница (часто анклав) сокращает число активов, которые оценщик должен проверить. Граница авторизации 800-53 для федеральной системы редко совпадает с вашей границей CUI.

Шаг 2: составьте план безопасности системы для этой границы

SSP (CA.L2-3.12.4) описывает границу, среду и то, как реализовано каждое из 110 требований. Используйте повторно описания мер 800-53, но перепишите их для среды CUI и применяйте идентификаторы практик CMMC: оценщики работают практика за практикой.

Шаг 3: проверьте формулировки Rev 2

CMMC привязан к SP 800-171 Revision 2. Там, где ваша реализация 800-53 шире, она обычно удовлетворяет практике; там, где Rev 2 конкретнее (криптография, валидированная по FIPS, для CUI, блокировка сеансов, конкретное содержание аудита), проверьте детали.

Шаг 4: сопоставьте доказательства с целями оценки

Оценщики проверяют каждую практику по целям оценки: изучая документы, опрашивая людей и тестируя механизмы. Для каждой практики перечислите доказательства, которые вы уже создаёте для соответствующих мер 800-53, и закройте пробелы. Наши страницы требований показывают, из каких мер 800-53 вытекает каждая практика.

Шаг 5: честно проведите самооценку и подсчитайте балл

Сначала проведите самооценку по методике DoD самостоятельно и рассчитайте балл. Исправьте то, что не проходит. Ограниченные планы действий допустимы для некоторых требований, но их нужно закрыть в течение 180 дней, а некоторые требования нельзя отложить вообще.

Доказательства, которые ожидают оценщики

Для каждой практики оценщики ищут три вида доказательств: документы (политики, процедуры, SSP), интервью с людьми, выполняющими практику, и тесты или демонстрации работы механизмов. Типичные запросы включают:

• списки учётных записей и разрешения доступа к системам CUI (AC.L2-3.1.1, 3.1.2);
• конфигурацию MFA для привилегированного и сетевого доступа (IA.L2-3.5.3);
• конфигурацию журналов аудита, сроки хранения и записи о проверке (AU.L2-3.3.1, 3.3.2);
• базовые конфигурации и записи об изменениях (CM.L2-3.4.1 по 3.4.3);
• результаты сканирования уязвимостей и их устранение (RA.L2-3.11.2, 3.11.3);
• план реагирования на инциденты и записи тестов (IR.L2-3.6.1, 3.6.3);
• настройки шифрования, подтверждающие модули, валидированные по FIPS, там, где защищается CUI (SC.L2-3.13.11).

Большинство этого уже есть в среде 800-53; работа заключается в сборе этих материалов для границы CUI и их маркировке по практикам. Каждая страница практики, например AC.L2-3.1.1, перечисляет меры 800-53, доказательства по которым можно использовать повторно.

Ключевые выводы

• Базовый набор 800-53 даёт большую часть сути CMMC Level 2.
• Работа состоит в определении области CUI, составлении SSP и сопоставлении доказательств с каждой практикой.
• Честно проведите самооценку по методике DoD до реальной оценки.

Типичные ошибки

• Расползание области: CUI попадает в электронную почту, файловые ресурсы и ноутбуки за пределами анклава.
• Общие сервисы: средства идентификации, логирования и управления, которые затрагивают среду CUI, тоже входят в область.
• Внешние поставщики услуг: облачные сервисы, обрабатывающие CUI, должны соответствовать применимым федеральным требованиям, обычно FedRAMP Moderate или эквиваленту.
• Заявления о наследовании без доказательств: если мера унаследована от поставщика, храните его документацию.

Сравнение CMMC и SP 800-53 перечисляет каждую практику с исходными мерами, а анализ разрывов экспортирует их в трекер.

Вопросы

Кто проводит оценку CMMC Level 2?

В зависимости от контракта — либо сам подрядчик (самооценка), либо авторизованная сторонняя организация по оценке CMMC (C3PAO). Большинство контрактов с CUI требует сертификационной оценки третьей стороной.

Что такое план безопасности системы (SSP)?

Документ, описывающий границу системы, среду и то, как реализовано каждое требование безопасности. Он требуется по SP 800-171 (практика CMMC CA.L2-3.12.4) и первым читается оценщиком.

Может ли авторизация FedRAMP облачного провайдера покрывать практики CMMC?

Может — в части практик, которые провайдер реализует за вас, как наследуемые меры, если провайдер соответствует требуемому базовому уровню и вы храните его документацию. За собственную конфигурацию, пользователей и данные внутри сервиса вы остаётесь ответственны.