CMMC Level 2 и NIST SP 800-53: 110 практик и их базовый каталог

По параметру «Paul Gillet» · Обновлено 2026-10-17

CMMC Level 2 — это требование Министерства обороны США к подрядчикам, которые работают с контролируемой несекретной информацией (Controlled Unclassified Information, CUI). Его 110 практик представляют собой требования безопасности из NIST SP 800-171 Rev 2, которые NIST вывел из базового профиля Moderate SP 800-53 и адаптировал для организаций, не относящихся к федеральным. Большинству подрядчиков Level 2 нужна оценка третьей стороны, которую проводит C3PAO, раз в три года.

Поскольку 800-171 происходит из 800-53, почти каждая практика CMMC имеет прямой аналог, и ControlMapping прослеживает их по собственным сопоставлениям NIST: Приложение D к SP 800-171 Rev 2, а также ссылки SP 800-171 Rev 3 → SP 800-53. При переходе от 800-53 к CMMC Level 2 покрытие почти полное. Единственное исключение — мониторинг VoIP (SC.L2-3.13.14): Приложение D сопоставляет его с SC-19, который NIST отозвал в Rev 5 без замены.

При переходе от CMMC к 800-53 большая часть каталога отображается как несопоставленная или лишь косвенно связанная. Это ожидаемо: CMMC Level 2 — намеренно выделенное подмножество. Оно не включает меры, которые имеют смысл только для федеральных систем или более высоких базовых профилей, а также многие улучшения (enhancements) 800-53.

Один нюанс, на который стоит обратить внимание: CMMC Level 2 привязан к SP 800-171 Rev 2, хотя NIST уже опубликовал Rev 3. Проводите оценку по той версии, которую действительно требуют ваш контракт и правило CMMC.

Кратко

Как связаны три документа NIST и Министерства обороны

• SP 800-53 — полный каталог мер безопасности и защиты конфиденциальности NIST для федеральных систем, с базовыми профилями в SP 800-53B.
• SP 800-171 отбирает и адаптирует меры, относящиеся к защите контролируемой несекретной информации (CUI) в несоюзных федеральных системах. Его Revision 2 содержит 110 требований, а Приложение D сопоставляет каждое из них с источником в 800-53.
• CMMC Level 2 — программа Министерства обороны, которая оценивает подрядчиков по этим 110 требованиям SP 800-171 Revision 2, со своими названиями практик, системой оценки и правилами сертификации.

Таким образом, CMMC Level 2 — намеренно выделенное подмножество 800-53, применяемое в контексте оборонных контрактов.

Что изменяет Revision 3 и почему это пока не применяется

NIST опубликовал SP 800-171 Revision 3 в 2024 году. Он привел требования в соответствие с SP 800-53 Rev 5, объединил или исключил некоторые из них, добавил параметры, определяемые организацией, и изменил нумерацию (03.01.01 вместо 3.1.1). CMMC Level 2 по-прежнему привязан к Revision 2, поэтому оценки проверяют требования Rev 2. Rev 3 при этом полезна: если требование Rev 2 сопоставляется с требованием Rev 3, ControlMapping использует ссылки NIST Rev 3 как дополнительное доказательство, а организации, которые планируют заранее, могут проектировать меры, выполняющие оба стандарта.

Кому что нужно

SP 800-53 применяется к федеральным информационным системам США и к облачным сервисам, которые стремятся к авторизации FedRAMP. CMMC Level 2 применяется к подрядчикам и субподрядчикам Министерства обороны, чьи контракты связаны с CUI. Многим компаниям нужны оба: облачный провайдер, обслуживающий федеральные ведомства по FedRAMP (800-53), и подрядчики оборонной сферы (CMMC), либо подрядчик, чьи собственные системы хранят CUI, а для другого заказчика он эксплуатирует федеральные системы.

Стоимость и трудозатраты

Организация, которая уже эксплуатирует базовый профиль 800-53 Moderate, редко нуждается в новых технологиях для CMMC Level 2. Основные затраты приходятся на определение области охвата среды CUI, написание для неё System Security Plan, сопоставление доказательств с каждой практикой и саму оценку: самооценку или, для большинства контрактов с CUI, сертификационную оценку авторизованным C3PAO раз в три года. Если идти в обратном направлении, подрядчик с готовностью к CMMC, который стремится к авторизации FedRAMP, столкнётся с гораздо большим набором мер, федеральным процессом авторизации и непрерывным мониторингом.

Сроки до сертификационной оценки

Требования CMMC постепенно вводятся в контракты Министерства обороны: сертификация третьей стороной требуется в большем числе контрактов начиная со второй фазы программы. Подрядчику с средой 800-53 обычно нужно от двух до четырёх месяцев, чтобы определить область CUI, написать SSP и собрать доказательства, затем провести самооценку по методике Министерства обороны, а затем оценку C3PAO, назначение которой может занять время. Условная сертификация с ограниченным планом устранения недостатков возможна, если оценка достигает требуемого минимума, при условии закрытия открытых пунктов в течение 180 дней.

Практический пример: субподрядчик оборонной сферы

Инжиниринговая фирма из 120 сотрудников поставляет компоненты головному подрядчику и получает технические чертежи с грифом CUI. Она уже применяет меры SP 800-53 Moderate для отдельного федерального исследовательского контракта. Она определяет анклав CUI, включающий файловый сервер инженерных данных, рабочие станции проектирования и систему управления идентификацией, повторно использует свои политики и доказательства по 800-53, сопоставленные через Приложение D, и подтверждает шифрование, прошедшее валидацию FIPS, для анклава. Её самооценка показывает хороший результат; оставшиеся разрывы узкие (мониторинг VoIP и несколько настроек аудита). Она записывается на оценку C3PAO и передаёт требования по обработке CUI своим двум субподрядчикам.

Типичные ошибки

• Определение области федеральной авторизации вместо границы CUI. Они редко совпадают.
• Предположение, что доказательства по 800-53 подходят без изменений. Оценщики работают практика за практикой, по идентификаторам CMMC и целям оценки.
• Игнорирование общих сервисов. Идентификация, логирование и инструменты управления, которые затрагивают анклав CUI, входят в область охвата.
• Использование невалидированной криптографии там, где конфиденциальность CUI от неё зависит.
• Непередача требований субподрядчикам, которые получают CUI.

Основные выводы

• Если вы уже эксплуатируете базовый профиль 800-53 Moderate, CMMC Level 2 — это в основном упражнение по доказательствам и оценке.
• CMMC → 800-53 (например, переход к FedRAMP): ожидайте значительного расширения области охвата.
• Отслеживайте, на какую редакцию 800-171 ссылается ваш контракт.

Скачать это сравнение (CSV) Открыть в анализе разрывов →