Стандарт
CMMC Level 2
Что это такое
Модель зрелости сертификации в области кибербезопасности (CMMC) Министерства обороны США. Уровень 2 включает 110 требований безопасности NIST SP 800-171 Rev 2 для защиты контролируемой несекретной информации (CUI). Программное правило вступило в силу в декабре 2024 года, а требования контрактов вводятся поэтапно начиная с ноября 2025 года.
Кому это нужно
Оборонные подрядчики и субподрядчики, которые обрабатывают, хранят или передают CUI.
Как проводится оценка
Either a self-assessment or, for most CUI contracts, a certification assessment by an accredited third-party assessor (C3PAO), every three years with an annual affirmation. A limited plan of action and milestones is allowed for some requirements, closed within 180 days.
110
Практики
109
Сопоставлено с другим фреймворком
78%
Охвачено тем (39/50)
Сравнения
Требования
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
| ID | Требование | Темы | Сопоставлено в |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Контроль доступа, Нулевое доверие | 11 из 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Контроль доступа | 11 из 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 из 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 из 13 |
| AC.L2-3.1.5 | Least Privilege | Привилегированный доступ | 10 из 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Привилегированный доступ | 10 из 13 |
| AC.L2-3.1.7 | Privileged Functions | Привилегированный доступ | 10 из 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 из 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 из 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 из 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 из 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 из 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Шифрование | 10 из 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 из 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 из 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 из 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 из 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Безопасность мобильных устройств | 7 из 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Шифрование, Безопасность мобильных устройств | 11 из 13 |
| AC.L2-3.1.20 | External Connections | Безопасность облачных сред | 11 из 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 из 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 из 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Осведомлённость и обучение | 10 из 13 |
| AT.L2-3.2.2 | Role-Based Training | Осведомлённость и обучение | 10 из 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Осведомлённость и обучение, Внутренние угрозы | 10 из 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Логирование и аудит | 10 из 13 |
| AU.L2-3.3.2 | User Accountability | Логирование и аудит, Внутренние угрозы | 11 из 13 |
| AU.L2-3.3.3 | Event Review | — | 1 из 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 из 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 из 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Криминалистический анализ | 7 из 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Логирование и аудит | 10 из 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 из 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 из 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Соответствие требованиям | 10 из 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 из 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 из 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 из 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Управление активами, Безопасная конфигурация | 13 из 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Безопасная конфигурация | 9 из 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 из 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 из 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 из 13 |
| CM.L2-3.4.6 | Least Functionality | Безопасная конфигурация | 9 из 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Безопасная конфигурация | 9 из 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 из 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 из 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 из 13 |
| IA.L2-3.5.2 | Authentication | — | 1 из 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Многофакторная аутентификация | 10 из 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 из 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 из 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 из 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 из 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 из 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 из 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 из 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 из 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Реагирование на инциденты, Митигация, Извлечённые уроки | 12 из 13 |
| IR.L2-3.6.2 | Incident Reporting | Коммуникация, Отчётность, Коммуникации и восстановление | 12 из 13 |
| IR.L2-3.6.3 | Incident Response Testing | Реагирование на инциденты | 12 из 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 из 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 из 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 из 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 из 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 из 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 из 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 из 13 |
| MP.L2-3.8.2 | Media Access | — | 1 из 13 |
| MP.L2-3.8.3 | Media Disposal | Защита данных | 11 из 13 |
| MP.L2-3.8.4 | Media Markings | Классификация данных | 9 из 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 из 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Шифрование | 10 из 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 из 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 из 13 |
| MP.L2-3.8.9 | Protect Backups | Резервное копирование и восстановление | 11 из 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Физическая безопасность | 8 из 13 |
| PE.L2-3.10.2 | Monitor Facility | Физическая безопасность | 8 из 13 |
| PE.L2-3.10.3 | Escort Visitors | Физическая безопасность | 8 из 13 |
| PE.L2-3.10.4 | Physical Access Logs | Физическая безопасность | 8 из 13 |
| PE.L2-3.10.5 | Manage Physical Access | Физическая безопасность | 8 из 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Физическая безопасность | 8 из 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Внутренние угрозы | 8 из 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 из 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Управление рисками, Оценка рисков | 10 из 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Управление уязвимостями | 13 из 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Управление уязвимостями | 13 из 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Межсетевой экран / сегментация сети, Безопасность веб-приложений, Нулевое доверие | 9 из 13 |
| SC.L2-3.13.2 | Security Engineering | Безопасная разработка | 8 из 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 из 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 из 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Межсетевой экран / сегментация сети | 9 из 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Межсетевой экран / сегментация сети, Нулевое доверие | 9 из 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 из 13 |
| SC.L2-3.13.8 | Data in Transit | Шифрование | 10 из 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 из 13 |
| SC.L2-3.13.10 | Key Management | Шифрование | 10 из 13 |
| SC.L2-3.13.11 | CUI Encryption | Шифрование | 10 из 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 из 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 из 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | нет |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 из 13 |
| SC.L2-3.13.16 | Data at Rest | Шифрование, Защита данных | 11 из 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Управление исправлениями | 10 из 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Защита конечных точек, Безопасность электронной почты | 10 из 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Разведка угроз | 6 из 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Защита конечных точек | 10 из 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 из 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Непрерывный мониторинг, Обнаружение вторжений | 11 из 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Непрерывный мониторинг, Обнаружение аномалий | 10 из 13 |
Охват темы
Темы с сопоставленными требованиями CMMC (39):
Осведомлённость и обучениеУправление рискамиСоответствие требованиямУправление активамиОценка рисковКлассификация данныхУправление уязвимостямиРазведка угрозКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализКоммуникацияМитигацияОтчётностьИзвлечённые урокиКоммуникации и восстановлениеВнутренние угрозыФизическая безопасность
Нет сопоставления в наших данных Нет требования CMMC (11):