CMMC Level 2 追溯至 SP 800-53：NIST 附录 D 告诉你什么

美国国防部的 CMMC 计划目前正通过国防合同逐步推行，而 Level 2 覆盖的，正是大多数处理受控非密信息（CUI）的承包商。Level 2 即 NIST SP 800-171 Revision 2 的 110 项安全要求，这些要求源自联邦控制目录 SP 800-53。NIST 在 SP 800-171 Rev 2 的附录 D 中详细记录了这一推导过程。

对于已经遵循 800-53 的承包商而言，这份映射是最有用的单一文件，它也是 ControlMapping 将 CMMC 与其他所有框架关联起来的基础。

追溯的完整程度

在 CMMC 的 110 个实践中，109（99%）可映射到 800-53 中的内容，0 个仅弱相关，1 个在本站数据中无映射。 打开差距报告 →

除一项外，所有 CMMC Level 2 实践都映射到本站收录的某个 SP 800-53 控制。这些关联直接来自 NIST 附录 D，因此标注为对照映射。

按族划分

CMMC 章节	已映射	弱相关	无映射
AC Access Control	22 / 22	0	0
AT Awareness and Training	3 / 3	0	0
AU Audit and Accountability	9 / 9	0	0
CA Security Assessment	4 / 4	0	0
CM Configuration Management	9 / 9	0	0
IA Identification and Authentication	11 / 11	0	0
IR Incident Response	3 / 3	0	0
MA Maintenance	6 / 6	0	0
MP Media Protection	9 / 9	0	0
PE Physical Protection	6 / 6	0	0
PS Personnel Security	2 / 2	0	0
RA Risk Assessment	3 / 3	0	0
SC System and Communications Protection	15 / 16	0	1
SI System and Information Integrity	7 / 7	0	0

已有 800-53，需要 CMMC。 逐条要求： 打开差距报告 →

附录 D 的工作方式

附录 D 为 14 个要求族各设一张表，将每项要求与其来源的 800-53 控制并列列出。使用时有两个细节需要注意：

• 基本要求是联合映射的。 在每个族中，“基本”要求（取自 FIPS 200）共用一个合并单元格中的 800-53 控制。例如，3.1.1 和 3.1.2 都追溯到 AC-2、AC-3 和 AC-17。“衍生”要求则各有独立的行。
• 编号采用 SP 800-53 Revision 4。 大多数编号在 Revision 5 中保持不变。其中七项在 Rev 5 中被撤销并并入其他控制；NIST 的 Rev 5 目录说明了每项的去向（例如 AU-8(1) 移至 SC-45(1)，MP-5(4) 并入 SC-28(1)）。本站遵循这些对应关系。

唯一没有匹配的实践

SC.L2-3.13.14 要求你控制并监控网络语音协议（VoIP）。附录 D 将其映射到 SC-19，而 NIST 已在 Rev 5 中撤销该控制且没有后继控制：VoIP 现在与其他技术一样，纳入通用的边界与通信控制之下。因此，在 Rev 5 的体系中，这项 CMMC 实践没有专属的 800-53 控制，不过 SC-7 和 SC-8 涵盖了它的大部分实质内容。

反向对照

在 800-53 的 300 个基础控制措施中，114（38%）可映射到 CMMC 中的内容，78 个仅弱相关，108 个在本站数据中无映射。 打开差距报告 →

SP 800-53 的大部分内容在 CMMC 中没有对应项，这是有意为之。SP 800-171 只选取与保护非联邦系统中 CUI 机密性相关的控制，其余则被舍去，包括隐私控制、联邦专属的计划管理、许多增强控制，以及“非联邦组织”基线默认你会自行履行的控制（其中包括 -1 类策略控制）。

对承包商意味着什么

1. 如果你采用 800-53 中等基线，你已具备大部分实质内容。 你的工作在于以 CMMC 的格式提供证据、编制针对 CUI 范围的系统安全计划，并接受评估。
2. 利用附录 D 复用证据。 对于每项实践，所列的 800-53 控制会告诉你现有的哪些控制证据适用。
3. 注意 Rev 2 与 Rev 3 之间的差距。 NIST 的 Revision 3 重写了若干要求，但 CMMC 仍固定于 Revision 2。应依据你的合同要求进行评估。

CMMC → SP 800-53 差距报告列出了每项实践及其附录 D 控制，CMMC 与 SP 800-53 对比则涵盖双向内容。本站的 CMMC 实践名称来自 DoD；要求文本来自 NIST（公有领域）。

常见问题

CMMC Level 2 与 NIST SP 800-171 是同一回事吗？

Level 2 即 SP 800-171 Revision 2 的 110 项安全要求，依 DoD 的 CMMC 规则进行评估，并使用其自有的实践名称。NIST 已发布 Revision 3，但 CMMC 仍固定于 Revision 2。

哪一项 CMMC 实践在 SP 800-53 Rev 5 中没有对应项？

SC.L2-3.13.14（控制并监控 VoIP，即网络语音协议）。附录 D 将其映射到 SC-19，而 NIST 已在 Rev 5 中撤销该控制且没有后继控制，因为 VoIP 现在与其他技术一样处理。