基于已运行的 SP 800-53 准备 CMMC Level 2 评估

CMMC Level 2 正被写入美国国防合同，许多面临该要求的承包商已在运行 NIST SP 800-53 控制措施，无论是用于联邦工作、FedRAMP，还是仅作为其控制措施库。这是一个很好的起点：通过 NIST 自身的映射，每项 CMMC Level 2 实践都可追溯至 SP 800-53，正如我们的Appendix D analysis所示。

在 CMMC 的 110 个实践中，109（99%）可映射到 800-53 中的内容，0 个仅弱相关，1 个在本站数据中无映射。 打开差距报告 →

因此，控制措施大多已经具备。但并非自动完成的是范围界定、文档编制以及评估本身。

步骤 1：界定 CUI 环境范围

CMMC 适用于处理、存储或传输受控非密信息（CUI）的系统，以及保护这些系统的资产。梳理 CUI 从何进入、存放于何处，以及哪些人员接触它。边界清晰且文档完善（通常为一个隔离区，即 enclave）可减少评估员需要检查的资产数量。联邦系统的 800-53 授权边界通常与你的 CUI 边界并不相同。

步骤 2：为该边界编写系统安全计划

SSP（CA.L2-3.12.4）描述边界、环境，以及 110 项要求各自如何落实。可复用你的 800-53 控制措施描述，但需针对 CUI 环境进行改写，并使用 CMMC 的实践标识符；评估员是逐项实践开展评估的。

步骤 3：核对 Rev 2 的表述

CMMC 以 SP 800-171 Revision 2 为准。若你的 800-53 落实范围更广，通常可满足相应实践；若 Rev 2 有具体规定（如用于 CUI 的 FIPS 验证密码技术、会话锁定、特定的审计内容），则需逐项核对细节。

步骤 4：将证据映射到评估目标

评估员会针对评估目标检验每项实践，包括审查文档、访谈人员以及测试机制。对每项实践，列出你已为对应 800-53 控制措施产出的证据，并补齐缺口。我们的要求页面展示了每项实践源自哪些 800-53 控制措施。

步骤 5：如实自评并计分

先自行运行 DoD 评估方法并计算分值，修复未通过的项目。部分要求允许制定有限的整改行动计划，但必须在 180 天内关闭；另有一些要求完全不允许推迟。

评估员期望的证据

对于每项实践，评估员会查找三类证据：文档（政策、程序、SSP）、对执行该实践人员的访谈，以及对机制的测试或演示。典型的索取内容包括：

• CUI 系统的账户清单及访问审批记录（AC.L2-3.1.1、3.1.2）；
• 特权访问和网络访问的 MFA 配置（IA.L2-3.5.3）；
• 审计日志配置、保留及审查记录（AU.L2-3.3.1、3.3.2）；
• 基线配置及变更记录（CM.L2-3.4.1 至 3.4.3）；
• 漏洞扫描结果及整改情况（RA.L2-3.11.2、3.11.3）；
• 事件响应计划及测试记录（IR.L2-3.6.1、3.6.3）；
• 在保护 CUI 的场景中，显示采用 FIPS 验证模块的加密设置（SC.L2-3.13.11）。

这些证据大多已存在于 800-53 环境中；工作在于为 CUI 边界收集它们，并按实践进行标注。例如每个实践页面 AC.L2-3.1.1 都列出了其证据可复用的 800-53 控制措施。

核心要点

• 800-53 基线可为你提供 CMMC Level 2 的大部分实质内容。
• 工作重点是界定 CUI 范围、编写 SSP，并将证据映射到每项实践。
• 正式评估前，请依据 DoD 方法如实自评。

常见误区

• 范围蔓延：CUI 扩散至隔离区之外的电子邮件、文件共享和笔记本电脑。
• 共享服务：接触 CUI 环境的身份、日志和管理工具同样属于范围之内。
• 外部服务提供商：处理 CUI 的云服务必须满足相应的联邦要求，通常为 FedRAMP Moderate 或同等级别。
• 无证据支撑的继承声明：若某控制措施继承自服务提供商，请保留其相关文档。

CMMC 与 SP 800-53 对比列出了每项实践及其来源控制措施，差距分析可将其导出为跟踪表。

常见问题

谁来评估 CMMC Level 2？

取决于合同：可由承包商自行评估（自评），或由经授权的 CMMC 第三方评估机构（C3PAO）评估。涉及 CUI 的大多数合同要求第三方认证评估。

什么是系统安全计划？

一份描述系统边界、环境以及各项安全要求如何落实的文件。SP 800-171 要求提供该文件（CMMC 实践 CA.L2-3.12.4），它是评估员首先阅读的材料。

云服务提供商的 FedRAMP 授权能否覆盖 CMMC 实践？

若服务提供商为你实施相关实践，并满足所需基线且你保留其文档，则可作为继承控制措施覆盖这些实践。你仍需对服务内的自身配置、用户和数据负责。