SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场achieving-cmmc-level-2-compliance

achieving-cmmc-level-2-compliance

安全与审计

查看项目

更新于 10-15 13:43

技能介绍

用途

本技能用于为国防承包商环境准备 CMMC Level 2 认证。它适用于组织属于国防工业基地（DIB），在 DoD 合同下存储、处理或传输受控非密信息（CUI）的场景。具体触发条件包括：

  • 合同包含 DFARS 252.204-7012（保护与事件报告）、-7019/-7020（NIST 800-171 自评 + SPRS），或新的 -7021（CMMC 要求）。
  • 正在准备 C3PAO 第三方评估或 DoD 主导的评估。
  • 需要基于 NIST SP 800-171 DoD 评估方法计算、提交或改进 SPRS 分数。
  • 需要为 110 项要求编写或整改系统安全计划（SSP）与 POA&M。
  • 需要界定哪些资产属于 CUI/FCI 边界（CUI 资产、安全保护资产、承包商风险管理资产、范围外）。

前提条件

  • 了解哪些合同涉及 CUI 以及涉及的 CUI 类别（查阅合同与 DoD CUI 注册表）。
  • 具备资产清单和网络图，以便在评估控制项前先定义 CMMC 评估范围。
  • 熟悉 NIST SP 800-171 Rev 2 要求及 DoD 评估方法的评分权重。
  • 具备成文的 SSP（缺失本身即视为一项未满足要求——3.12.4）。
  • 识别所有接触 CUI 的外部服务提供商（ESP）/云服务，并确认其是否满足 FedRAMP Moderate（或等效）。

主要能力与工作流

  1. 判定适用性与 CUI 类别：确认合同要求 CMMC Level 2（存在 CUI，而非仅 FCI）。仅 FCI 合同为 Level 1（15 项 FAR 52.204-21 要求）。从合同和 DoD CUI 注册表识别 CUI 类别。
  2. 界定环境范围：将每个资产归入 CMMC 范围类别——CUI 资产（处理/存储/传输 CUI，在范围内，按所有适用控制评估）、安全保护资产（为 CUI 环境提供安全，在范围内）、承包商风险管理资产（可能但非有意处理 CUI，由策略管理）、专用资产（IoT/OT、GFE、测试设备，记录并有限评估）、范围外（与 CUI 物理/逻辑隔离）。建议有意最小化范围：更小、分段良好的 CUI 隔离区认证成本远低于扁平网络。
  3. 实施 110 项要求（NIST SP 800-171 Rev 2）：按 14 个控制族（3.1–3.14）逐项实施，并在 SSP 中写明实施方式。早期高杠杆项：MFA（3.5.3）、FIPS 验证的加密（3.13.11）、审计日志（3.3.x）、访问控制与最小权限（3.1.x）、事件响应（3.6.x）。
  4. 按 DoD 评估方法计算 SPRS 分数：从 110 分开始，减去每项未满足要求的加权值（1、3 或 5 分）；少数控制项（如 MFA、FIPS 加密）适用部分得分。结果为 SPRS 分数（最高 110；方法下限为 −203）。将分数、SSP 日期与评估范围提交至 SPRS（更高级评估用 eMASS）。
  5. 编写合规 POA&M：为每项未满足要求记录负责人、整改方案与里程碑。CMMC 规则约束：Conditional 状态要求分数至少 80%（≥ 88/110），仅 POA&M 允许的要求可延期（最高权重安全要求必须完全满足——对照 32 CFR Part 170 核实资格），所有 POA&M 项须在 180 天内关闭以从 Conditional 转为 Final。
  6. 评估（自评或 C3PAO）：Level 1 及 Level 2 的一部分 = 年度自评并在 SPRS 中声明；Level 2（多数 CUI 合同）= 每三年一次的 C3PAO 认证评估；Level 3 = 在 Level 2 基础上的 DoD（DIBCAC）评估，增加 SP 800-172 增强要求。评估员以证据（检查/访谈/测试）将各目标评定为 MET / NOT MET / N/A。高级官员提交持续合规的年度声明。
  7. 维护认证：认证有效期为三年，含年度声明。维护 SSP，变更时重新算分，保持证据最新，并将重大变更反馈到评估中。

关键概念

  • FCI：联邦合同信息——Level 1 保护（FAR 52.204-21）。
  • CUI：受控非密信息——Level 2 保护（NIST 800-171）。
  • 110 项要求：SP 800-171 Rev 2 的 14 个控制族安全要求。
  • SPRS：供应商绩效风险系统——发布 800-171 分数之处。
  • DoD 评估方法：用于从 110 分计算分数的 1/3/5 分权重。
  • C3PAO：CMMC 第三方评估组织——执行 Level 2 认证。
  • POA&M：行动计划与里程碑——有限，须在 180 天内关闭以获得 Final 状态。
  • Conditional vs Final：Conditional = 存在未关闭 POA&M（分数 ≥ 80%）；Final = 所有控制满足。
  • ESP：外部服务提供商——处理 CUI 须满足 FedRAMP Moderate / 等效。
  • 范围类别：CUI / 安全保护 / 承包商风险管理 / 专用 / 范围外。

工具与系统

  • NIST SP 800-171 Rev 2——110 项要求（以及 800-171A 评估目标）。
  • DoD NIST SP 800-171 评估方法——评分权重。
  • 32 CFR Part 170（CMMC 项目规则）与 48 CFR / DFARS 252.204-7021（采购规则）。
  • SPRS——分数提交；SAM.gov 用于注册。
  • SP 800-172 / 800-172A——Level 3 增强要求。
  • GRC / 合规工具——管理 SSP、POA&M 与证据（如 Xacta、RegScale、FutureFeed 类跟踪器）。

适用场景

  • 主承包商将 CUI 流向分包商：分包商需要自己的 Level 2 范围、SSP、SPRS 分数，且（很可能）需要 C3PAO 认证。
  • 分数低于 88：优先处理权重最高（5 分，然后 3 分）的未满足要求，以跨过条件认证阈值并缩小 POA&M。
  • 云中存放 CUI：确认服务获得 FedRAMP Moderate 授权或满足等效；记录责任划分。
  • 扁平网络：重新划分为分段的 CUI 隔离区，在投入控制成本前削减评估面。
  • 年度声明到期：高级官员在 SPRS 中声明持续合规；任其失效将危及合同资格。

输出格式

使用 assets/template.md 生成 CMMC Level 2 就绪报告，包含：适用性与 CUI 类别（为何适用 Level 2）、范围（按范围类别的资产与 CUI 边界图引用）、按族的控制状态（14 个族的 met / not met / N/A）、SPRS 分数（计算分数、扣分、与 110 和 88 阈值的差距）、POA&M（未满足要求、资格检查、负责人、180 天里程碑）、评估路径（自评 vs C3PAO、目标日期、声明负责人）、整改路线图（按分值和工作量排序）。使用 scripts/process.py 从控制状态 JSON 计算 SPRS 分数、标记 POA&M 资格问题，并报告与条件认证阈值的差距。

限制

资料未提供具体的价格、收费或商业条款信息；未说明具体支持的平台版本与部署方式；未给出各控制项实施的具体技术步骤或配置示例；具体合规判定与认证结果取决于实际评估，本技能不构成法律或合规保证。