Alcançando a Conformidade com o CMMC Nível 2

Quando Usar

• Quando uma organização na Base Industrial de Defesa (DIB) armazena, processa ou transmite Informações Não Classificadas Controladas (CUI) sob um contrato do DoD.
• Quando um contrato inclui DFARS 252.204-7012 (salvaguarda/relatório de incidentes), -7019/-7020 (autoavaliação NIST 800-171 + SPRS), ou o novo -7021 (requisito CMMC).
• Ao se preparar para uma avaliação de terceiros C3PAO ou uma avaliação liderada pelo DoD.
• Quando você precisa calcular, postar ou melhorar uma pontuação SPRS com base na Metodologia de Avaliação do DoD NIST SP 800-171.
• Ao redigir ou remediar um Plano de Segurança do Sistema (SSP) e POA&M para os 110 requisitos.
• Ao definir o escopo quais ativos se enquadram no limite de CUI/FCI (ativos CUI, ativos de proteção de segurança, ativos gerenciados pelo risco do contratado, fora do escopo).

Pré-requisitos

• Conhecimento de quais contratos contêm CUI e as categorias de CUI envolvidas (verifique o contrato e o Registro CUI do DoD).
• Um inventário de ativos e diagrama de rede para que você possa definir o escopo da avaliação CMMC antes de avaliar os controles.
• Os requisitos do NIST SP 800-171 Rev 2 e os pesos de pontuação da Metodologia de Avaliação do DoD.
• Um SSP documentado (sua ausência é em si um requisito falho — 3.12.4).
• Identificação de quaisquer Provedores de Serviços Externos (ESPs) / serviços em nuvem que tocam CUI, e se eles atendem ao FedRAMP Moderado (ou equivalência).

Fluxo de Trabalho

1. Determinar aplicabilidade e categorias de CUI

Confirme se o contrato exige CMMC Nível 2 (CUI presente, não apenas FCI). Contratos apenas com FCI são Nível 1 (os 15 requisitos FAR 52.204-21). Identifique as categorias de CUI do contrato e do Registro CUI do DoD.

2. Definir o escopo do ambiente

Classifique cada ativo em uma das categorias de escopo do CMMC:

• Ativos CUI — processam/armazenam/transmitem CUI (no escopo, avaliados contra todos os controles aplicáveis).
• Ativos de Proteção de Segurança — fornecem segurança ao ambiente CUI (no escopo).
• Ativos Gerenciados pelo Risco do Contratado — podem, mas não se destinam a lidar com CUI; gerenciados por política.
• Ativos Especializados (IoT/OT, GFE, equipamentos de teste) — documentados, avaliação limitada.
• Fora do Escopo — fisicamente/logicamente isolados do CUI.

Minimize o escopo deliberadamente — um enclave CUI menor e bem segmentado é muito mais barato de certificar do que uma rede plana.

3. Implementar os 110 requisitos (NIST SP 800-171 Rev 2)

Trabalhe nas 14 famílias (3.1–3.14). Para cada requisito, implemente e, em seguida, escreva o como no SSP. Ganhos iniciais de alta alavancagem: MFA (3.5.3), criptografia validada por FIPS (3.13.11), registro de auditoria (3.3.x), controle de acesso + privilégio mínimo (3.1.x) e resposta a incidentes (3.6.x).

4. Pontuar com a Metodologia de Avaliação do DoD (SPRS)

Comece em 110 e subtraia o valor ponderado (1, 3 ou 5 pontos) de cada requisito não atendido; crédito parcial se aplica a um pequeno número de controles (por exemplo, MFA, criptografia FIPS). O resultado é a pontuação SPRS (máximo 110; o piso da metodologia é −203). Publique a pontuação, a data do SSP e o escopo da avaliação no SPRS (ou eMASS para avaliações mais altas).

5. Construir um POA&M compatível

Documente cada requisito não atendido com proprietário, remediação e marco. Restrições sob a regra CMMC: um status Condicional requer uma pontuação de pelo menos 80% (≥ 88 de 110), apenas requisitos elegíveis para POA&M podem ser adiados (os requisitos de segurança de maior peso devem ser totalmente atendidos — verifique a elegibilidade contra 32 CFR Parte 170), e todos os itens do POA&M devem ser fechados em até 180 dias para converter Condicional → Final.

6. Avaliar (auto ou C3PAO)

• Nível 1 e um subconjunto do Nível 2 = autoavaliação anual com uma afirmação no SPRS.
• Nível 2 (a maioria dos contratos CUI) = avaliação de certificação C3PAO trienal.
• Nível 3 = avaliação do DoD (DIBCAC) além do Nível 2, adicionando requisitos aprimorados do SP 800-172. Os avaliadores avaliam cada objetivo como ATENDIDO / NÃO ATENDIDO / N/A com evidências (examinar/entrevistar/testar). Um oficial sênior arquiva a afirmação anual de conformidade contínua.

7. Manter a certificação

A certificação é válida por três anos com afirmações anuais. Mantenha o SSP, reavalie a pontuação em caso de mudança, mantenha as evidências atualizadas e alimente mudanças significativas de volta na avaliação.

Conceitos Chave

…