CMMC 레벨 2 준수 달성은(는) 무엇을 하나요?
사용 시기
- 국방 기반 산업(DIB) 조직이 DoD 계약에 따라 **통제 비밀 정보(CUI)**를 저장, 처리 또는 전송하는 경우.
- 계약에 DFARS 252.204-7012(보호/사고 보고), -7019/-7020(NIST 800-171 자체 평가 + SPRS) 또는 새로운 -7021(CMMC 요구사항)이 포함된 경우.
- C3PAO 제3자 평가 또는 DoD 주도 평가를 준비하는 경우.
- NIST SP 800-171 DoD 평가 방법론에 따라 SPRS 점수를 계산, 게시 또는 개선해야 하는 경우.
- 110개 요구사항에 대한 시스템 보안 계획(SSP) 및 POA&M을 작성하거나 수정하는 경우.
- CUI/FCI 경계 내에 속하는 자산을 범위 지정하는 경우(CUI 자산, 보안 보호 자산, 계약자 위험 관리 자산, 범위 외).
사전 요구사항
- 어떤 계약이 CUI를 포함하는지와 관련 CUI 범주에 대한 지식(계약서 및 DoD CUI 레지스트리 확인).
- 자산 인벤토리 및 네트워크 다이어그램을 통해 통제 평가 전에 CMMC 평가 범위를 정의할 수 있어야 함.
- NIST SP 800-171 Rev 2 요구사항 및 DoD 평가 방법론 점수 가중치.
- 문서화된 SSP(부재 시 요구사항 3.12.4 실패로 간주).
- CUI를 처리하는 외부 서비스 제공자(ESP)/클라우드 서비스 식별 및 FedRAMP Moderate(또는 동등 수준) 충족 여부 확인.
워크플로우
1. 적용 가능성 및 CUI 범주 확인
계약이 CMMC 레벨 2를 요구하는지 확인합니다(CUI 존재, FCI만 있는 경우 아님). FCI 전용 계약은 레벨 1(FAR 52.204-21의 15개 요구사항)입니다. 계약서 및 DoD CUI 레지스트리에서 CUI 범주를 식별합니다.
2. 환경 범위 지정
모든 자산을 CMMC 범주 중 하나로 분류합니다.
- CUI 자산 — CUI를 처리/저장/전송(범위 내, 모든 관련 통제에 대해 평가).
- 보안 보호 자산 — CUI 환경에 보안 제공(범위 내).
- 계약자 위험 관리 자산 — CUI를 처리할 수 있지만 의도되지 않음; 정책에 따라 관리.
- 특수 자산(IoT/OT, GFE, 테스트 장비) — 문서화, 제한된 평가.
- 범위 외 — CUI와 물리적/논리적으로 격리.
범위를 의도적으로 최소화하십시오. 작고 잘 분할된 CUI 영역은 플랫 네트워크보다 인증 비용이 훨씬 저렴합니다.
3. 110개 요구사항 구현 (NIST SP 800-171 Rev 2)
14개 패밀리(3.1–3.14)를 작업합니다. 각 요구사항에 대해 구현한 후 SSP에 방법을 기록합니다. 초기 단계에서 효과가 큰 항목: MFA(3.5.3), FIPS 검증 암호화(3.13.11), 감사 로깅(3.3.x), 액세스 제어 + 최소 권한(3.1.x), 사고 대응(3.6.x).
4. DoD 평가 방법론(SPRS)으로 점수화
110점에서 시작하여 각 충족되지 않은 요구사항의 가중치(1, 3 또는 5점)를 뺍니다. 소수의 통제(예: MFA, FIPS 암호화)에 대해 부분 점수가 적용됩니다. 결과는 SPRS 점수(최대 110; 방법론 최저점은 -203)입니다. 점수, SSP 날짜 및 평가 범위를 SPRS(또는 더 높은 평가의 경우 eMASS)에 게시합니다.
5. 규정 준수 POA&M 구축
충족되지 않은 각 요구사항을 소유자, 수정 계획 및 마일스톤과 함께 문서화합니다. CMMC 규칙에 따른 제약사항: 조건부 상태는 최소 80% 점수(≥ 88/110)가 필요하며, POA&M 적격 요구사항만 연기 가능합니다(가장 높은 가중치의 보안 요구사항은 완전히 충족되어야 함 — 32 CFR Part 170에 따라 적격성 확인). 모든 POA&M 항목은 조건부 → 최종으로 전환하기 위해 180일 이내에 종료되어야 합니다.
6. 평가 (자체 또는 C3PAO)
- 레벨 1 및 레벨 2의 일부 = 연간 자체 평가 및 SPRS에서 확약 제출.
- 레벨 2(대부분의 CUI 계약) = 3년 주기 C3PAO 인증 평가.
- 레벨 3 = 레벨 2에 추가하여 DoD(DIBCAC) 평가, SP 800-172 강화 요구사항 추가. 평가자는 각 목표를 MET / NOT MET / N/A로 증거(검토/면담/테스트)와 함께 평가합니다. 고위 임원이 지속적인 준수에 대한 연간 확약을 제출합니다.
7. 인증 유지
인증은 3년 동안 유효하며 연간 확약이 필요합니다. SSP를 유지하고, 변경 시 재점수화하며, 증거를 최신 상태로 유지하고, 중요한 변경 사항을 평가에 반영합니다.
핵심 개념
| 개념 | 정의 |
|---|---|
| FCI | 연방 계약 정보 — 레벨 1이 보호(FAR 52.204-21). |
| CUI | 통제 비밀 정보 — 레벨 2가 보호(NIST 800-171). |
| 110개 요구사항 | 14개 패밀리에 걸친 SP 800-171 Rev 2 보안 요구사항. |
| SPRS | 공급업체 성과 위험 시스템 — 800-171 점수가 게시되는 곳. |
| DoD 평가 방법론 | 110에서 점수를 계산하는 데 사용되는 1/3/5점 가중치. |
| C3PAO | CMMC 제3자 평가 기관 — 레벨 2 인증 수행. |
| POA&M | 시정 조치 계획 — 제한적, 최종 상태를 위해 180일 내에 종료 필요. |
| 조건부 vs 최종 | 조건부 = 열린 POA&M(점수 ≥ 80%); 최종 = 모든 통제 충족. |
| ESP | 외부 서비스 제공자 — CUI에 대해 FedRAMP Moderate/동등 수준 충족 필요. |
| 범주 지정 범주 | CUI / 보안 보호 / 계약자 위험 관리 / 특수 / 범위 외. |
도구 및 시스템
- NIST SP 800-171 Rev 2 — 110개 요구사항(평가 목표는 800-171A).
- DoD NIST SP 800-171 평가 방법론 — 점수 가중치.
- 32 CFR Part 170(CMMC 프로그램 규칙) 및 48 CFR / DFARS 252.204-7021(조달 규칙).
- SPRS — 점수 게시; SAM.gov — 등록.
- SP 800-172 / 800-172A — 레벨 3을 위한 강화 요구사항.
- GRC / 규정 준수 도구 — SSP, POA&M 및 증거 관리(예: Xacta, RegScale, FutureFeed 스타일 트래커).
일반적인 시나리오
- 원사업자가 하도급업체에 CUI를 전달하는 경우. 하도급업체는 자체 레벨 2 범위, SSP, SPRS 점수 및 (대부분) C3PAO 인증이 필요합니다.
- 점수가 88 미만인 경우. 가장 높은 가중치의 충족되지 않은 요구사항(5점, 그 다음 3점)을 우선시하여 조건부 임계값을 넘고 POA&M을 축소합니다.
- 클라우드가 CUI를 보유하는 경우. 서비스가 FedRAMP Moderate 승인 또는 동등 수준을 충족하는지 확인하고 책임 분할을 문서화합니다.
- 플랫 네트워크. 통제에 비용을 지출하기 전에 분할된 CUI 영역으로 재범위 지정하여 평가 표면을 줄입니다.
- 연간 확약 기한 도래. 고위 임원이 SPRS에서 지속적인 준수를 확약합니다; 기한을 놓치면 계약 자격에 위험이 있습니다.
출력 형식
assets/template.md를 사용하여 CMMC 레벨 2 준비 보고서를 생성합니다. 보고서에는 다음이 포함됩니다.
- 적용 가능성 및 CUI 범주 — 레벨 2가 적용되는 이유.
- 범위 — 범주별 자산 및 CUI 경계 다이어그램 참조.
- 패밀리별 통제 상태 — 14개 패밀리에 걸쳐 충족/미충족/해당 없음.
- SPRS 점수 — 계산된 점수, 차감액, 110점 및 88점 임계값까지의 차이.
- POA&M — 충족되지 않은 요구사항, 적격성 확인, 소유자, 180일 마일스톤.
- 평가 경로 — 자체 대 C3PAO, 목표 날짜, 확약 소유자.
- 수정 로드맵 — 점수 가치와 노력에 따라 순서 지정.
scripts/process.py를 사용하여 통제 상태 JSON에서 SPRS 점수를 계산하고, POA&M 적격성 문제를 표시하며, 조건부 인증 임계값까지의 차이를 보고합니다.