alcançando-conformidade-cmmc-nivel-2

Alcançando Conformidade CMMC Nível 2

Quando Usar

• Quando uma organização na Base Industrial de Defesa (DIB) armazena, processa ou transmite Informações Controladas Não Classificadas (CUI) sob um contrato DoD.
• Quando um contrato inclui DFARS 252.204-7012 (salvaguarda/notificação de incidentes), -7019/-7020 (autoavaliação NIST 800-171 + SPRS), ou o novo -7021 (requisito CMMC).
• Ao se preparar para uma avaliação de terceiros C3PAO ou uma avaliação liderada pelo DoD.
• Quando você deve calcular, publicar ou melhorar uma pontuação SPRS com base na Metodologia de Avaliação DoD NIST SP 800-171.
• Ao redigir ou corrigir um Plano de Segurança do Sistema (SSP) e POA&M para os 110 requisitos.
• Ao definir o escopo de quais ativos estão dentro do limite CUI/FCI (ativos CUI, ativos de proteção de segurança, ativos gerenciados por risco do contratante, fora do escopo).

Pré-requisitos

• Conhecimento de quais contratos transportam CUI e as categorias CUI envolvidas (verifique o contrato e o Registro CUI do DoD).
• Um inventário de ativos e diagrama de rede para definir o escopo da avaliação CMMC antes de avaliar os controles.
• Os requisitos NIST SP 800-171 Rev 2 e os pesos de pontuação da Metodologia de Avaliação DoD.
• Um SSP documentado (sua ausência é, por si só, um requisito falho — 3.12.4).
• Identificação de quaisquer Provedores de Serviços Externos (ESPs) / serviços em nuvem que tocam CUI, e se eles atendem ao FedRAMP Moderate (ou equivalência).

Fluxo de Trabalho

1. Determinar a aplicabilidade e as categorias CUI

Confirme que o contrato exige CMMC Nível 2 (CUI presente, não apenas FCI). Contratos apenas com FCI são Nível 1 (os 15 requisitos FAR 52.204-21). Identifique as categorias CUI a partir do contrato e do Registro CUI do DoD.

2. Definir o escopo do ambiente

Classifique cada ativo em uma das categorias de escopo CMMC:

• Ativos CUI — processam/armazenam/transmitem CUI (no escopo, avaliados contra todos os controles aplicáveis).
• Ativos de Proteção de Segurança — fornecem segurança ao ambiente CUI (no escopo).
• Ativos Gerenciados por Risco do Contratante — poderiam, mas não devem, manipular CUI; gerenciados por política.
• Ativos Especializados (IoT/OT, GFE, equipamentos de teste) — documentados, avaliação limitada.
• Fora do Escopo — isolados física ou logicamente do CUI.

Minimize o escopo deliberadamente — um enclave CUI menor e bem segmentado é muito mais barato de certificar do que uma rede plana.

3. Implementar os 110 requisitos (NIST SP 800-171 Rev 2)

Trabalhe as 14 famílias (3.1–3.14). Para cada requisito, implemente e depois escreva o como no SSP. Vitórias rápidas de alto impacto: MFA (3.5.3), criptografia validada FIPS (3.13.11), registro de auditoria (3.3.x), controle de acesso + privilégio mínimo (3.1.x) e resposta a incidentes (3.6.x).

4. Pontuar com a Metodologia de Avaliação DoD (SPRS)

Comece em 110 e subtraia o valor ponderado (1, 3 ou 5 pontos) de cada requisito não atendido; crédito parcial se aplica a um pequeno número de controles (ex.: MFA, criptografia FIPS). O resultado é a pontuação SPRS (máximo 110; o piso da metodologia é −203). Publique a pontuação, a data do SSP e o escopo da avaliação no SPRS (ou eMASS para avaliações superiores).

5. Construir um POA&M em conformidade

Documente cada requisito não atendido com proprietário, remediação e marco. Restrições sob a regra CMMC: um status Condicional exige uma pontuação de pelo menos 80% (≥ 88 de 110), apenas requisitos elegíveis para POA&M podem ser adiados (os requisitos de segurança de maior peso devem ser totalmente atendidos — verifique a elegibilidade contra 32 CFR Part 170), e todos os itens do POA&M devem ser fechados em até 180 dias para converter Condicional → Final.

6. Avaliar (autoavaliação ou C3PAO)

• Nível 1 e um subconjunto do Nível 2 = autoavaliação anual com afirmação no SPRS.
• Nível 2 (a maioria dos contratos CUI) = avaliação de certificação C3PAO trienal.
• Nível 3 = avaliação DoD (DIBCAC) sobre o Nível 2, adicionando os requisitos aprimorados SP 800-172. Os avaliadores avaliam cada objetivo como ATENDIDO / NÃO ATENDIDO / N/A com evidências (examinar/entrevistar/testar). Um executivo sênior arquiva a afirmação anual de conformidade continuada.

7. Manter a certificação

A certificação é válida por três anos com afirmações anuais. Mantenha o SSP atualizado, reavalie a pontuação em caso de alteração, mantenha as evidências atualizadas e alimente as mudanças significativas de volta na avaliação.

Conceitos Chave

Conceito	Definição
FCI	Informações Contratuais Federais — Nível 1 protege (FAR 52.204-21).
CUI	Informações Controladas Não Classificadas — Nível 2 protege (NIST 800-171).
110 requisitos	Os requisitos de segurança SP 800-171 Rev 2 em 14 famílias.
SPRS	Sistema de Risco de Desempenho do Fornecedor — onde a pontuação 800-171 é publicada.
Metodologia de Avaliação DoD	A ponderação de 1/3/5 pontos usada para calcular a pontuação a partir de 110.
C3PAO	Organização de Avaliação de Terceiros CMMC — realiza a certificação de Nível 2.
POA&M	Plano de Ação e Marcos — limitado, deve fechar em 180 dias para status Final.
Condicional vs Final	Condicional = POA&M aberto (pontuação ≥ 80%); Final = todos os controles atendidos.
ESP	Provedor de Serviços Externo — deve atender ao FedRAMP Moderate / equivalência para CUI.
Categorias de escopo	CUI / Proteção de Segurança / Gerenciado por Risco do Contratante / Especializado / Fora do Escopo.

Ferramentas e Sistemas

• NIST SP 800-171 Rev 2 — os 110 requisitos (e 800-171A para objetivos de avaliação).
• Metodologia de Avaliação DoD NIST SP 800-171 — os pesos de pontuação.
• 32 CFR Part 170 (regra do Programa CMMC) e 48 CFR / DFARS 252.204-7021 (regra de aquisição).
• SPRS — publicação de pontuação; SAM.gov para registro.
• SP 800-172 / 800-172A — requisitos aprimorados para Nível 3.
• Ferramentas GRC / de conformidade — para gerenciar SSP, POA&M e evidências (ex.: Xacta, RegScale, rastreadores estilo FutureFeed).

Cenários Comuns

• Prime transmite CUI para um sub. O sub precisa de seu próprio escopo Nível 2, SSP, pontuação SPRS e (provavelmente) certificação C3PAO.
• Pontuação abaixo de 88. Priorize os requisitos não atendidos de maior peso (5 pontos, depois 3 pontos) para atingir o limite condicional e reduzir o POA&M.
• Nuvem contém CUI. Confirme que o serviço é autorizado FedRAMP Moderate ou atende à equivalência; documente a divisão de responsabilidades.
• Rede plana. Reescopo em um enclave CUI segmentado para reduzir a superfície de avaliação antes de gastar em controles.
• Afirmação anual vencida. Um executivo sênior afirma a conformidade continuada no SPRS; deixar expirar arrisca a elegibilidade do contrato.

Formato de Saída

Produza um Relatório de Prontidão CMMC Nível 2 usando assets/template.md, contendo:

1. Aplicabilidade e categorias CUI — por que o Nível 2 se aplica.
2. Escopo — ativos por categoria de escopo e referência ao diagrama de limite CUI.
3. Status de controle por família — atendido / não atendido / N/A nas 14 famílias.
4. Pontuação SPRS — pontuação calculada, deduções e a lacuna para 110 e para o limite de 88.
5. POA&M — requisitos não atendidos, verificação de elegibilidade, proprietários, marcos de 180 dias.
6. Caminho de avaliação — autoavaliação vs C3PAO, data-alvo, proprietário da afirmação.
7. Roteiro de remediação — sequenciado por valor de ponto e esforço.

Use scripts/process.py para calcular a pontuação SPRS a partir de um JSON de status de controle, sinalizar preocupações de elegibilidade de POA&M e relatar a lacuna para o limite de certificação condicional.