实现CMMC 2级合规 是做什么的？
何时使用
- 当**国防工业基础（DIB）中的组织在DoD合同下存储、处理或传输受控非机密信息（CUI）**时。
- 当合同包含DFARS 252.204-7012（保护/事件报告）、-7019/-7020（NIST 800-171自我评估+SPRS）或新的**-7021**（CMMC要求）时。
- 当准备接受C3PAO第三方评估或DoD主导评估时。
- 当您必须基于NIST SP 800-171 DoD评估方法学计算、提交或改进SPRS分数时。
- 当针对110项要求编写或修复系统安全计划（SSP）和POA&M时。
- 当界定哪些资产属于CUI/FCI边界内（CUI资产、安全保护资产、承包商风险受管资产、范围外资产）时。
前提条件
- 了解哪些合同涉及CUI以及涉及的CUI类别（对照合同和DoD CUI注册表检查）。
- 拥有资产清单和网络拓扑图，以便在评估控制措施之前定义CMMC评估范围。
- 拥有NIST SP 800-171 Rev 2要求以及DoD评估方法学评分权重。
- 拥有一份已记录的SSP（其缺失本身就是一项未满足的要求——3.12.4）。
- 识别所有接触CUI的外部服务提供商（ESP）/云服务，并确认其是否符合FedRAMP Moderate（或等效）。
工作流
1. 确定适用性与CUI类别
确认合同要求CMMC 2级（存在CUI，而不仅仅是FCI）。仅涉及FCI的合同属于1级（15项FAR 52.204-21要求）。根据合同和DoD CUI注册表识别CUI类别。
2. 界定环境范围
将每项资产分类到以下CMMC范围类别之一：
- CUI资产 —— 处理/存储/传输CUI（在范围内，对照所有适用控制措施进行评估）。
- 安全保护资产 —— 为CUI环境提供安全保护（在范围内）。
- 承包商风险受管资产 —— 可能但无意处理CUI；通过策略管理。
- 专门资产（IoT/OT、GFE、测试设备）—— 已记录，有限评估。
- 范围外资产 —— 与CUI物理或逻辑隔离。
有意缩小范围 —— 一个更小、划分良好的CUI飞地比扁平网络认证成本低得多。
3. 实施110项要求（NIST SP 800-171 Rev 2）
处理14个系列（3.1–3.14）。对于每项要求，实施，然后在SSP中编写如何实施。高杠杆早期胜利：MFA（3.5.3）、FIPS验证密码术（3.13.11）、审计日志记录（3.3.x）、访问控制+最小权限（3.1.x）和事件响应（3.6.x）。
4. 使用DoD评估方法学评分（SPRS）
从110开始，减去每个未满足要求的加权值（1、3或5分）；少量控制措施（例如，MFA、FIPS密码术）可获部分学分。结果是SPRS分数（最高110；方法学下限为-203）。将分数、SSP日期和评估范围提交到SPRS（或用于更高级评估的eMASS）。
5. 构建合规的POA&M
记录每个未满足的要求，包括负责人、补救措施和里程碑。CMMC规则下的约束： 有条件状态要求分数至少达到80%（≥ 88/110），仅POA&M合格的要求可以推迟（权重最高的安全要求必须完全满足——对照32 CFR Part 170核实资格），并且所有POA&M项目必须在180天内关闭才能将有条件状态转换为最终状态。
6. 评估（自我或C3PAO）
- 1级和部分2级 = 每年自我评估，并在SPRS中确认。
- 2级（大多数CUI合同） = 每三年一次的C3PAO认证评估。
- 3级 = 在2级基础上由DoD（DIBCAC）评估，增加了SP 800-172增强要求。 评估员针对每个目标评估为符合/不符合/不适用，并附有证据（检查/访谈/测试）。一名高级官员提交年度确认，证明持续合规。
7. 保持认证状态
认证有效期为三年，每年进行年度确认。维护SSP，在发生变更时重新评分，保持证据的时效性，并将重大变更反馈给评估流程。
关键概念
| 概念 | 定义 |
|---|---|
| FCI | 联邦合同信息——1级保护它（FAR 52.204-21）。 |
| CUI | 受控非机密信息——2级保护它（NIST 800-171）。 |
| 110项要求 | 分布在14个系列中的SP 800-171 Rev 2安全要求。 |
| SPRS | 供应商绩效风险系统——提交800-171分数的地方。 |
| DoD评估方法学 | 用于从110计算分数的1/3/5点加权机制。 |
| C3PAO | CMMC第三方评估组织——执行2级认证。 |
| POA&M | 行动计划与里程碑——有限，必须在180天内关闭以达到最终状态。 |
| 有条件 vs 最终 | 有条件 = 存在未关闭的POA&M（分数≥80%）；最终 = 所有控制措施均已满足。 |
| ESP | 外部服务提供商——必须满足FedRAMP Moderate/等效要求以处理CUI。 |
| 范围类别 | CUI/安全保护/承包商风险受管/专门/范围外。 |
工具与系统
- NIST SP 800-171 Rev 2 —— 110项要求（以及用于评估目标的800-171A）。
- DoD NIST SP 800-171评估方法学 —— 评分权重。
- 32 CFR Part 170（CMMC计划规则）和48 CFR / DFARS 252.204-7021（采购规则）。
- SPRS —— 分数提交；SAM.gov用于注册。
- SP 800-172 / 800-172A —— 适用于3级的增强要求。
- GRC / 合规工具 —— 用于管理SSP、POA&M和证据（例如，Xacta、RegScale、FutureFeed式追踪器）。
常见场景
- 主承包商向分包商提供CUI。 分包商需要自己的2级范围、SSP、SPRS分数和（很可能）C3PAO认证。
- 分数低于88。 优先处理权重最高的未满足要求（5分项，然后是3分项），以达到有条件阈值并缩小POA&M。
- 云服务持有CUI。 确认服务已获得FedRAMP Moderate授权或满足等效要求；记录责任分工。
- 扁平网络。 重新界定范围为一个分段的CUI飞地，以减少在控制措施上投入成本之前的评估面。
- 年度确认到期。 高级官员在SPRS中确认持续合规；任其过期将面临合同资格风险。
输出格式
使用 assets/template.md 生成一份 CMMC 2级就绪报告，包含：
- 适用性与CUI类别 —— 为何适用2级。
- 范围 —— 按范围类别划分的资产以及CUI边界图参考。
- 按系列划分的控制状态 —— 跨14个系列的符合/不符合/不适用。
- SPRS分数 —— 计算得分、扣分项以及到110分和88分阈值的差距。
- POA&M —— 未满足的要求、资格检查、负责人、180天里程碑。
- 评估路径 —— 自我评估 vs C3PAO、目标日期、确认负责人。
- 补救路线图 —— 按点值和工作量排序。
使用 scripts/process.py 根据控制状态JSON计算SPRS分数，标记POA&M资格问题，并报告与有条件认证阈值的差距。