achieving-cmmc-level-2-compliance

实现 CMMC Level 2 合规

适用场景

• 当**国防工业基地（DIB）中的组织在 DoD 合同下存储、处理或传输受控非密信息（CUI）**时。
• 当合同包含 DFARS 252.204-7012（保护/事件报告）、-7019/-7020（NIST 800-171 自评估 + SPRS）或新的 -7021（CMMC 要求）时。
• 当准备 C3PAO 第三方评估或 DoD 主导的评估时。
• 当必须基于 NIST SP 800-171 DoD 评估方法计算、提交或改进 SPRS 分数时。
• 当为 110 项要求编写或整改**系统安全计划（SSP）**和 POA&M 时。
• 当界定哪些资产落在 CUI/FCI 边界内（CUI 资产、安全保护资产、承包商风险管理资产、范围外）时。

前提条件

• 了解哪些合同涉及 CUI以及所涉及的 CUI 类别（查看合同和 DoD CUI Registry）。
• 具备资产清单和网络图，以便在评估控制措施之前定义 CMMC 评估范围。
• 了解 NIST SP 800-171 Rev 2 要求以及 DoD 评估方法的评分权重。
• 拥有已记录的 SSP（缺少 SSP 本身就是一项未满足的要求 — 3.12.4）。
• 识别所有接触 CUI 的外部服务提供商（ESP）/云服务，以及它们是否满足 FedRAMP Moderate（或同等要求）。

工作流

1. 确定适用性和 CUI 类别

确认合同要求 CMMC Level 2（存在 CUI，而不仅仅是 FCI）。仅涉及 FCI 的合同属于 Level 1（15 项 FAR 52.204-21 要求）。从合同和 DoD CUI Registry 中识别 CUI 类别。

2. 界定环境范围

将每项资产归入以下 CMMC 范围界定类别之一：

• CUI 资产 — 处理/存储/传输 CUI（在范围内，需针对所有适用控制措施进行评估）。
• 安全保护资产 — 为 CUI 环境提供安全防护（在范围内）。
• 承包商风险管理资产 — 可能但并非有意处理 CUI；通过策略进行管理。
• 专用资产（IoT/OT、GFE、测试设备）— 已记录，有限评估。
• 范围外 — 与 CUI 物理/逻辑隔离。

有意识地最小化范围 — 一个更小、分段良好的 CUI 隔离区比一个扁平网络认证成本要低得多。

3. 实施 110 项要求（NIST SP 800-171 Rev 2）

处理 14 个家族（3.1–3.14）。对每项要求，先实施，然后在 SSP 中写明如何实施。高杠杆的早期成果：MFA（3.5.3）、FIPS 验证的加密（3.13.11）、审计日志（3.3.x）、访问控制 + 最小权限（3.1.x）以及事件响应（3.6.x）。

4. 使用 DoD 评估方法（SPRS）评分

从 110 开始，减去每项未满足要求的加权值（1、3 或 5 分）；少数控制措施适用部分得分（例如 MFA、FIPS 加密）。结果即为 SPRS 分数（最高 110；方法学下限为 −203）。将分数、SSP 日期和评估范围提交至 SPRS（或更高评估提交至 eMASS）。

5. 构建合规的 POA&M

记录每项未满足的要求，包括负责人、整改措施和里程碑。CMMC 规则下的约束： Conditional 状态要求分数至少达到 80%（≥ 110 分中的 88 分），只有符合 POA&M 资格的要求可以延期（权重最高的安全要求必须完全满足 — 对照 32 CFR Part 170 核实资格），并且所有 POA&M 项必须在 180 天内关闭，才能将 Conditional 转为 Final。

6. 评估（自我评估或 C3PAO）

• Level 1 以及 Level 2 的一部分 = 每年进行自我评估，并在 SPRS 中作出确认。
• Level 2（大多数 CUI 合同） = 每三年进行一次 C3PAO 认证评估。
• Level 3 = 在 Level 2 基础上由 DoD（DIBCAC）进行评估，并增加 SP 800-172 增强要求。 评估人员根据证据（检查/访谈/测试），将每个目标评定为 MET / NOT MET / N/A。一名高级官员提交持续合规的年度确认。

7. 维持认证

认证有效期为三年，并需每年确认。维护 SSP，变更时重新评分，保持证据最新，并将重大变更反馈到评估中。

关键概念

概念	定义
FCI	Federal Contract Information——Level 1 保护它（FAR 52.204-21）。
CUI	Controlled Unclassified Information——Level 2 保护它（NIST 800-171）。
110 项要求	SP 800-171 Rev 2 中跨 14 个族的安全要求。
SPRS	Supplier Performance Risk System——发布 800-171 分数的系统。
DoD Assessment Methodology	用于根据 110 项要求计算分数的 1/3/5 分权重。
C3PAO	CMMC Third-Party Assessment Organization——执行 Level 2 认证。
POA&M	Plan of Action & Milestones——范围有限，须在 180 天内关闭以获得 Final 状态。
Conditional 与 Final	Conditional = 存在未关闭的 POA&M（分数 ≥ 80%）；Final = 所有控制均已满足。
ESP	External Service Provider——针对 CUI 必须满足 FedRAMP Moderate / 等效要求。
范围界定类别	CUI / Security Protection / Contractor Risk Managed / Specialized / Out-of-Scope。

工具与系统

• NIST SP 800-171 Rev 2——110 项要求（以及用于评估目标的 800-171A）。
• DoD NIST SP 800-171 Assessment Methodology——评分权重。
• 32 CFR Part 170（CMMC Program 规则）和 48 CFR / DFARS 252.204-7021（采购规则）。
• SPRS——分数发布；SAM.gov 用于注册。
• SP 800-172 / 800-172A——Level 3 的增强要求。
• GRC / 合规工具——用于管理 SSP、POA&M 和证据（例如 Xacta、RegScale、FutureFeed 风格的跟踪器）。

常见场景

• 主承包商将 CUI 流向分包商。 分包商需要自己的 Level 2 范围、SSP、SPRS 分数，以及（很可能）C3PAO 认证。
• 分数低于 88。 优先处理权重最高的未满足要求（5 分，然后 3 分），以通过 Conditional 阈值并缩小 POA&M。
• 云中存有 CUI。 确认该服务已获得 FedRAMP Moderate 授权或满足等效要求；记录责任划分。
• 扁平网络。 重新界定范围，划分为分段式 CUI enclave，在投入控制措施前缩小评估面。
• 年度确认到期。 高级官员在 SPRS 中确认持续合规；一旦失效，你就有失去合同资格的风险。

输出格式

使用 assets/template.md 生成一份 CMMC Level 2 就绪报告，包含：

1. 适用性与 CUI 类别——为什么适用 Level 2。
2. 范围——按范围界定类别列出的资产，以及 CUI 边界图引用。
3. 按族划分的控制状态——14 个族中的 met / not met / N/A。
4. SPRS 分数——计算出的分数、扣分，以及距离 110 和 88 阈值的差距。
5. POA&M——未满足要求、资格检查、负责人、180 天里程碑。
6. 评估路径——自我评估与 C3PAO、目标日期、确认负责人。
7. 修复路线图——按分值和工作量排序。

使用 scripts/process.py 从控制状态 JSON 计算 SPRS 分数，标记 POA&M 资格问题，并报告与 Conditional 认证阈值的差距。