이 5가지 제어 기능이 중요한 이유
평가에서 절대 실패해서는 안 되는 5가지 통제 사항을 숙지하십시오. CMMC 2.0에 따르면, 일부 미비 사항에 대해서는 시정 조치 계획(POA&M)을 제출할 수 있습니다. 하지만 이 5가지 항목은 예외가 아닙니다. 이 중 하나라도 누락되면 즉시 평가에 불합격하게 됩니다.
다음 5가지 CMMC 통제 사항을 올바르게 이행하세요
…그리고 성공의 발판을 마련합니다.
C3PAO의 관점에서, 대다수의 계약업체들이 어려움을 겪는 5가지 통제 사항을 상세히 안내하는 백서를 다운로드하세요.
반드시 구현, 검증 및 모니터링해야 하는 5가지 핵심 통제 사항:
다단계 인증(MFA): IA.L2-3.5.3
함정: 로컬 액세스 포인트와 비특권 사용자에게 MFA를 적용하지 않는 것.
전체 CUI 경계 전반에 걸쳐 제로 트러스트 방식의 접근 인증이 필요합니다.
FIPS 인증 암호화: SC.L2-3.13.11
함정: FIPS 140-2 인증 모듈을 사용하지 않고 표준 BitLocker를 사용하는 경우.
저장 중인 데이터와 전송 중인 데이터에 대한 모듈을 검증하는 방법을 설명합니다.
사고 보고 속도: IR.L2-3.6.2
문제점: 72시간 이내에 DIBNet에 보고할 절차가 없다.
책임 소재가 명확하게 규정된, 검증된 사고 대응 계획(IRP)이 필요합니다.
최소 권한 기반 접근: AC.L2-3.1.5
함정: 편의상 광범위한 관리자 권한을 부여하는 것.
엄격한 역할 기반 접근 제어(RBAC) 구현이 필요합니다.
신체 보호: PE.L2-3.10.1
함정: 방문자 기록 관리가 소홀하거나, CUI 구역에 호위 없이 출입할 수 있는 경우.
감사관들은 물리적 기록부와 확립된 호송 절차를 요구합니다.
더 이상 혼란스러워할 필요는 없습니다. 명확함이 필요합니다.
이 다섯 가지 통제 수단만으로는 규정 준수를 완전히 달성할 수는 없겠지만, 이는 환경 내의 다른 모든 요소를 더 쉽게 파악하고, 문서화하며, 입증하고, 발전시켜 나갈 수 있게 해주는 중요한 출발점입니다.
그 후, 계약자들이 초기에 난관에 부딪히게 만드는 함정을 피하는 방법을 배우게 될 것입니다.
이 글에서 얻게 될 내용은 다음과 같습니다: 환경의 범위를 적절히 설정하는 방법을 배워, 중요하지 않은 부분에 노력을 낭비하는 것을 막고, 중요한 부분을 간과하는 일도 방지할 수 있습니다.
-
실제로 얼마나 많은 문서가 필요한가 (생각보다 적습니다):
불필요한 소음은 제쳐두고, 평가자들이 실제로 무엇을 기대하는지에 집중하세요.
-
평가자가 귀하의 환경을 접한 지 30분 이내에 파악하는 위험 신호는 다음과 같습니다:
그들이 즉시 파악하는 문제점들 — 그리고 이러한 문제점들이 공식적인 지적 사항으로 제기되기 전에 이를 해결하는 방법.
-
통제 이행 주장을 뒷받침할 증거를 수집하는 방법:
감사 쇼를 벌이지 않으면서도 현재 어떤 체계가 갖춰져 있는지 입증할 수 있는 실용적이고 반복 가능한 방법.
-
공인 C3PAO가 전하는 팁:
수백 가지 환경을 직접 경험해 본 전문가들이, 성공과 실패를 가르는 핵심 요소를 정확히 파악하고 있는 만큼, 그분들이 직접 전해주는 조언입니다.
-
NIST 800-171 개정판 3 계획 수립:
비즈니스와 함께 환경이 발전하고, 규제 변화에 발맞춰 나갈 수 있도록 하는 방법.