Die Navigation auf dem Weg zur CMMC-Konformität kann schwierig sein, insbesondere wenn es darum geht, die verschiedenen erforderlichen Dokumentationstypen zu verstehen.

Eine angemessene Dokumentation ist nicht nur entscheidend für den Erhalt der CMMC-Zertifizierung, sondern auch für die Aufrechterhaltung einer soliden Cybersicherheitsposition innerhalb Ihrer Organisation.

Nachfolgend geben wir Ihnen einen Überblick über die wichtigsten CMMC-Dokumente, um Ihre Bemühungen um die CMMC-Konformität zu rationalisieren und sicherzustellen, dass Sie für den Bewertungsprozess gut vorbereitet sind.

CMMC-System-Sicherheitsplan (SSP)

Der SSP beschreibt die Cybersicherheitspraktiken und -prozesse, die eingerichtet wurden, um Ihre Informationsressourcen und IT-Infrastruktur zu schützen und die Anforderungen des CMMC-Rahmens zu erfüllen. Er bietet einen umfassenden Überblick über das Informationssystem Ihrer Organisation, einschließlich

• einer Beschreibung und den Grenzen des Systems
• der Risikobewertungsprozesse
• spezifischer Sicherheitskontrollen
• Richtlinien und Verfahren
• Vorfallreaktion und kontinuierliche Überwachung
• einem Überblick über die organisatorischen Rollen und Verantwortlichkeiten

Der SSP ist für alle Ebenen der CMMC-Zertifizierung unerlässlich. Die Bewerter werden Ihren SSP prüfen, um zu verstehen, wie Ihre Organisation die CMMC-Anforderungen erfüllt und ihre sensiblen Daten verwaltet und schützt. Ein gut dokumentierter SSP kann den Bewertungsprozess erheblich vereinfachen und das Engagement Ihrer Organisation für Cybersicherheit demonstrieren.

CMMC-Plan für Maßnahmen und Meilensteine (POA&M)

Der POA&M, auch bekannt als Corrective Action Plan (CAM)-Dokument, ist ein strategisches Dokument, das verwendet wird, um die Maßnahmen zu identifizieren und zu verfolgen, die erforderlich sind, um Lücken in den Kontrollen Ihrer Organisation zu schließen, die bei einer internen oder von Dritten durchgeführten Bewertung festgestellt wurden.

Durch die Beschreibung der identifizierten Lücken sowie der damit verbundenen Risiken, der geplanten Korrekturmaßnahmen, der Zeitrahmen, Meilensteine und verantwortlichen Parteien bietet ein POA&M einen strukturierten Ansatz, um Lücken zu schließen, Maßnahmen zu priorisieren und Fortschritte auf dem Weg zur Erreichung oder Aufrechterhaltung der Konformität zu verfolgen.

Der POA&M sollte ein lebendiges Dokument sein, das kontinuierlich, mindestens monatlich aktualisiert wird, wenn Fortschritte erzielt werden. Als solches ist es entscheidend, kontinuierliche Bemühungen zur Erreichung und Aufrechterhaltung der CMMC-Konformität gegenüber Dritten zu demonstrieren, insbesondere für die höheren CMMC-Zertifizierungsstufen, bei denen kontinuierliche Verbesserung im Vordergrund steht.

Weitere Beispiele für CMMC-konforme Dokumentation

Richtlinien, Prozesse und Verfahren, Schulungsunterlagen, Pläne und Planungsdokumente sowie Systemebenen-, Netzwerk- und Datenflussdiagramme können alle als Nachweis für die Einhaltung der geltenden CMMC-Anforderungen verwendet werden.

Hier sind einige wichtige Dokumente, die als Nachweis bei einer CMMC-Bewertung geprüft werden können.

• Zugriffssteuerungsrichtlinie und -verfahren
• Prüfungs- und Verantwortlichkeitsrichtlinie und -verfahren
• Richtlinie und Verfahren für die Konfigurationsverwaltung
• Strategie für kontinuierliche Überwachung
• Richtlinie und Verfahren für Identifikation und Authentifizierung
• Richtlinie, Plan und Verfahren für die Reaktion auf Vorfälle
• Passwortrichtlinie
• Richtlinie und Verfahren zur Sicherheit des Personals
• Richtlinie und Verfahren zum physischen und umweltfreundlichen Schutz
• Richtlinie und Verfahren zur Risikobewertung
• Richtlinie und Verfahren zur Sicherheitsbewertung und -genehmigung
• Sicherheitsplanungsrichtlinie
• Richtlinie und Verfahren zum Schutz von Systemen und Kommunikation
• Richtlinie und Verfahren zur System- und Informationsintegrität
• Protokolle und Aufzeichnungen der Systemprüfung
• Richtlinie und Verfahren zur Systemwartung
• Richtlinie und Verfahren zum Schutz von Systemmedien
• Systemüberwachungsprotokolle

Bitte beachten Sie, dass diese Liste weder vollständig noch verbindlich ist, obwohl sie eine Reihe von Praktiken abdeckt, die für die CMMC-Konformität erforderlich sind. Für viele dieser Praktiken kann ein Gutachter das SSP (System Security Plan) statt separater Dokumente prüfen. Oder anstelle von Dokumenten kann der Gutachter Mechanismen oder Aktivitäten, wie die Visualisierung von Hardware oder die Beobachtung von Personal, das einem Prozess folgt, begutachten, um zu bewerten, ob eine CMMC-Praktik eingehalten wurde.

Vorbereitung der Dokumentation für Ihren Auditor

Egal, ob Sie gerade erst Ihre CMMC-Reise beginnen oder sich in der Zertifizierungsphase befinden, das Investieren von Zeit und Mühe in diese wichtigen Dokumente wird Ihnen helfen, das notwendige Sicherheits- und Konformitätsniveau zu erreichen, um im Verteidigungssektor erfolgreich zu sein.

Die Organisation dieser Dokumentation spart Ihnen nicht nur Zeit und hilft Ihnen, Ihr Audit rechtzeitig abzuschließen – sie ermöglicht es auch Ihrem Auditor, die Dokumentation zu überprüfen, bevor er beginnt, Ihre Kontrollen zu testen.

Secureframe kann den Dokumentenverwaltungsprozess optimieren. Secureframe sammelt automatisch die Beweise, die Sie benötigen, ordnet sie den relevanten Rahmenkontrollen und -anforderungen zu und speichert sie in einem sicheren Datenraum, um sie einfach und sicher mit externen Auditoren zu teilen. Sie erhalten Erinnerungen, um die Beweise nach den jährlichen Anforderungen für Audits zu aktualisieren, und können das genaue benötigte Dokument suchen oder gefilterte Ansichten als Beweise exportieren.