Governança, risco e compliance em português · gratuito, cadastro opcional
Entrar

CMMC 2.0 Certificação (governo dos EUA)

77 controles, organizados por grupo, com resumo em português.

Fazer a avaliação

Certificação obrigatória pra contratado e subcontratado da cadeia de suprimento de defesa dos EUA (Defense Industrial Base) que lida com Informação de Contrato Federal (FCI) ou Informação Não Classificada Controlada (CUI). Nível 1 (15 requisitos do FAR 52.204-21, autoavaliação) protege FCI; Nível 2 (110 exigências do NIST SP 800-171 Rev. 2 em 14 famílias, geralmente com avaliação de terceiro) protege CUI. Público bem mais nichado que os outros frameworks deste app — só relevante pra quem vende, direta ou indiretamente, pro governo americano.

Fonte oficial · A cor indica o perfil em que cada controle entra: Básico Intermediário Avançado.

FAR 52.204-21 e NIST SP 800-171 são documento público do governo dos EUA (nunca licenciado/pago, diferente de norma ISO). O Nível 1 está completo (15/15 requisitos). **O Nível 2 tem cobertura representativa, não as 110 exigências completas** — 62 das 110 (56%), com as 14 famílias representadas e 6 delas 100% completas — por não ter sido possível verificar o texto oficial de todas as 110 com confiança suficiente nesta sessão (ver docstring de cmmc_perfis.py pro raciocínio completo). Nível 3 (Expert) não é coberto: público extremamente restrito. Não substitui avaliação oficial por C3PAO credenciado pra certificação real.

AC Access Control (Controle de Acesso)

  • AC.L1-i
    Restringir acesso ao sistema a usuário, processo ou dispositivo autorizado (FAR 52.204-21(b)(1)(i)). Sem restringir quem acessa o sistema, qualquer pessoa com um dispositivo na rede tem o mesmo nível de acesso que um usuário autorizado.
    Básico
  • AC.L1-ii
    Limitar o acesso ao sistema ao tipo de transação e função que o usuário autorizado pode executar (FAR (b)(1)(ii)). Usuário autorizado com permissão além do necessário aumenta o dano possível de uma conta comprometida ou de um erro de operação.
    Básico
  • AC.L1-iii
    Verificar e controlar/limitar conexão com sistema de informação externo (FAR (b)(1)(iii)). Conexão externa não verificada é uma porta de entrada pra rede interna que ninguém formalmente aprovou.
    Básico
  • AC.L1-iv
    Controlar informação postada ou processada em sistema publicamente acessível (FAR (b)(1)(iv)). Informação de contrato federal postada por engano num sistema público fica acessível a qualquer pessoa, sem controle nenhum.
    Básico
  • AC.L1-v
    Identificar usuário, processo agindo em nome de usuário, ou dispositivo do sistema (FAR (b)(1)(v)). Sem identificar quem/o que está acessando o sistema, não há como atribuir responsabilidade por nenhuma ação.
    Básico
  • AC.L1-vi
    Autenticar (ou verificar) a identidade de usuário, processo ou dispositivo antes de permitir acesso (FAR (b)(1)(vi)). Identidade não verificada é uma alegação, não uma garantia — autenticação é o que confirma que a identidade é real.
    Básico
  • AC.L2-3.1.1
    Limitar acesso ao sistema a usuário, processo e dispositivo autorizado (3.1.1). Mesmo requisito do Nível 1, mas agora protegendo CUI (dado mais sensível que FCI) — o padrão de exigência sobe junto com a sensibilidade do dado.
    Intermediário
  • AC.L2-3.1.2
    Limitar acesso ao sistema ao tipo de transação e função que usuário autorizado pode executar (3.1.2). Restringir o tipo de transação/função, não só o acesso ao sistema como um todo, limita o que um usuário comprometido consegue fazer de fato.
    Intermediário
  • AC.L2-3.1.3
    Controlar o fluxo de CUI de acordo com política de controle de fluxo aprovada (3.1.3). CUI sem controle de fluxo definido pode se espalhar pra sistema ou rede que não deveria recebê-lo.
    Intermediário
  • AC.L2-3.1.5
    Aplicar o princípio de menor privilégio, incluindo pra função de segurança específica e conta privilegiada (3.1.5). Conta com privilégio além do necessário é o alvo mais valioso pra quem tenta comprometer o sistema.
    Intermediário
  • AC.L2-3.1.7
    Impedir usuário não privilegiado de executar função privilegiada e registrar tentativa de execução dessas funções (3.1.7). Usuário comum executando função privilegiada, mesmo sem má intenção, pode causar dano que só deveria ser possível a um administrador.
    Intermediário
  • AC.L2-3.1.12
    Monitorar e controlar sessão de acesso remoto (3.1.12). Sessão de acesso remoto sem monitoramento é um canal de entrada que ninguém está observando em tempo real.
    Avançado
  • AC.L2-3.1.14
    Rotear acesso remoto por ponto de controle de acesso gerenciado (3.1.14). Acesso remoto fora de um ponto de controle gerenciado escapa de qualquer política central de segurança.
    Avançado
  • AC.L2-3.1.18
    Controlar conexão de dispositivo móvel (3.1.18). Dispositivo móvel sem controle é um ponto de entrada mais fácil de perder ou comprometer fisicamente que um equipamento fixo.
    Avançado
  • AC.L2-3.1.22
    Controlar CUI postado ou processado em sistema publicamente acessível (3.1.22). CUI postado em sistema público, mesmo por engano, se torna público de forma irreversível.
    Avançado

AT Awareness and Training (Conscientização e Treinamento)

  • AT.L2-3.2.1
    Garantir que gestor, administrador de sistema e usuário estejam cientes do risco de segurança associado à atividade deles (3.2.1). Gestor e usuário sem consciência do risco tomam decisão de segurança ruim sem saber que estão tomando uma decisão de segurança.
    Intermediário
  • AT.L2-3.2.2
    Garantir que pessoal seja treinado pra cumprir o papel e a responsabilidade de segurança da informação atribuídos a ele (3.2.2). Pessoal sem treinamento no próprio papel de segurança não sabe o que é esperado dele nem como cumprir.
    Intermediário
  • AT.L2-3.2.3
    Treinar pessoal pra reconhecer e reportar indicador de ameaça interna (insider threat) (3.2.3). Ameaça interna não reconhecida a tempo pelo colega mais próximo é a que tem mais chance de passar despercebida.
    Intermediário

AU Audit and Accountability (Auditoria e Responsabilização)

  • AU.L2-3.3.1
    Criar e reter log e registro de auditoria do sistema, na medida necessária pra permitir monitoramento, análise, investigação e reporte de atividade ilegal/não autorizada (3.3.1). Sem log de auditoria, uma investigação depois de um incidente não tem nenhum registro real pra reconstruir o que aconteceu.
    Intermediário
  • AU.L2-3.3.2
    Garantir que a ação de usuário individual possa ser rastreada de forma única até aquele usuário (3.3.2). Ação não rastreável até um usuário específico elimina a responsabilização individual, mesmo com log existindo.
    Intermediário
  • AU.L2-3.3.5
    Correlacionar processo de revisão, análise e reporte de auditoria pra investigação e resposta a atividade suspeita (3.3.5). Log que existe mas nunca é correlacionado/revisado não gera nenhuma detecção real de atividade suspeita.
    Avançado
  • AU.L2-3.3.8
    Proteger informação de auditoria e ferramenta de log de auditoria contra acesso, modificação e exclusão não autorizados (3.3.8). Log de auditoria alterável não serve como evidência confiável — quem ataca pode apagar o próprio rastro.
    Avançado
  • AU.L2-3.3.9
    Limitar a gestão de funcionalidade de auditoria a um subconjunto de usuário privilegiado (3.3.9). Qualquer usuário conseguindo mexer na configuração de auditoria pode desabilitar o próprio monitoramento antes de agir.
    Avançado

CM Configuration Management (Gestão de Configuração)

  • CM.L2-3.4.1
    Estabelecer e manter configuração de referência (baseline) e inventário de sistema organizacional ao longo do ciclo de vida de desenvolvimento (3.4.1). Sem configuração de referência documentada, não há como saber se o sistema atual está diferente do que deveria estar.
    Intermediário
  • CM.L2-3.4.2
    Aplicar configuração de segurança pra produto de tecnologia da informação usado no sistema (3.4.2). Configuração de segurança não aplicada deixa o sistema num estado mais permissivo do que o necessário.
    Intermediário
  • CM.L2-3.4.5
    Definir, documentar, aprovar e aplicar restrição de acesso associada à mudança no sistema (3.4.5). Mudança no sistema sem restrição de acesso pode ser feita por qualquer um, sem revisão nem aprovação.
    Avançado
  • CM.L2-3.4.6
    Empregar o princípio de menor funcionalidade, configurando o sistema pra fornecer só a capacidade essencial (3.4.6). Sistema com função além do necessário tem mais superfície de ataque do que precisaria ter.
    Avançado
  • CM.L2-3.4.8
    Aplicar política de negação por exceção (deny-by-exception/blacklist) ou permissão por exceção (allow-by-exception/whitelist) pra software (3.4.8). Sem política clara de software permitido/proibido, qualquer programa pode ser instalado, incluindo malware disfarçado.
    Avançado

IA Identification and Authentication (Identificação e Autenticação)

  • IA.L2-3.5.1
    Identificar usuário, processo agindo em nome de usuário, e dispositivo do sistema (3.5.1). Mesmo requisito do AC.L2-3.1.1 sob outro ângulo: sem identificar quem/o que acessa, não há como aplicar nenhum outro controle de acesso.
    Intermediário
  • IA.L2-3.5.2
    Autenticar (ou verificar) a identidade de usuário, processo ou dispositivo, pré-condição pra permitir acesso (3.5.2). Autenticação é a etapa que confirma que a identificação declarada é real antes de conceder qualquer acesso.
    Intermediário
  • IA.L2-3.5.3
    Usar autenticação multifator pra acesso local e de rede a conta privilegiada, e pra acesso de rede a conta não privilegiada (3.5.3). Senha sozinha é insuficiente contra credencial vazada ou phishing, especialmente numa conta privilegiada.
    Avançado
  • IA.L2-3.5.7
    Aplicar complexidade mínima de senha e mudança de caractere ao criar nova senha (3.5.7). Senha fraca é adivinhada ou quebrada por força bruta muito mais rápido do que uma senha complexa.
    Avançado
  • IA.L2-3.5.10
    Armazenar e transmitir só senha protegida criptograficamente (3.5.10). Senha armazenada ou transmitida sem proteção criptográfica pode ser lida diretamente por quem intercepta o tráfego ou acessa o banco.
    Avançado

IR Incident Response (Resposta a Incidente)

  • IR.L2-3.6.1
    Estabelecer capacidade operacional de tratamento de incidente, incluindo preparação, detecção, análise, contenção, recuperação e resposta do usuário (3.6.1). Sem capacidade formal de resposta a incidente, cada ocorrência é tratada de forma improvisada, mais lenta e mais sujeita a erro.
    Intermediário
  • IR.L2-3.6.2
    Rastrear, documentar e reportar incidente à autoridade interna e externa competente (3.6.2). Incidente não documentado nem reportado não gera aprendizado nem cumpre obrigação de notificação a quem precisa saber.
    Avançado
  • IR.L2-3.6.3
    Testar a capacidade de resposta a incidente organizacional (3.6.3). Plano de resposta nunca testado é uma suposição de que funciona, não uma garantia.
    Avançado

MA Maintenance (Manutenção)

  • MA.L2-3.7.1
    Realizar manutenção do sistema organizacional (3.7.1). Sistema sem manutenção regular acumula falha e desatualização que viram vulnerabilidade real com o tempo.
    Intermediário
  • MA.L2-3.7.2
    Controlar todo método, técnica e ferramenta usados pra manutenção do sistema, e a pessoa que a realiza (3.7.2). Ferramenta ou pessoal de manutenção sem controle é um canal de acesso ao sistema fora do controle de acesso normal.
    Intermediário
  • MA.L2-3.7.5
    Exigir autenticação multifator pra estabelecer sessão de manutenção não local via rede externa (3.7.5). Sessão de manutenção remota sem MFA é um dos vetores mais visados, porque geralmente tem privilégio elevado.
    Avançado
  • MA.L2-3.7.6
    Supervisionar atividade de manutenção de pessoal sem autorização de acesso independente (3.7.6). Pessoal de manutenção não autorizado, sem supervisão, tem acesso físico/lógico sem nenhum controle sobre o que de fato faz.
    Avançado

MP Media Protection (Proteção de Mídia)

  • MP.L2-3.8.1
    Proteger (fisicamente controlar e guardar de forma segura) mídia do sistema que contenha CUI, impressa e digital (3.8.1). Mídia com CUI sem proteção física é uma cópia do dado sensível fora do controle do sistema principal.
    Intermediário
  • MP.L2-3.8.3
    Sanitizar ou destruir mídia do sistema contendo CUI antes de descarte ou reutilização (3.8.3). Mesmo requisito do Nível 1, mas específico pra CUI — sanitização insuficiente deixa dado sensível recuperável em mídia descartada.
    Avançado
  • MP.L2-3.8.5
    Controlar acesso a mídia contendo CUI e manter responsabilidade por ela durante transporte fora de área controlada (3.8.5). Mídia em trânsito sem controle de acesso pode ser perdida ou interceptada sem que ninguém perceba a tempo.
    Avançado
  • MP.L2-3.8.9
    Proteger a confidencialidade de CUI em backup no local de armazenamento (3.8.9). Backup sem proteção de confidencialidade é uma cópia extra do dado sensível, muitas vezes esquecida na hora de proteger.
    Avançado

PS Personnel Security (Segurança de Pessoal)

  • PS.L2-3.9.1
    Investigar (screen) indivíduo antes de autorizar acesso a sistema organizacional contendo CUI (3.9.1). Pessoa não investigada antes do acesso pode ter histórico que tornaria o acesso a CUI um risco conhecido, se verificado antes.
    Intermediário
  • PS.L2-3.9.2
    Garantir que sistema organizacional contendo CUI fique protegido durante e depois de ação de pessoal (desligamento, transferência) (3.9.2). Acesso de ex-funcionário que continua ativo é uma das causas mais comuns e mais evitáveis de incidente de segurança.
    Intermediário

PE Physical Protection (Proteção Física)

  • PE.L1-ix
    Escoltar visitante e monitorar atividade de visitante; manter log de auditoria de acesso físico (FAR (b)(1)(ix)). Visitante sem escolta ou log é uma pessoa não rastreada com acesso físico ao ambiente.
    Básico
  • PE.L1-viii
    Limitar acesso físico ao sistema, equipamento e ambiente operacional respectivo a pessoal autorizado (FAR (b)(1)(viii)). Acesso físico irrestrito ao equipamento anula qualquer controle lógico de segurança implementado no sistema.
    Básico
  • PE.L2-3.10.1
    Limitar acesso físico ao sistema, equipamento e respectivo ambiente operacional a pessoal autorizado (3.10.1). Mesmo requisito do Nível 1, agora protegendo o ambiente onde CUI é processado ou armazenado especificamente.
    Intermediário
  • PE.L2-3.10.3
    Escoltar visitante e monitorar a atividade de visitante (3.10.3). Visitante sem escolta em ambiente com CUI tem acesso físico não supervisionado a informação sensível.
    Avançado
  • PE.L2-3.10.4
    Manter log de auditoria de acesso físico (3.10.4). Sem log de acesso físico, uma investigação de incidente físico não tem nenhum registro pra reconstruir quem esteve no local.
    Avançado
  • PE.L2-3.10.5
    Controlar e gerenciar dispositivo de acesso físico (crachá, chave, fechadura eletrônica) (3.10.5). Dispositivo de acesso físico (crachá, chave) sem gestão pode ser duplicado, perdido ou usado por quem não deveria.
    Avançado

RA Risk Assessment (Avaliação de Risco)

  • RA.L2-3.11.1
    Avaliar periodicamente o risco às operações, ativos e indivíduo da organização, resultante da operação do sistema e do processamento/armazenamento/transmissão de CUI (3.11.1). Sem avaliação periódica de risco, a organização não sabe se a postura de segurança dela mudou (pra melhor ou pra pior) desde a última vez que checou.
    Intermediário
  • RA.L2-3.11.2
    Realizar varredura de vulnerabilidade em sistema organizacional periodicamente e quando nova vulnerabilidade relevante for identificada (3.11.2). Vulnerabilidade não procurada ativamente só é descoberta quando já foi explorada por alguém de fora.
    Avançado
  • RA.L2-3.11.3
    Remediar vulnerabilidade de acordo com avaliação de risco (3.11.3). Vulnerabilidade identificada e nunca corrigida é risco aceito por omissão, não por decisão consciente.
    Avançado

CA Security Assessment (Avaliação de Segurança)

  • CA.L2-3.12.1
    Avaliar periodicamente o controle de segurança no sistema organizacional pra determinar se são eficazes na aplicação (3.12.1). Controle implementado uma vez e nunca reavaliado tende a degradar silenciosamente com o tempo.
    Intermediário
  • CA.L2-3.12.2
    Desenvolver e implementar plano de ação (POA&M) pra corrigir deficiência e reduzir/eliminar vulnerabilidade (3.12.2). Deficiência identificada sem plano formal de correção tende a ficar pendente indefinidamente.
    Avançado
  • CA.L2-3.12.3
    Monitorar controle de segurança em base contínua pra garantir eficácia contínua (3.12.3). Monitoramento pontual (só na auditoria) deixa uma falha de controle sem detecção durante todo o período entre uma avaliação e outra.
    Avançado
  • CA.L2-3.12.4
    Desenvolver, documentar e atualizar periodicamente o plano de segurança do sistema (SSP) (3.12.4). Sem plano de segurança do sistema documentado e atualizado, não há como provar pra um avaliador externo que o programa de segurança existe de fato.
    Intermediário

SC System and Communications Protection (Proteção de Sistema e Comunicação)

  • SC.L1-x
    Monitorar, controlar e proteger comunicação organizacional nos limites externos e internos-chave do sistema (FAR (b)(1)(x)). Comunicação não monitorada nos limites da rede é o ponto onde um ataque externo mais provavelmente entra sem ser percebido.
    Básico
  • SC.L1-xi
    Implementar subredes pra componente de sistema publicamente acessível, fisicamente ou logicamente separado da rede interna (FAR (b)(1)(xi)). Sistema publicamente acessível na mesma rede que o sistema interno é uma ponte direta pra rede interna se comprometido.
    Básico
  • SC.L2-3.13.1
    Monitorar, controlar e proteger comunicação organizacional nos limites externos e internos-chave do sistema (3.13.1). Mesmo requisito do Nível 1, agora no contexto de proteger o sistema que trata CUI especificamente.
    Intermediário
  • SC.L2-3.13.4
    Impedir a transferência não autorizada de informação por meio de recurso de sistema compartilhado (3.13.4). Recurso de sistema compartilhado (memória, disco) sem isolamento pode vazar informação de um processo pra outro sem intenção.
    Avançado
  • SC.L2-3.13.8
    Implementar mecanismo criptográfico pra impedir divulgação não autorizada de CUI durante a transmissão, salvo proteção física alternativa (3.13.8). CUI transmitido sem criptografia pode ser interceptado e lido diretamente por quem tem acesso à rede pela qual ele passa.
    Avançado
  • SC.L2-3.13.10
    Estabelecer e gerenciar chave criptográfica pra criptografia empregada no sistema organizacional (3.13.10). Chave criptográfica mal gerenciada torna a própria criptografia inútil, porque a chave pode ser comprometida ou perdida.
    Avançado
  • SC.L2-3.13.11
    Empregar criptografia validada FIPS quando usada pra proteger a confidencialidade de CUI (3.13.11). Criptografia não validada (FIPS) pode ter implementação fraca, mesmo usando um algoritmo teoricamente seguro.
    Avançado
  • SC.L2-3.13.16
    Proteger a confidencialidade de CUI em repouso (3.13.16). CUI em repouso sem criptografia fica legível por qualquer um que acesse o disco ou backup diretamente.
    Avançado

SI System and Information Integrity (Integridade de Sistema e Informação)

  • SI.L1-vii
    Sanitizar ou destruir mídia do sistema contendo informação de contrato federal antes de descarte ou reutilização (FAR (b)(1)(vii)). Mídia descartada sem sanitização pode ter informação federal recuperável por quem a adquire depois.
    Básico
  • SI.L1-xii
    Identificar, reportar e corrigir falha de informação e de sistema de informação de forma tempestiva (FAR (b)(1)(xii)). Falha de sistema não corrigida a tempo é uma vulnerabilidade conhecida deixada aberta por escolha, não por acidente.
    Básico
  • SI.L1-xiii
    Fornecer proteção contra código malicioso nos locais apropriados do sistema (FAR (b)(1)(xiii)). Sistema sem proteção contra código malicioso nos pontos certos é infectado sem nenhuma barreira no caminho.
    Básico
  • SI.L1-xiv
    Atualizar mecanismo de proteção contra código malicioso quando nova versão estiver disponível (FAR (b)(1)(xiv)). Proteção contra malware desatualizada não reconhece ameaça nova, funcionando só contra ataque já ultrapassado.
    Básico
  • SI.L1-xv
    Realizar varredura periódica do sistema e varredura em tempo real de arquivo de fonte externa conforme arquivo é baixado, aberto ou executado (FAR (b)(1)(xv)). Sem varredura periódica e em tempo real, uma infecção pode ficar ativa por muito tempo até ser descoberta por acidente.
    Básico
  • SI.L2-3.14.1
    Identificar, reportar e corrigir falha de informação e de sistema de informação de forma tempestiva (3.14.1). Mesmo requisito do Nível 1, agora aplicado especificamente ao sistema que trata CUI.
    Intermediário
  • SI.L2-3.14.2
    Fornecer proteção contra código malicioso nos locais apropriados do sistema (3.14.2). Mesmo requisito do Nível 1: sistema sem proteção contra malware nos pontos certos é infectado sem barreira no caminho.
    Intermediário
  • SI.L2-3.14.3
    Monitorar alerta e aviso de segurança do sistema e agir em resposta (3.14.3). Alerta de segurança ignorado é um aviso real de vulnerabilidade que a organização escolheu não tratar a tempo.
    Avançado
  • SI.L2-3.14.6
    Monitorar o sistema organizacional, incluindo comunicação de entrada e saída, pra detectar ataque e indicador de ataque em potencial (3.14.6). Sem monitorar tráfego de entrada e saída, um ataque em andamento pode passar despercebido enquanto ainda dá tempo de conter.
    Avançado
  • SI.L2-3.14.7
    Identificar uso não autorizado do sistema organizacional (3.14.7). Uso não autorizado do sistema não identificado pode ser um ataque já em andamento, não apenas um risco teórico.
    Avançado