企业官网建设流程全解析

用 Anthropic Cybersecurity Skills 编写 CMMC Level 2 就绪报告：110 项 800-171 控制、SPRS 评分与 POA&M 完整实战

【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATT&CK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF & MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI & 20+ platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills

本文基于 Anthropic-Cybersecurity-Skills 仓库中的achieving-cmmc-level-2-compliance技能，完整拆解其随附的CMMC Level 2 就绪报告实例（assets/template.md）：从合同驱动判定、资产范围划定、按 14 个控制族的控制状态统计，到 SPRS 分数计算、POA&M 合规性核查、C3PAO 评估路径与按分值排序的整改路线图。读完本文，你可以直接复现一份面向国防工业基础（DIB）组织的 CMMC Level 2 合规评估文档，并会用仓库自带的process.py脚本从控制状态 JSON 自动计算 SPRS 分数、检查 88 分条件认证门槛并标记 POA&M 资格风险。

技能定位与文件结构

该技能位于仓库的 skills/achieving-cmmc-level-2-compliance 目录，遵循 agentskills.io 标准的四件套结构：

• SKILL.md：技能主定义，含 YAML frontmatter（触发条件、标签、框架映射）与七步工作流；
• assets/template.md：CMMC Level 2 就绪报告模板（已填写的完整示例），以一家处理 CUI 的小型 DIB 制造商、采用分段隔离 enclave 的环境为例；
• scripts/process.py：SPRS 分数计算器，实现 DoD Assessment Methodology 的算术规则；
• references/standards.md：法规引用、CMMC 三级别对比、14 个控制族清单、评分规则与范围划分类别参考。

frontmatter 中声明了触发场景：组织在 DoD 合同下处理 CUI、合同含 DFARS 252.204-7012/7019/7020/7021 条款、准备 C3PAO 评估、计算/改进 SPRS 分数、编写 SSP/POA&M、划定 CUI 边界。框架映射覆盖 NIST CSF 2.0（GV.OC-03、GV.SC-01、ID.AM-08、ID.RA-05、PR.AA-01、PR.DS-01）与 MITRE ATT&CK（T1078、T1190、T1041、T1048、T1567）。

1. 适用性判定与 CUI 类别

报告实例的第一节回答“为什么适用 Level 2”。模板中的事实链如下：

• 合同驱动因素：作为分包商承接了含 DFARS252.204-7012（CUI 保护与事件报告）和-7021（CMMC 要求）条款的总包合同；合同中存在 CUI →必须达到 CMMC Level 2。
• CUI 类别（来自合同 + DoD CUI Registry）：受控技术信息（Controlled Technical Information, CTI）、出口管制信息（EAR 管制）。
• 目标评估路径：三年一次（Triennial）的C3PAO认证评估（Phase 2 自 2026-11-10 起适用）。

判定规则来自 SKILL.md 的工作流第 1 步：合同中存在 CUI 即触发 Level 2；仅含 FCI（Federal Contract Information）的合同只需 Level 1（即 FAR 52.204-21 的 15 项要求）。CUI 类别必须对照合同与 DoD CUI Registry 双重确认。前置条件还包括：识别所有接触 CUI 的外部服务提供商（ESP）/云服务商及其是否满足FedRAMP Moderate（或等效性），并在 SSP 中记录责任划分（CRM）。

2. 评估范围：五类资产分类法

范围划定遵循 CMMC Level 2 Scoping Guide，将环境中每个资产归入五类。模板示例中该 DIB 制造商的分类如下：

边界说明（Boundary note）：CUI 被限制在 Enclave-1 内，背后是分段隔离与 MFA；模板特意说明这是“刻意最小化”以缩小评估面，并引用网络图CUI-boundary-v3（实际使用时替换为自有网络图编号）。

各官方类别的处理方式（见 references/standards.md）：

SKILL.md 对此给出明确工程判断：“刻意缩小范围—— 一个更小、分段良好的 CUI enclave 远比扁平网络便宜得多”。这是整个合规策略中最具杠杆率的动作：先分段，再投资控制。

3. 控制状态：NIST SP 800-171 Rev 2 的 14 个控制族

Level 2 要求实现110 项安全要求，分布在 3.1–3.14 共 14 个族中。各族的官方要求数如下（引自 references/standards.md，单项要求的评估目标定义在 NIST SP 800-171A 中）：

模板第 3 节给出该示例组织的按族汇总状态（完整逐项状态放在 SSP 中，报告只做汇总）：

即缺口集中在 4 项 not met + 1 项 partial。SKILL.md 建议的“高杠杆早期胜利”包括：MFA（3.5.3）、FIPS 认证加密（3.13.11）、审计日志（3.3.x）、访问控制与最小权限（3.1.x）、事件响应（3.6.x）。注意一个易被忽视的细节：SSP 文档缺失本身就是失败项（3.12.4）。

4. SPRS 分数：DoD Assessment Methodology 的算术实现

模板第 4 节的评分结果：

• 得分：97 / 110（从 110 起扣 13 分）；
• 距满分差距：13 分，对应 4 项 not met + 1 项 partial；
• 条件认证门槛（≥ 88）：达到（余量 9 分）——若剩余项均为 POA&M 合格项，则可有资格获得 Conditional 状态；
• 上报 SPRS 的内容：分数、SSP 日期、评估范围。

这些数字由 scripts/process.py 从控制状态 JSON 计算得出。脚本源码中的关键常量与规则（START_SCORE = 110，CONDITIONAL_THRESHOLD = 88 # 80% of 110，VALID_WEIGHTS = {1, 3, 5}）印证了评分规则：

• 从110起算，每个NOT MET要求扣除其加权分值（1、3 或 5 分，权重由 DoD Assessment Methodology 官方定义，脚本注释明确“本工具不臆造权重”，输入 JSON 必须提供每条要求的官方权重）；
• 部分得分（partial）仅适用于少数允许的控制（脚本注释点名 3.5.3 MFA 与 3.13.11 FIPS 加密），需额外提供partial_deduction字段，取值范围 0..weight，超出即报错；
• 方法学下限为−203（因权重放大，扣减可以超过 110 的起始分）；
• 状态取值限定为met | not_met | partial | na，任何非法状态或非法权重都会让脚本以ValueError中断并返回退出码 2。

输入 JSON 的结构（摘自脚本 docstring）：

{ "org": {"name": "Acme Defense LLC", "scope": "CUI enclave"}, "requirements": [ {"id": "3.1.1", "family": "3.1", "status": "met", "weight": 5}, {"id": "3.5.3", "family": "3.5", "status": "partial", "weight": 5, "partial_deduction": 3}, {"id": "3.3.1", "family": "3.3", "status": "not_met", "weight": 5}, {"id": "3.8.9", "family": "3.8", "status": "not_met", "weight": 1}, {"id": "3.2.1", "family": "3.2", "status": "na", "weight": 1} ] }

运行方式与 CI 门禁用法：

python process.py --input controls.json [--output readiness.md] python process.py --input controls.json --require-conditional # 分数 < 88 时以退出码 1 结束

--require-conditional让该脚本可直接嵌入持续合规流水线：分数未达 88 时构建失败。渲染输出（render函数生成）与模板报告同构：SPRS 分数小节（含距 110 的差距与 88 门槛判定）、按族状态表、POA&M 资格检查小节（列出扣减 >1 分的所有未满足项，并提示“最高权重安全要求通常不能留在 POA&M 上，需逐项对照 32 CFR Part 170 核验”），末尾固定附注“所有 POA&M 项必须在180 天内关闭，Conditional 才能转 Final”。

5. POA&M：资格核查与 180 天转换

模板第 5 节的 POA&M 表（已做资格核查）如下：

模板给出的关键结论：两个 3 分项和一个 5 分项必须通过资格复核—— 按 CMMC 规则，最高权重安全要求通常不能留在 POA&M 上，须全部满足。所有条目须在180 天内关闭，以将 Conditional 转为Final。

这三条约束在 references/standards.md 的 POA&M 规则中逐条对应：

1. Conditional 状态仅当评估分数≥ 80%（110 分中的 88 分）时允许；
2. 仅POA&M-eligible要求可以延后；最高权重要求原则上必须完全满足；
3. 全部 POA&M 项180 天内关闭，关闭评估后将 Conditional 转为 Final。

process.py的poam_flags逻辑正是对规则 2 的自动化执行：任何扣减超过 1 分的 not met/partial 项都会进入标记列表并按分值降序输出，强制人工对照法规复核。

6. 评估路径与分阶段落地时间表

模板第 6 节确定评估路径：

• 类型：C3PAO 认证评估；
• 目标窗口：2026 年 Q4，且在高权重项 POA&M 关闭之后；
• 声明责任人：[senior official]（高管）在 SPRS 中提交年度合规声明（affirmation），使用时替换为实际人选。

三个 CMMC 级别与评估方式的完整对比：

认证有效期3 年，期间由高管在 SPRS 中做年度声明。references/standards.md 还给出了收购规则的分阶段时间表：

法规引用基线：CMMC 项目规则32 CFR Part 170（2024-12-16 生效）、DFARS 收购规则252.204-7021（2025-09-10 发布，2025-11-10 生效）、DFARS 252.204-7012（CUI 保护/事件报告，现行）、DFARS 252.204-7019/-7020（800-171 自评估 + SPRS 上报，现行）。模板第 1 节引用 Phase 2 于 2026-11-10 生效，与上表一致。

7. 整改路线图：先按分值、再按工作量排序

模板第 7 节给出的执行顺序：

1. 3.3.1 审计日志（5 分）—— 最大的分数杠杆，且很可能 POA&M 不合格 →最先做；
2. 3.13.11 FIPS 加密（3 分）与3.5.3 MFA 缺口（3 分）—— 关闭以消除资格风险；
3. 3.8.9、3.14.1（各 1 分）—— 低成本清理项，在 C3PAO 日期前完成；
4. 每关闭一项后重跑 SPRS 计算器，目标是在评估前达到110。

这一排序逻辑与 SKILL.md “Common Scenarios” 中的建议一致：分数低于 88 时，优先关闭最高权重未满足项（先 5 分、再 3 分）以越过条件门槛并压缩 POA&M。其余常见场景：总分包向分包商传递 CUI（分包商需自建 Level 2 范围、SSP、SPRS 分数与 C3PAO 认证）、云侧持有 CUI（确认 FedRAMP Moderate 授权或等效性并记录责任划分）、扁平网络（先重新分段缩小评估面再做控制）、年度声明到期（高管须在 SPRS 提交声明，逾期有合同资格风险）。

8. 复现步骤：从控制状态 JSON 到就绪报告

将上述实例落地为可复现流程：

1. 确定适用性：核对合同中的 DFARS 条款（7012/7019/7020/7021）与 CUI 类别，确认 Level 2；
2. 划定范围：按五类资产法列出资产清单与 CUI 边界图，能隔离的坚决隔离（如模板中的 Enclave-1 VLAN + MFA）；
3. 逐项评估 110 项要求：每项记录id、family、status、weight（官方权重取自 DoD Assessment Methodology），partial 项补充partial_deduction；
4. 运行计算器：

   python skills/achieving-cmmc-level-2-compliance/scripts/process.py \ --input controls.json --output readiness.md

   输出即报告第 3/4 节所需的按族状态表与 SPRS 分数（97/110 的实例即如此得出）；

5. 核查 POA&M 资格：处理脚本输出的 >1 分未满足项标记，对照 32 CFR Part 170 确认哪些可延后；
6. 按第 7 节路线图整改，每项关闭后重跑第 4 步；
7. 提交评估：C3PAO 认证（Level 2 主流路径），高管在 SPRS 完成分数、SSP 日期、评估范围的上报与年度声明；
8. 维持认证：三年周期内维护 SSP、变更即重评分、证据常新。

工具与系统清单

技能声明的配套工具（见 SKILL.md “Tools & Systems”）：NIST SP 800-171 Rev 2（110 项要求）与 800-171A（评估目标）、DoD Assessment Methodology（评分权重）、32 CFR Part 170 与 DFARS 252.204-7021（规则依据）、SPRS（分数上报）与 SAM.gov（注册）、SP 800-172/172A（Level 3 增强要求）、GRC/合规工具（管理 SSP、POA&M 与证据）。

说明：本报告实例中的组织名、日期、负责人与网络图编号（如CUI-boundary-v3）均为模板占位内容，实际使用时应替换为自有组织数据；法规生效日期以官方最新发布为准。

【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATT&CK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF & MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI & 20+ platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills