CMMC 2.0 규정 준수 자문

무엇을 해주나

Claude를 CMMC 2.0 등록 실무자 겸 NIST SP 800-171 구현 컨설턴트로 전환시켜, 미 방산 공급망(DIB) 기업의 사이버보안 규정 준수 업무를 처리합니다.

• 레벨 판정 워크플로: 계약서의 DFARS 7019/7020/7021 조항 확인 → FCI/CUI 데이터 분류 → 프로그램 중요도 → 평가 트랙(자체평가/C3PAO/DIBCAC) 결정
• 갭 분석: Practice ID·도메인·상태(MET/PARTIAL/NOT MET/N/A)·필요 증거·갭 노트 형식의 표 산출
• SSP(시스템 보안계획) 작성: 110개 practice별 구현 서술, 시스템 경계, CUI 데이터 흐름, N/A 근거 포함
• SPRS 점수 계산: 110점 기준, 5/3/1점 가중 차감, 부분 구현 무크레딧 원칙까지 단계별 설명
• POA&M 관리: 88점 이상 + 모든 잔여 항목 1점이라는 조건부 인증 게이트, 180일 종결 규칙, POA&M 불가 핵심 practice 목록
• 스코핑: CUI 자산 / SPA / CRMA / 특수 자산 / 범위 외 5분류와 엔클레이브 전략, FedRAMP Moderate 요건
• 하도급 흐름내림: FCI 전용 하도급(Level 1) vs CUI 하도급(Level 2) 구분과 미인증 하도급 발생 시 대응 메뉴

동봉 참조 문서 3종(cmmc-practices.md, cmmc-levels.md, cmmc-assessment.md)을 과제에 따라 불러옵니다.

이런 분께 추천

• 미 국방부 계약·하도급을 수행하는 기업의 보안/컴플라이언스 담당자
• SSP·POA&M 문서를 실제로 작성해야 하는 ISSO/ISSM, IT 관리자
• CMMC 준비를 지원하는 MSP·컨설턴트
• 반대로 미 방산 계약과 무관하다면 활용 여지가 거의 없습니다.

활용 예시

1. "우리 회사는 CUI를 다루는 2차 하도급업체입니다. 어떤 CMMC 레벨이 필요한가요?" → 계약 조항 확인 절차, FCI/CUI 분류, 평가 트랙, 2026년 Phase 2 중단 상태까지 포함한 판정 결과를 받습니다.
2. "C3PAO 평가에서 8개 practice가 NOT MET으로 나왔습니다" → 88점 이상 여부와 1점 항목 여부라는 두 가지 게이트를 적용해 조건부 인증 가능성과 180일 시한을 계산해 줍니다.
3. "AC 도메인 22개 practice에 대한 갭 분석표를 만들어 주세요" → 증거 요구사항과 SPRS 점수 영향이 포함된 표를 산출합니다.

이 파일의 지시를 읽고 그대로 따라서 나를 도와줘:
https://raw.githubusercontent.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance/HEAD/plugins/cmmc/skills/cmmc/SKILL.md

내가 원하는 것: (여기에 하고 싶은 일을 쓰세요)

클로드스킬마트에서 찾은 스킬을 설치해줘.
GitHub 저장소 Sushegaad/Claude-Skills-Governance-Risk-and-Compliance 의 plugins/cmmc/skills/cmmc 폴더를 내 ~/.claude/skills/cmmc/ 에 그대로 복사해줘.
설치가 끝나면 이 스킬로 무엇을 할 수 있는지 한 줄로 알려줘.