Las diferencias entre las autoevaluaciones heredadas (DFARS 252.204-7019) y las autoevaluaciones de CMMC Nivel 2 (DFARS 252.204-7021) están llevando a los contratistas de defensa a un duro despertar: ya no deciden qué requisitos pueden implementar o postergar durante una implementación de NIST 800-171. Identificar los requisitos "innegociables" que dicta el programa CMMC evita escenarios futuros en los que un solo requisito faltante anule la elegibilidad para la adjudicación de un contrato o exponga a la organización a la False Claims Act.
Requisitos antiguos vs. nuevos de CMMC Nivel 2
Las autoevaluaciones realizadas bajo DFARS 252.204-7019 (Aviso de requisitos de evaluación del DoD según NIST SP 800-171) y DFARS 252.204-7020 permitían a los contratistas reportar cualquier puntaje, desde un "ni siquiera he comenzado" de -203 hasta un puntaje perfecto de 110, usando la Metodología de Evaluación del DoD (DoDAM).
Las autoevaluaciones de CMMC Nivel 2 se puntúan usando la metodología de puntuación del DOD CMMC, y DFARS 252.204-7997 (que reemplaza tanto a 252.204-7019 como a 252.204-7020 bajo la renovación de DFARS) ahora dirige las evaluaciones gubernamentales DIBCAC a esa misma metodología.
La verdadera dificultad surge cuando combinas los valores de puntos de CMMC con los requisitos de autoevaluación de la cláusula CMMC de DFARS 252.204-7021. Ahora tu autoevaluación de CMMC tiene un puntaje mínimo que no es evidente en el propio lenguaje de la cláusula contractual.
El nuevo mínimo absoluto
Completar una autoevaluación de CMMC Nivel 2 usa los mismos objetivos de evaluación y valores de puntos que los procedimientos de autoevaluación anteriores, pero hay algunos mandatos exigentes ocultos en 32 CFR 170.21, que establece el umbral para el estado Condicional de Nivel 2 (Auto):
Tu puntaje de autoevaluación debe ser al menos el 80% de los 110 requisitos del modelo, o 88
Debes implementar todos los requisitos que valgan tres (3) o cinco (5) puntos
Además, también se debe implementar una breve lista de requisitos de un punto
Estos requisitos innegociables de NIST 800-171 producen un puntaje de autoevaluación de 64 y representan el 85% de todos los puntos posibles en la metodología de puntuación. Esto significa que tu única flexibilidad real al lograr CMMC Nivel 2 es decidir cuáles de los 24 (de los 46 restantes) requisitos de un punto implementarás para alcanzar un puntaje mínimo de 88 en tu primera autoevaluación presentada al Supplier Performance Risk System (SPRS) del Departamento.
Un reloj en marcha
Con 32 CFR 170.21 estableciendo un nuevo piso para el cumplimiento mínimo, es importante entender qué tan rápido se acerca el "techo" debido a cómo funciona el cierre de "POA&M" en las reglas de CMMC. Según los requisitos de autoevaluación de CMMC, presentar una autoevaluación de CMMC Nivel 2 con cualquier requisito no cumplido inicia un período de 180 días para cerrar esos elementos pendientes. No completar esos elementos y actualizar el estado CMMC en SPRS hará que ese estado Condicional expire después de 180 días.
Cualquier contratista que presente una autoevaluación de Nivel 2 imperfecta debe estar al tanto de este mecanismo, ya que provoca que las autoevaluaciones expiren antes de lo normal. No termines en una situación en la que tu funcionario certificador inicie sesión en SPRS para presentar su afirmación anual, solo para descubrir que tu autoevaluación ha expirado, descalificando silenciosamente a la empresa para las ofertas que pudo haber presentado durante ese período.
Cómo ayuda Huntress
Algunos requisitos de NIST 800-171 exigen capacidades especializadas, no solo políticas escritas, incluyendo monitoreo continuo del sistema, registro y revisión de eventos de seguridad, detección de amenazas y manejo de incidentes. Huntress combina detección y respuesta de endpoints e identidades, recolección y retención de registro de eventos de seguridad, y monitoreo del SOC las 24 horas, los 7 días de la semana, para ayudar a las organizaciones a poner en práctica los requisitos de auditoría y rendición de cuentas, respuesta a incidentes, monitoreo de controles de seguridad e integridad del sistema. También mapeamos nuestros productos a los controles CMMC aplicables y proporcionamos documentación lista para evaluadores, pero cada organización aún debe configurar estas capacidades para su entorno, integrarlas en sus procesos de respuesta y mantener evidencia de que se cumple cada requisito dentro del alcance.
De los 55 requisitos actualmente documentados en los recursos de CMMC de Huntress: 32 son innegociables. En general, los requisitos abordados en la Matriz de Responsabilidad Compartida de Huntress (SRM) suman 164 puntos en la metodología de puntuación de Nivel 2, o el 52 por ciento de todos los puntos posibles.
A medida que lancemos nuevas capacidades, se espera que Huntress contribuya a más requisitos de 800-171 y genere más puntos posibles.
Conclusión
Cuando una solicitud o contrato requiere CMMC Nivel 2 (Auto), un estado Nivel 2 (Auto) vigente y una afirmación en SPRS son una condición para la adjudicación del contrato, y ese estado requerirá un puntaje de implementación de al menos 88 con cada requisito no apto para POA&M cumplido. Los contratistas deben responder rápidamente a este requisito más estricto, completando las implementaciones de NIST 800-171 y presentando una nueva autoevaluación de CMMC Nivel 2 (Auto) en SPRS antes de que la falta de una entrada de evaluación les cueste una adjudicación de contrato o una opción de contrato.
