Muchos MSP están viendo la Certificación del Modelo de Madurez de Ciberseguridad (CMMC) y ven una oportunidad. Y por buenas razones.
El trabajo con el sector de defensa puede ser lucrativo, y los clientes son serios. Aunque las apuestas son más altas, puede parecer el siguiente paso para tu negocio. Pero eso no significa que todo MSP deba lanzarse de inmediato.
CMMC no es solo otra casilla por marcar. Pone presión real sobre cómo funciona realmente tu negocio. Tus herramientas sin duda importan, pero también tus políticas, tu documentación, tus controles de acceso, tus proveedores y tu capacidad de demostrar qué pasó después de los hechos. Esa última parte suele ser donde las cosas se vuelven incómodas.
No hay duda de que tu equipo hace un gran trabajo, pero si dependes mucho de la velocidad, la memoria y el pensamiento de "sabemos cómo funciona esto aquí", el trabajo regulado puede exponer eso rápidamente. Por eso, antes de ir tras negocios relacionados con CMMC, se recomienda examinar de cerca algunas cosas primero.
¿Puede tu negocio soportar el escrutinio?
Muchos MSP hablan del cumplimiento normativo como si fuera un simple proyecto técnico. Lamentablemente, es mucho más que eso. Es un modelo operativo.
Alguien tiene que hacerse cargo de verdad, y no puede ser solo la persona que sabe más o el líder técnico que lo carga junto con sus otras tareas. Tiene que ser alguien con suficiente autoridad para hacer cumplir los procesos, incluso cuando eso ralentiza a la gente, crea fricción o dificulta cumplir con la solicitud de un cliente.
Eso también significa que tu negocio no puede depender de hazañas heroicas. Si tu mejor gente mantiene todo en pie a pura fuerza de voluntad, eso puede funcionar en un negocio de servicios ágil. El problema es que no se sostendrá tan bien cuando un cliente, un evaluador o la cronología de un incidente pida un registro claro de quién hizo qué, qué se aprobó y si se siguieron los procesos.
Además, si tus proveedores no pueden explicar con claridad qué parte de la carga de cumplimiento normativo cubre su producto, tu equipo podría terminar adivinando mucho más de lo esperado. CMMC exige que los MSP den una visión coherente de "quién hace qué" mediante una Matriz de Responsabilidad Compartida (SRM). Si tus proveedores no pueden describir cómo cumplir con los requisitos del Instituto Nacional de Estándares y Tecnología (NIST) SP 800-171 usando sus herramientas, estarás solo en esto.
¿Sabes dónde pueden terminar los datos confidenciales?
Aquí es donde muchos equipos se meten en problemas. Como MSP, podrías decir: "Nosotros no manejamos ese tipo de datos". Pero, ¿estás seguro de eso?
Ten en cuenta que los archivos se adjuntan a los tickets, los registros acumulan más de lo que la gente cree, y las herramientas de seguridad ingieren una gran cantidad de datos. Además, los clientes envían las cosas equivocadas al lugar equivocado todo el tiempo. Una gestión de soporte que parece normal puede meter datos confidenciales en tu infraestructura antes de que nadie se detenga a pensarlo. Ese es el problema.
Si tu postura es que tu equipo no debería manejar ciertos tipos de datos, tus sistemas deben respaldar eso. Las barreras de protección son importantes. También lo son los acuerdos claros con los clientes sobre qué pueden recopilar, almacenar o mover tus herramientas.
No quieres descubrir a mitad de un proyecto que tu propia tecnología te convirtió en parte del problema.
¿Tus controles de personal son lo bastante sólidos?
El trabajo regulado eleva el estándar en incorporación, baja de personal, revisiones de acceso, capacitación y verificación de antecedentes. Si tu cliente necesita demostrar quién tuvo acceso autorizado a un sistema, y tus registros internos son descuidados, eso es mucho más que un problema de papeleo. Es un problema de confianza.
Lo mismo aplica para entornos con restricciones de control de exportaciones. Si tus clientes manejan trabajo sensible bajo el Reglamento sobre el Tráfico Internacional de Armas (ITAR) o el Reglamento de Administración de Exportaciones (EAR), tus prácticas internas deben respaldar esas restricciones sin fallas.
¿Tus hábitos de acceso coinciden con lo que les dices a los clientes que hagan?
Este es uno de los lugares más fáciles para detectar una brecha de madurez. Es fácil decirles a los clientes que bloqueen todo, pero es más difícil hacerlo dentro de tu propia empresa cuando todos quieren menos clics y acceso más rápido.
Sin embargo, si tu equipo todavía vive en una cultura donde demasiadas personas tienen demasiado privilegio, eso hay que resolverlo. Los hábitos de administrador compartido, el acceso amplio y permanente, y la responsabilidad poco clara son todos problemas en un entorno regulado.
Quieres cuentas nominales. Quieres MFA donde se necesite. Quieres una separación clara entre el trabajo diario y el acceso elevado. Y quieres un registro que muestre quién actuó y cuándo. Después de todo, si se espera que tus clientes vivan según el principio de mínimo privilegio, tu equipo no debería ser la excepción.
¿Puedes mostrar el trabajo, no solo describirlo?
En entornos menos regulados, los equipos pueden salir adelante con alguna versión de "sí, hacemos eso". Esa respuesta se ve débil en cuanto la evidencia importa.
¿Puedes producir registros, historiales de acceso, historial de cambios, registros de capacitación, registros de remediación y registros de incidentes sin que se convierta en una búsqueda del tesoro? ¿Las marcas de tiempo son consistentes? ¿Los sistemas están configurados de forma que la evidencia sea confiable? ¿Los entornos de los clientes están lo bastante estandarizados como para que puedas explicar cómo se ve "lo normal"?
Si la respuesta está atrapada en su mayoría en la cabeza de las personas, eso es un problema. El trabajo de CMMC no solo pregunta si hiciste lo correcto. Pregunta si puedes demostrarlo.
¿Tu respuesta a incidentes aguanta cuando empieza a correr el reloj?
Un plan de respuesta en papel es una cosa. Un incidente real un fin de semana es otra.
Si tu cliente tiene obligaciones de reporte ligadas a ventanas de descubrimiento, tu equipo necesita saber quién recibe la alerta, quién toma la decisión, quién preserva la evidencia, quién habla con el cliente y quién ayuda a evitar que todo se convierta en un caos.
Más específicamente, ¿puede tu equipo ganarle al plazo de 72 horas? Según las DFARS 252.204-7012, los incidentes cibernéticos deben reportarse dentro de las 72 horas posteriores a su descubrimiento. Esto también significa que necesitas enviar muestras de malware y ayudar con las evaluaciones de daños.
Para mantener el cumplimiento, necesitas un equipo de respuesta disponible las 24 horas, los 7 días de la semana. No dejes que las noches, los fines de semana o los días festivos pongan en riesgo la capacidad de tu cliente para cumplir con este plazo de reporte crítico.
¿Y si la respuesta es "no", o "todavía no"?
No todos los MSP necesitan perseguir trabajo de CMMC directamente. Si dar soporte a entornos de defensa regulados no encaja bien con tu negocio, eso no significa que debas alejarte por completo de esos clientes.
En muchos casos, la jugada más inteligente es construir una relación de referidos con un MSP enfocado en CMMC que ya tenga la madurez operativa, la documentación y los procesos en marcha. Eso les da a tus clientes del DoD un mejor camino a seguir sin obligar a tu equipo a asumir un trabajo para el que no está listo.
Huntress puede ayudarte a conectar con el socio adecuado si esa es la dirección que quieres tomar.
Si planeas avanzar, no empieces desde cero. Gran parte del esfuerzo es documentación, y ese trabajo avanza más rápido cuando empiezas con modelos comprobados. Cuanto más puedas estandarizar desde el principio en torno a roles, responsabilidades, controles y evidencia, menos tiempo pasará tu equipo reinventando el proceso sobre la marcha.
Entonces, ¿debería tu MSP perseguir trabajo de CMMC?
Tal vez. Y si la respuesta es no, o todavía no, esa también puede ser la decisión correcta.
La razón correcta para hacerlo no es que el mercado se vea atractivo. La razón correcta es que tu negocio puede manejar la disciplina que esto conlleva. Tienes responsabilidad real. Eso significa procesos reales, controles reales y evidencia real. Y un equipo que puede mantenerse firme con confianza cuando alguien lo examine más de cerca.
Si todavía no llegas a ese punto, no hay problema. “Todavía no” es una respuesta mucho mejor que decir "sí" demasiado pronto y descubrir después que tu operación nunca estuvo preparada para este tipo de presión.
CMMC puede abrirte puertas. Pero también puede exponer cada lugar donde tu MSP todavía depende de la intuición para compensar sistemas débiles. Es mejor descubrirlo ahora.
Recursos adicionales sobre CMMC de Huntress
Huntress se puede usar en entornos CMMC de Nivel 2 para ayudar a respaldar 55 de los 110 controles. Para obtener más información, visita la página de CMMC de Huntress.
Si ya eres cliente de Huntress, también puedes visitar el Huntress Trust Center para descargar documentación y recursos gratuitos.
¿Necesitas profundizar en las complejidades de CMMC? Revisa las alianzas de Free CMMC Expert Consultation que Huntress ha establecido.
Ryan Bonner es el fundador y CEO de DEFCERT. Ryan ha liderado proyectos de transformación del cumplimiento de DFARS y CMMC para más de 150 contratistas en la Base Industrial de Defensa (DIB), a menudo con la participación de MSPs.
