CMMC 2.0 es la última versión del estándar de cumplimiento de ciberseguridad del DoD. Es esencialmente el marco que las organizaciones deben usar para proteger información sensible al trabajar con el gobierno, como Información de Contratos Federales (FCI) o Información No Clasificada Controlada (CUI).

CMMC 2.0 es importante para los contratistas y subcontratistas que hacen negocios con el gobierno federal. El incumplimiento podría significar la imposibilidad de participar en licitaciones de contratos del DoD, pagos retrasados o sanciones. Adoptar los requisitos de CMMC 2.0 de forma temprana pone a las organizaciones en una posición ventajosa para ganar contratos del DoD y generar credibilidad con los socios.

Entender tu nivel requerido es el primer paso para lograr el cumplimiento de CMMC 2.0. 

Los niveles se alinean con el tipo de datos que manejas y tus relaciones comerciales con el DoD:

• Nivel 1: Higiene cibernética fundamental

• Implementa los 15 requisitos básicos de protección de FAR 52.204-21

• Autoevaluación anual con afirmación anual en SPRS
  
  

• Nivel 2: Ciberseguridad avanzada

• Diseñado para organizaciones que requieren ciberseguridad adicional para manejar CUI

• Requiere una evaluación de un tercero por parte de una Organización de Evaluación de Terceros Certificada (C3PAO)
  
  

• Nivel 3: Experto

• Para el manejo de CUI vinculada a los programas más sensibles, como la seguridad nacional

• Evaluación dirigida por el gobierno, realizada por el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBAC) cada tres años

• Agrega un subconjunto de 24 requisitos de NIST SP 800-172

Cambios clave respecto a CMMC 1.0

• Menos niveles de CMMC: el marco original de cinco niveles se simplificó a tres niveles.

• Se eliminaron muchas prácticas personalizadas: la nueva versión elimina muchos requisitos complejos y específicos de cada organización.

Mayor alineación con NIST 800-171: los requisitos del Nivel 2 ahora siguen de cerca este estándar federal de ciberseguridad.

Lograr el cumplimiento de CMMC 2.0 puede parecer abrumador, pero dividirlo en pasos claros y concretos puede simplificar el proceso. 

1. Identifica tu nivel de CMMC requerido: determina qué nivel aplica según la información que manejas y tu rol en la cadena de suministro del DoD.

2. Contrata a un consultor para realizar una evaluación de brechas: trabaja con un consultor certificado para evaluar tu postura de ciberseguridad actual frente a los requisitos de tu nivel designado. 

3. Desarrolla e implementa un plan de seguridad del sistema (SSP): documenta tus políticas, procedimientos y controles de seguridad. Se recomienda trabajar con un consultor y/o una plataforma GRC.

4. Implementa los controles de seguridad necesarios: para el Nivel 2, implementa las 110 prácticas de seguridad de NIST 800-171. Se recomienda trabajar con un consultor y/o una plataforma GRC.

5. Documenta cualquier brecha restante en un POA&M: crea un Plan de Acción e Hitos (POA&M) con plazos para las brechas que no puedas remediar de inmediato. Se recomienda trabajar con un consultor y/o una plataforma GRC.

6. Programa tu evaluación: organiza una autoevaluación (Nivel 1), una evaluación de terceros (Nivel 2) con un C3PAO, o una evaluación dirigida por el gobierno (Nivel 3). Comienza esto con anticipación, ya que una vez que una cláusula de CMMC aparece en una solicitud, tu estado debe estar actualizado en SPRS al momento de la adjudicación del contrato. Ten en cuenta que se puede aceptar un estado condicional de Nivel 2 o Nivel 3 por hasta 180 días para cerrar POA&Ms elegibles.

7. Garantiza el cumplimiento continuo: implementa monitoreo continuo, realiza auditorías internas y actualiza los controles de seguridad a medida que evolucionan las amenazas.

8. Planifica para los desencadenantes de reevaluación:  una certificación de Nivel 2 es válida por tres años, a menos que hagas un cambio en tu entorno certificado que requiera una reevaluación.

Detalles clave de la aplicación de CMMC 2.0:

• Cuando DFARS 252.204-7021 está incluido en un contrato, se requiere el estado de CMMC (final o condicional) al momento de la adjudicación del contrato y debe registrarse en SPRS

• La nueva versión se está implementando gradualmente con el tiempo

• La urgencia del ahora: los contratistas principales del DoD ya están solicitando documentación a los subcontratistas sobre su certificación o fechas de evaluación planificadas, así que no te demores

Expectativas específicas por nivel

• Nivel 1: autoevaluación anual

• Nivel 2: evaluación de terceros para organizaciones que manejan CUI una vez cada tres años

• Nivel 3: implementa requisitos de seguridad mejorados de NIST SP 800-172 y es evaluado exclusivamente por el gobierno (DIBCAC)  para programas altamente sensibles

Desde guías oficiales del DoD hasta las herramientas personalizadas y el soporte experto de Huntress, estos recursos están diseñados para simplificar la implementación, fortalecer la postura de seguridad y mantener tu organización lista para auditorías.

Recursos oficiales del DoD, CyberAB y NIST

• Descripción general del modelo CMMC y guías de evaluación

• Mercado de CMMC para evaluadores y consultores certificados

• NIST SP 800-171: Protección de CUI en sistemas no federales

• NIST SP 800-171A: Procedimientos de evaluación

Herramientas y soporte de Huntress

• Plataforma de Huntress para una preparación integral ante CMMC, con monitoreo continuo y detección de amenazas en endpoints, gestión de información y eventos de seguridad (SIEM), y detección y respuesta de amenazas a la identidad (ITDR) 

• Documentación lista para evaluadores que ayuda a reducir semanas en tu cronograma de certificación

Huntress combina protección de endpoints, monitoreo de registros, detección de amenazas de identidad y security awareness training en un solo stack de seguridad con monitoreo continuo, y ofrece la documentación lista para auditorías necesaria para reducir semanas del proceso de evaluación.

¿Te estás preparando para la certificación? Descubre cómo agilizar tu preparación para la evaluación CMMC con Huntress.