Con 110 controles por implementar, primero es esencial definir los límites de los requisitos de cumplimiento. Esto evita costos innecesarios por un alcance excesivo, a la vez que protege contra fallas en la auditoría y riesgos de seguridad por un alcance insuficiente.

Identifica todos los activos que procesan, almacenan o transmiten CUI analizando los flujos de datos, y clasifica los activos dentro del alcance según las directrices del DoD (por ejemplo, activos de CUI, activos de protección de seguridad, activos de riesgo gestionado por el contratista).

Una vez definido el alcance, implementa los controles de NIST SP 800-171 Rev. 2, cerrando cualquier brecha técnica y administrativa identificada durante una preevaluación de CMMC. Desarrollar un plan de seguridad del sistema (SSP) es una parte esencial de esta fase. El SSP cuenta la historia del cumplimiento, describiendo quién es responsable de cada control, qué herramientas se usan y cómo se mantiene el control. Las organizaciones que usan proveedores de servicios administrados (MSP) o proveedores de servicios cloud (CSP) también deben documentar las responsabilidades compartidas (a menudo mediante un SRM).

Realiza una revisión final de preparación para confirmar que tu organización está lista para la evaluación formal.

Las evaluaciones CMMC de nivel 2 son realizadas por una organización evaluadora externa (C3PAO). Usando el SSP como guía, el auditor utiliza la metodología "examinar, entrevistar, probar" (EIT, por sus siglas en inglés). Esto consiste en revisar políticas, registros, archivos de configuración y diagramas de red, además de entrevistar al personal para verificar su comprensión de las prácticas de seguridad. Finalmente, los evaluadores validan que los controles técnicos funcionen según lo descrito.

¿Qué buscan los evaluadores? Básicamente, quieren saber que:

• Los controles se aplican de forma consistente en endpoints e identidades.

• Los registros y las alertas demuestran un monitoreo continuo.

• Los procedimientos de respuesta ante incidentes están documentados y son prácticos.

En definitiva, los evaluadores se enfocan en evidencia concreta de que los controles de seguridad están activos, monitoreados e institucionalizados. Si los hallazgos están "cumplidos", se emite un certificado válido por tres años (con afirmaciones anuales requeridas). Para contratos elegibles, si algunos hallazgos no críticos están "no cumplidos", se puede emitir una certificación condicional, que otorga 180 días para corregirlos mediante un POA&M.

Para obtener la certificación C3PAO, las organizaciones deben priorizar tres elementos fundamentales.

El plan de seguridad del sistema (SSP)

El SSP es la principal evidencia. Los evaluadores lo analizan a fondo para asegurarse de que refleje la realidad actual y no sea solo un estado futuro planeado. El detalle es clave para explicar no solo que los controles se cumplen, sino cómo. Por ejemplo: "La MFA se aplica en todas las estaciones de trabajo Windows mediante Duo Security integrado con Active Directory". Las organizaciones deben revisar el SSP al menos una vez al año o después de cambios significativos en el entorno.

Centralización de registros

La centralización de registros mediante un SIEM ofrece evidencia de que los controles funcionan, rastreando las acciones de los usuarios y los controles de seguridad en toda tu red. Las organizaciones suelen conservar los registros durante 12 meses, con al menos tres meses de datos disponibles de inmediato para su análisis. Además de recopilar registros, los SIEM deben configurarse para alertar sobre eventos de seguridad específicos (por ejemplo, múltiples inicios de sesión fallidos, acceso no autorizado a archivos).

Protecciones de endpoints e identidades

Los endpoints son la "primera línea" donde los usuarios interactúan con la CUI. Los evaluadores verifican que todos los dispositivos cuenten con Detección y respuesta para endpoints (EDR) y protección antivirus. Toda la CUI en reposo debe estar cifrada usando FIPS 140-2. Las organizaciones también deben demostrar escaneos de vulnerabilidades regulares y un ritmo de parcheo, con plazos acelerados para vulnerabilidades críticas (15 días es lo común).

Los evaluadores se enfocan en gran medida en quién tiene acceso. La MFA es obligatoria para todas las cuentas, y a los usuarios y dispositivos se les deben otorgar solo los privilegios necesarios. Prepárate para mostrar un proceso documentado de aprobación para otorgar acceso y evidencia de revisiones de acceso regulares.

Alcanzar el cumplimiento de CMMC de nivel 2 no es barato. Implementar los 110 controles requeridos, como el monitoreo continuo, exige una inversión significativa en tiempo, personal y tecnología, especialmente si tu empresa parte de un estado inmaduro. 

Una evaluación de terceros de CMMC puede representar una inversión importante, especialmente para organizaciones que parten de una base de seguridad inmadura. Los costos varían según el alcance y el nivel de preparación, pero un alcance inexacto y la falta de preparación pueden disparar rápidamente los gastos por remediación, rediseño de arquitectura y cierre de esfuerzos de POA&M. Por eso, validar la preparación desde el principio y ajustar el tamaño de tu entorno son pasos de CMMC fundamentales para controlar tanto el costo como la complejidad.

Sin embargo, dado el costo potencial de las vulnerabilidades de seguridad, la inversión en cumplimiento vale la pena. Los actores respaldados por estados apuntan cada vez más a proveedores para robar propiedad intelectual y datos estratégicos de defensa. Además de perjudicar la seguridad nacional, estas filtraciones pueden ser devastadoras para los contratistas, con un costo promedio de $4.44 millones. Una encuesta global a pequeñas y medianas empresas reveló que, tras sufrir un ciberataque, casi el 20% de las pymes cierra o se declara en bancarrota.

Los servicios de seguridad administrados pueden ayudar a reducir el costo del cumplimiento. En lugar de intentar crear internamente el centro de operaciones de seguridad (SOC) para cumplir con los requisitos, las organizaciones pueden usar tecnología como Huntress, impulsada por un SOC humano disponible 24/7, para dar soporte a los controles en múltiples dominios de CMMC:

• Managed EDR aborda los dominios de Respuesta a Incidentes (IR) e Integridad del Sistema y la Información (SI) mediante el seguimiento y la generación de informes de incidentes, además de proteger contra código malicioso.

• Managed ITDR corresponde al dominio de Identificación y Autenticación (IA), monitoreando credenciales comprometidas y la escalada de privilegios no autorizada.

• Managed SIEM da soporte al dominio de Auditoría y Responsabilidad (AU) mediante la recopilación centralizada de registros y el monitoreo de eventos de seguridad.

Descubre cómo Huntress puede ayudarte a poner en práctica los controles de CMMC y a contar con la documentación lista para el evaluador que te ayuda a certificarte más rápido.