CMMC es un conjunto de regulaciones de cumplimiento que el DoD usa para evaluar qué tan bien los contratistas de defensa detectan, previenen y abordan las amenazas de ciberseguridad. El Supplier Performance Risk System (SPRS) del DoD almacena tus puntajes de autoevaluación y los resultados de la evaluación CMMC para los tres niveles de CMMC. La mayoría de los contratistas buscan alcanzar el Nivel 2.

Nota: el Nivel 3 requiere técnicas de ciberseguridad muy avanzadas, por lo que está fuera del alcance de la mayoría de las organizaciones.

Requisitos del Nivel 1 de CMMC

El Nivel 1 de CMMC es el nivel de cumplimiento más básico. Significa que puedes manejar información de contratos federales (FCI) de bajo riesgo, como registros administrativos o información financiera no sensible.

Para calificar, completas una autoevaluación según 15 requisitos básicos de protección de FAR 52.204-21 y envías tus resultados en SPRS cada año.

Requisitos del Nivel 2 de CMMC y dónde las organizaciones suelen quedarse cortas

El Nivel 2 de CMMC significa que puedes ofertar en proyectos que involucran información no clasificada controlada (CUI). Esto incluye datos técnicos militares y vulnerabilidades de seguridad.

El Nivel 2 de CMMC es mucho más exhaustivo que el Nivel 1. Requiere que tú y tus subcontratistas implementen 110 controles de seguridad diferentes. El National Institute of Standards and Technology (NIST) establece estas regulaciones en sus lineamientos NIST SP 800-171.

Aún puedes obtener acceso limitado a algunos contratos del DoD aunque no obtengas un puntaje perfecto de 110, pero la mayoría de los trabajos requieren el cumplimiento total.

La razón más común por la que las empresas se quedan cortas es la falta de el centro de operaciones de seguridad (SOC) dedicado que brinde monitoreo continuo, gestión de registros y documentos formales de estrategia. Ejemplos de estos documentos son un plan de seguridad del sistema (SSP) o un Plan of Action and Milestones (PoA&M).

Una solución administrada, como Huntress, cubre esas brechas sin aumentar tu nómina ni complicar tu configuración de ciberseguridad.

Alcanzar el CMMC Nivel 2 significa asegurarte de que tu ciberseguridad y tus sistemas de información sean lo más maduros posible. Aquí tienes una guía paso a paso para optimizar el proceso de certificación CMMC.

Paso 1: Forma un equipo

Reúne a un equipo con tus mejores expertos en TI: las personas que conocen a fondo tus sistemas de información y controles de seguridad. Pídeles que descarguen toda la documentación de la revisión más reciente de NIST y empiecen a revisarla. La hoja de cálculo de análisis de cambios incluida es particularmente útil.

Paso 2: Define tu límite de evaluación para acotar el alcance

Realiza una auditoría interna para identificar a las personas, procesos y hardware que necesitas para manejar datos sensibles y proyectos seguros. Empieza a configurar las herramientas y la arquitectura de información que necesitará la gente para trabajar.

Paso 3: Realiza un análisis de brechas frente a todos los requisitos de NIST SP 800-171

Revisa los 110 controles de seguridad listados en el Capítulo Tres de NIST SP 800-171 y anota cada práctica con la que no cumples. Ten en cuenta que un tercero auditará tus esfuerzos más adelante, así que sé estricto en tu autoevaluación. Haz que todo el equipo compare sus notas y acuerde qué criterios cumplen y cuáles no.

Paso 4: Documenta tu plan de seguridad del sistema

Divide las brechas de cumplimiento en grupos y asigna cada uno a un miembro del equipo. Luego, descarga una copia de la plantilla SSP de NIST y haz que cada persona complete su parte del documento. Por ejemplo, la persona responsable de los criterios de "Mantenimiento" y "Protección de medios" completaría las secciones 3.7 y 3.8.

Paso 5: Crea un plan de acción e hitos para las brechas identificadas

Pide a cada miembro del equipo que descargue la plantilla de Plan de Acción e Hitos de CUI (PoA&M). Haz que completen una fila por cada elemento que marcaron como "Planeado para implementarse" en el SSP. Deben incluir los hitos necesarios, plazos estimados y puntos de contacto. Luego, combina todos estos documentos en una hoja de cálculo centralizada. Esto le dará a todos una visión clara del proyecto.

Paso 6: Implementa controles técnicos

Ahora empieza el verdadero trabajo: poner en marcha los controles de seguridad necesarios para cumplir con los 110 criterios. Esto requerirá tiempo, esfuerzo y colaboración, así que programa reuniones regulares donde los miembros del equipo puedan presentar informes de avance. Antes de marcar un hito como completado, asegúrate de que todos actualicen los documentos correspondientes.

Una vez que todos hayan terminado su parte del proyecto, realiza una autoevaluación CMMC Nivel 2 para verificar que la empresa cumple con todos los requisitos. Podría tomar varios intentos llegar a este punto, así que prepárate para retroceder, actualizar tu PoA&M e intentarlo de nuevo.

Paso 7: Contacta a una Organización de Evaluación de Terceros de CMMC (C3PAO)

Contacta a un C3PAO de buena reputación en el mercado de Cyber AB y organiza una evaluación CMMC Nivel 2. Entrega los documentos y credenciales temporales que necesiten para realizar la auditoría. No te desanimes si no pasas tu evaluación; a la mayoría de las organizaciones les toma varios intentos lograrlo.

Cuando apruebes, el C3PAO enviará tu solicitud al SPRS para su aprobación. Inicia sesión en SPRS y completa los formularios para solicitar la certificación CMMC Nivel 2.

Aunque técnicamente el DoD permite a los contratistas autoevaluar la certificación CMMC Nivel 2, solo les ofrece a esas organizaciones proyectos de bajo riesgo. Si ya te estás tomando la molestia de garantizar el cumplimiento con más de 100 prácticas de ciberseguridad, bien podrías seguir adelante con una evaluación C3PAO para obtener la certificación completa de Nivel 2.

Algunos contratistas de defensa no buscan la certificación C3PAO porque los evaluadores son estrictos con las políticas más difíciles de mantener, como el monitoreo continuo y los planes detallados de respuesta a incidentes. Huntress se encarga del monitoreo de registros 24/7 y la investigación de amenazas a través de nuestro SOC, así que tu equipo no tiene que cubrir esa dedicación por su cuenta.

Querrás estar lo más preparado posible al organizar una auditoría. Después de todo, no quieres terminar pagando por múltiples evaluaciones.

Aquí tienes tres estrategias para asegurarte de tener todo resuelto:

• Realiza evaluaciones simuladas: Revisa la documentación que te proporcionó el C3PAO elegido para encontrar la lista de verificación que usan sus evaluadores. Luego, realiza una evaluación simulada para detectar cualquier cosa que pueda fallar.
• Pon a prueba a tu equipo: Revisa las responsabilidades de cada persona. Asegúrate de que puedan explicar cada elemento que marcaron en su lista. Deben poder describir cómo lo abordaron y cualquier hito abierto de PoA&M que siga en progreso.
• Revisión entre pares de la documentación: Haz que todos revisen la documentación de los demás para detectar brechas o inconsistencias.

El Managed SIEM de Huntress ayuda a abordar algunas de las partes más intensivas en recursos del Nivel 2, incluyendo la recolección centralizada de registros, la retención y el monitoreo, y respalda a la plataforma Huntress en general para satisfacer los controles CMMC. Puedes esperar:

• Monitoreo continuo

• Recolección de registros de auditoría

• Detección y respuesta a incidentes

Huntress proporciona los controles técnicos, la documentación y la asociación con DEFCERT para apoyar tu preparación y evaluaciones de CMMC, pero tú sigues siendo dueño de tus políticas, procedimientos y requisitos no técnicos. Por ejemplo, nuestra colaboración con DEFCERT nos ayudó a optimizar cómo los equipos multifuncionales manejan las responsabilidades compartidas.

La certificación CMMC Nivel 2 puede abrir nuevas oportunidades para ayudar a crecer tu negocio, pero no es tarea fácil, especialmente para las empresas más pequeñas. Huntress ofrece una forma de cerrar cualquier brecha en tu cobertura con soluciones asequibles y listas para usar que eliminarán varios elementos de tu lista de pendientes.

Tenemos años de experiencia ofreciendo soluciones como nuestro Managed SIEM a pequeñas empresas en crecimiento que buscan seguir siendo elegibles para contratos que involucran CUI a medida que se implementa el CMMC.