Una documentación exitosa de CMMC indica con claridad cómo implementas los controles de seguridad en tu entorno. La documentación no tiene que ser perfecta, pero debe representar de forma veraz y consistente cómo implementas actualmente los controles de seguridad.

Los evaluadores de CMMC forman su comprensión inicial de tu entorno técnico únicamente a partir de tu plan de seguridad del sistema (SSP), tus políticas existentes y otra documentación de respaldo, para crear una imagen mental antes de que ocurra cualquier prueba. Si tu documentación es genérica, incompleta u obsoleta, tu evaluador dedicará más tiempo a hacer preguntas y realizar investigaciones innecesarias. Y si lo que escribes en los documentos de política no coincide con el comportamiento real de tus empleados, estás creando un riesgo de seguridad inmediato que los evaluadores descubrirán durante la evaluación.

Antes de profundizar en los tipos de documentación, hablemos de qué debería incluir tu lista de verificación de cumplimiento de CMMC. Como mínimo, debes tener políticas que definan las operaciones de seguridad diarias, un SSP que mapee los controles a sistemas específicos, y un Plan de Acción e Hitos (POA&Ms) para cualquier brecha donde hayas planificado una remediación.

Una buena lista de verificación de cumplimiento de CMMC debería servir como guía sobre qué tipo de documentación necesitas crear para demostrar el cumplimiento de cada control que exige tu nivel de CMMC objetivo. ¿Apuntas al Nivel 2? Debes documentar la implementación de 110 requisitos de seguridad de NIST SP 800-171 en 14 dominios. ¿Apuntas al Nivel 3? Tienes aún más que demostrar. Si estás construyendo una lista de verificación de cumplimiento de CMMC Nivel 3, deberás documentar requisitos más estrictos más allá de los que exigía el Nivel 2.

Los evaluadores quieren saber cómo gestionas la seguridad día a día en tu organización. Tus políticas deben establecer el estándar para las políticas y procedimientos de seguridad. Los evaluadores de CMMC esperarán ver políticas de control de acceso, políticas de uso aceptable, procedimientos de respuesta a incidentes y lineamientos de manejo de datos. Por ejemplo, una política de MFA bien redactada no solo exigirá el uso de MFA, sino que detallará qué sistemas lo requieren y qué sucede cuando falla la verificación.

Las políticas de seguridad también deben hacer referencia a herramientas específicas que apliquen controles técnicos. Si la política indica que cifras la Información No Clasificada Controlada (CUI) en tránsito, proporciona documentación que resalte las herramientas y configuraciones que habilitan el cifrado.

Tu SSP es la piedra angular de tu paquete de documentación de CMMC. El SSP explica a los evaluadores qué sistemas evaluarán durante tu revisión y dónde reside toda tu información sensible.

Un buen plan de seguridad del sistema de CMMC debe incluir diagramas de red, mapas de flujo de datos y límites alrededor de las áreas que procesan CUI. Tu SSP también debe incluir detalles sobre cómo se realizan el monitoreo, el registro y la respuesta. ¿Dónde almacenas los registros? ¿Qué herramientas generan los registros? ¿Cuánto tiempo los conservas? ¿Quién los revisa y con qué frecuencia? ¿Qué constituye un incidente y quién es responsable de responder? Los evaluadores de CMMC verificarán estas respuestas extrayendo registros y entrevistando a tu personal.

Si buscas una plantilla gratuita de SSP para CMMC, están ampliamente disponibles en línea, pero las plantillas genéricas son uno de los mayores problemas al prepararte para las evaluaciones. Las plantillas ofrecen un esqueleto que puedes usar como base, pero no pueden verificar tu exactitud. En cambio, personaliza las plantillas para que se ajusten a tu entorno real. Reemplaza el texto genérico con los nombres reales de tus sistemas, herramientas y procesos. Si algo no aplica, dilo. No dejes lenguaje genérico de manual en tu SSP, ya que es una de las formas más rápidas de generar pruebas adicionales y preguntas de seguimiento durante la evaluación.

Una hoja de cálculo de autoevaluación de CMMC es una excelente manera de validar que has implementado cada práctica que exige tu nivel de CMMC objetivo.

Durante la autoevaluación, puede ser tentador marcar todo como "sí" porque implementaste parcialmente un control. Si no estás seguro de haber implementado algo correctamente, anótalo. Es mejor descubrir brechas durante la autoevaluación que durante una evaluación oficial.

Los POA&Ms documentan brechas específicas, partes responsables y plazos de remediación. Los POA&Ms cumplen un papel fundamental en tu lista general de verificación de auditoría de CMMC porque demuestran a los evaluadores que conoces las brechas existentes y tienes planes para solucionarlas.

Los POA&Ms muestran el progreso hacia la mitigación de problemas de bajo riesgo. No puedes usar los POA&Ms en lugar de los controles de seguridad requeridos. Para los Niveles 2 y superiores de CMMC, debe haber evidencia de que estás trabajando actualmente para remediar las brechas.

Las plantillas genéricas que no se vinculan con sistemas reales son una gran señal de alerta. Si tu SSP dice "reglas de firewall" sin especificar qué solución de firewall y cuáles son realmente esas reglas, tienes problemas.

A medida que tu entorno crece y cambia, tu documentación debe crecer y cambiar con él. Los SSP desactualizados que no reflejan las herramientas o la arquitectura actuales son una de las peores cosas que puedes presentar a un evaluador.

Usa los POA&Ms para brechas específicas en las que ya hayas comenzado a trabajar, pero no dejes controles sin documentación con la promesa de un POA&M.

Dedica tiempo ahora a crear documentación de calidad que represente con precisión tus prácticas de seguridad. Documenta cada proceso con la mayor especificidad posible y revisa cada documento con regularidad para asegurarte de que esté actualizado.

¿Necesitas ayuda para demostrar el cumplimiento? Huntress ofrece gestión de registros centralizada y documentación lista para evaluadores que facilita tu evaluación de CMMC.

¿Te estás preparando para la certificación? Descubre cómo optimizar tu preparación para la evaluación de CMMC con Huntress.