El DoD creó CMMC para auditar a contratistas y subcontratistas de defensa y asegurarse de que hayan implementado de manera efectiva los controles de ciberseguridad necesarios antes de ofertar y durante la ejecución de contratos del DoD.

CMMC 2.0 actualmente define tres niveles de certificación que los proveedores deben alcanzar:

• El nivel 1 requiere la implementación de 17 prácticas de FAR 52.204-21 y una autoevaluación anual con afirmación en el Supplier Performance Risk System (SPRS) para empresas y proveedores que manejan Federal Contract Information (FCI), pero no Controlled Unclassified Information (CUI). 

• El nivel 2 incluye todos los controles del nivel 1 de CMMC, pero también cubre muchos otros controles alineados con NIST SP 800-171 para empresas y proveedores que manejan CUI.

• El nivel 3 aplica a empresas y proveedores que respaldan los programas de seguridad nacional más críticos y aún no se implementa de forma generalizada.

En el pasado, los contratistas y subcontratistas del DoD autocertificaban que habían implementado los controles de ciberseguridad de NIST SP 800-171. Ahora, con el nivel 2 de CMMC, una organización evaluadora externa independiente (C3PAO) evalúa y certifica que lo han hecho.

FedRAMP ofrece un enfoque estandarizado para la evaluación de seguridad, la autorización y el monitoreo continuo de productos y servicios cloud que las agencias federales planean adoptar. 

FedRAMP creó un proceso simplificado que todas las agencias federales deben seguir. Esta estandarización significa que los proveedores de servicios cloud solo necesitan pasar por el proceso de autorización una vez, en lugar de repetir evaluaciones para cada agencia a la que quieran prestar servicios. El componente de monitoreo continuo asegura que los controles de seguridad sigan siendo eficaces con el tiempo, no solo en la autorización inicial.

Con FedRAMP, un proveedor de servicios cloud trabaja con una organización de evaluación externa (3PAO) que evalúa al proveedor para asegurarse de que cumpla con los requisitos de seguridad de FedRAMP. El 3PAO realiza una evaluación de seguridad independiente del proveedor de servicios cloud y, una vez aprobado, el proveedor de servicios cloud queda listo para ofrecer su servicio cloud a las agencias federales.

¿Qué marco aplica para ti?

CMMC es para contratistas de defensa, y FedRAMP es para proveedores de servicios cloud. Una forma de verlo es que CMMC es para todos los contratos del DoD y FedRAMP es para servicios cloud usados en todo el gobierno federal (incluyendo contratos que no son del DoD).

Organismos de evaluación y autorización

Las Organizaciones de Evaluación de Terceros de CMMC (C3PAO) realizan las evaluaciones de CMMC. El Organismo de Acreditación de CMMC las acredita. Las Organizaciones de Evaluación de Terceros (3PAO) realizan las autorizaciones de FedRAMP. La Oficina de Gestión del Programa FedRAMP las acredita. El JAB (Junta de Autorización Conjunta) o las agencias individuales toman las decisiones de autorización.

Alcance de la certificación

CMMC evalúa los controles de ciberseguridad de tu organización en toda la organización, sin importar dónde se encuentre la CUI o la FCI. FedRAMP solo certifica la oferta de servicio cloud específica que vende el proveedor de servicios cloud, con un alcance determinado por el caso de uso de la agencia, específicamente, si el servicio cloud crea, recopila, procesa, almacena o mantiene información federal.  

Impulsores regulatorios

El DoD impulsó CMMC como requisito, pero la Oficina de Administración y Presupuesto (OMB) impulsó FedRAMP como requisito para todas las agencias federales, no solo para el DoD.

Dónde se superponen CMMC y FedRAMP

Primero, debes decidir si tu organización es un contratista o subcontratista del DoD, un proveedor de servicios en la cloud, o una combinación de ambos.

Luego, determina qué marco de cumplimiento aplica a tu organización:

• Contratista o subcontratista del DoD: Debes cumplir con CMMC.

• Proveedor de servicios en la cloud que vende a agencias federales: Necesitas la autorización FedRAMP.

• Proveedor de servicios en la cloud que vende al DoD: Probablemente necesites tanto CMMC como FedRAMP, según tu modelo de servicio y cómo manejes los datos federales. 

• Contratista del DoD que usa servicios en la cloud: Se requiere CMMC. Tus proveedores de cloud podrían necesitar autorización FedRAMP, según si están clasificados como Security Protection Assets (SPA) o External Service Providers (ESP) y cómo manejen la CUI.

Un error común es pensar que todas las herramientas de seguridad adquiridas por organizaciones con nivel 2 de CMMC deben ser soluciones autorizadas por FedRAMP. Esto no es así.

Las herramientas de seguridad pueden clasificarse como SPA o ESP bajo CMMC 2.0. Un SPA se define como cualquier sistema que ofrece capacidades de seguridad y que no procesa, almacena ni transmite CUI. Si el proveedor de tu herramienta de seguridad puede clasificar su producto como SPA, no necesitarás autorización de FedRAMP.

Las soluciones de EDR, ITDR y SIEM suelen clasificarse como SPA cuando existen controles técnicos que impiden el acceso de los proveedores a CUI. Varias empresas han logrado el nivel 2 de CMMC sin tener ninguna herramienta de seguridad clasificada como ESP.

Pregúntale a tu proveedor de herramientas de seguridad si su solución está diseñada para funcionar como SPA y qué controles existen para impedir el acceso a CUI.

Ya sea que necesites CMMC, FedRAMP o ambos, las herramientas adecuadas pueden simplificar tu proceso de cumplimiento. Los productos Managed SIEM, Managed EDR y Managed ITDR de Huntress ofrecen visibilidad, detección de amenazas y capacidades de monitoreo que se alinean con los controles de seguridad comunes a ambos marcos. Solicita una demo para ver cómo Huntress puede apoyar tu programa de cumplimiento.