La información de contratos federales (FCI) es el dato gubernamental menos sensible y activa los requisitos de CMMC de nivel 1. Es información proporcionada por el gobierno, o generada para este, con el fin de desarrollar o entregar un producto o servicio. Aunque la FCI está lejos de ser un secreto de estado, tampoco está destinada a su divulgación pública.

En el caso de una empresa de construcción contratada para reparar el techo de un cuartel militar, algunos ejemplos de FCI podrían incluir correos electrónicos que coordinan el acceso a la base, detalles de construcción específicos del sitio proporcionados por el DoD, y comentarios escritos sobre el progreso del proyecto o cambios requeridos.

El Cumplimiento normativo de nivel 1 se centra en la "protección básica" (FAR 52.204-21), que consiste en 15 requisitos de seguridad fundamentales (por ejemplo, usar software antivirus, cambiar las contraseñas predeterminadas). El cumplimiento se autoevalúa, lo que lo convierte en la evaluación de CMMC menos intensiva.

La información no clasificada controlada (CUI) es una categoría más sensible. Aunque estos datos no llegan al nivel de material clasificado, aún podrían dañar la seguridad nacional si se filtran. Volviendo a nuestro ejemplo de la empresa constructora, si el DoD le da al contratista planos que muestran la ubicación del cuarto de servidores del cuartel o los códigos de seguridad de la puerta, eso es CUI. Requiere mayor protección porque un actor malicioso podría usarlo para comprometer las instalaciones.

Otros ejemplos de CUI incluyen datos técnicos, datos controlados por exportación, planes de infraestructura crítica, información de identificación personal (PII), registros de salud, datos financieros y propiedad intelectual. Este tipo de datos debe tener marcas de CUI, por lo general un aviso en la parte superior de documentos o correos electrónicos que alerta a los usuarios sobre las reglas de manejo.

Tener CUI activa el Nivel 2 de CMMC (en algunos casos, el Nivel 3). Los requisitos de este nivel se alinean con los 110 controles de seguridad descritos en NIST SP 800-171, incluida la autenticación multifactor (MFA), los planes de respuesta a incidentes y el cifrado. Aunque algunos contratos de Nivel 2 permiten la autoevaluación (por ejemplo, adquisiciones no prioritarias), la mayoría requerirá una evaluación de un C3PAO (terceros) cada tres años. 

Para conocer más a fondo los controles de seguridad del Nivel 2, lee CMMC Controls Explained.

Clasificar mal los datos es una de las razones más comunes de fallas en el cumplimiento y de "expansión de alcance". En muchos casos, un contratista manejará tanto FCI como CUI, pero aplicar controles de CUI a todos los datos aumentará los costos de cumplimiento innecesariamente. 

Por otro lado, si tratas la CUI como FCI, corres el riesgo de perder contratos por incumplimiento. Si un evaluador descubre que estás almacenando CUI en una laptop categorizada como FCI, fallarás la evaluación de inmediato. Las empresas a menudo pasan por alto cosas pequeñas, como celulares o impresoras, al determinar los límites del alcance.

Al manejar CUI, un etiquetado adecuado y la visibilidad de tus flujos de datos te permiten aislar la información sensible, lo que reduce significativamente la cantidad de sistemas que deben cumplir con los requisitos del Nivel 2. Los costos de certificación varían ampliamente, impulsados principalmente por la preparación, el tipo de evaluación y el alcance (qué tan bien está aislada la CUI). La categorización y la delimitación precisas del alcance son los mayores factores de costo.

Para obtener consejos sobre cómo mapear tu entorno de seguridad, entender tus flujos de datos y demostrar el cumplimiento de CMMC, consulta nuestra guía para crear un SSP.

Una vez que entiendes tus requisitos de cumplimiento, necesitas las herramientas adecuadas para satisfacerlos. 

Huntress Managed EDR satisface los requisitos de monitoreo de sistemas y respuesta a incidentes. Si un laptop que contiene CUI es blanco de ransomware, Huntress identifica el proceso malicioso en tiempo real y aísla el endpoint, evitando el cifrado o la exfiltración de datos sensibles del DoD.

Managed ITDR da soporte a los requisitos de identificación, autenticación y control de acceso. Según CISA, las "cuentas válidas" siguen siendo el vector de ataque exitoso más común (responsable del 41% de las brechas), seguido del phishing. Managed ITDR monitorea "inicios de sesión sospechosos (por ejemplo, un usuario que inicia sesión desde dos países diferentes)", asegurando que solo el personal autorizado acceda a los entornos con CUI.

CMMC exige monitoreo continuo y activo, pero para la mayoría de las organizaciones pequeñas y medianas, construir un SOC 24/7 interno no es viable. Por eso Huntress cuenta con el respaldo de un equipo de expertos disponible las 24 horas, asistido por IA. Nuestros analistas te ayudan a detectar amenazas antes de que puedan causar daño, protegiendo los datos sensibles del DoD y simplificando el cumplimiento. Descubre Huntress hoy.