Un POA&M (pronunciado "po-am") expone tus brechas de seguridad y cómo planeas cerrarlas. Si lo haces bien, vas por buen camino. Si lo haces mal, tu evaluación CMMC podría no salir como esperas.

Cada elemento del POA&M vincula un control de seguridad específico no cumplido con pasos claros de remediación, un responsable y un cronograma. Tu plan de acción e hitos se registra en un documento vivo que muestra el progreso, no solo la intención inicial. Las actualizaciones desactualizadas no impresionarán a los evaluadores.

Un ejemplo de POA&M podría incluir cualquiera de los siguientes elementos:

• La falta de un requisito de control de seguridad o un requisito específico que no has cumplido

• Descripción de la debilidad o brecha

• Plan de remediación detallado y pasos a seguir

• Recursos que necesitas para la remediación (presupuesto, personas, tecnología y otros recursos)

• Punto de contacto o persona que asignes como responsable de la remediación

• Fechas de finalización objetivo y reales para cada paso o hito

• Estado actual y cualquier problema que afecte la fecha de finalización

CMMC limita el papel del POA&M más que otros programas y marcos de cumplimiento de ciberseguridad. El Departamento de Defensa creó CMMC para verificar que los contratistas de defensa tengan las capacidades que necesitan para proteger datos sensibles, como la Información de Contrato Federal (FCI) y la CUI. La naturaleza sensible de estas categorías de datos y el entorno de amenazas que enfrenta la Base Industrial de Defensa significa que los evaluadores tendrán poca tolerancia para aplazar capacidades de seguridad importantes mediante un POA&M.

Puedes usar tu POA&M para documentar la implementación de algunos controles de Nivel 2 de menor nivel (y menor riesgo), pero solo con varias advertencias y limitaciones importantes. Hay tolerancia cero para los POA&M como una lista general de excepciones. Tu POA&M no puede incluir brechas de alto riesgo ni capacidades de seguridad importantes para la protección fundamental de datos sensibles si aplazar estos controles comprometería la seguridad de la CUI.

No aplaces estos elementos: controles de acceso, cifrado de datos en reposo o en tránsito, y security awareness training. Estos forman la base de tu protección de CUI, y tu organización debe tener estos controles implementados para recibir la certificación CMMC.

De igual manera, los evaluadores de CMMC generalmente no permiten que las organizaciones aplacen controles de respuesta a incidentes, monitoreo, visibilidad o registro de auditoría mediante un POA&M. Si tu organización procesa CUI pero no puede detectar y responder a incidentes de seguridad, ningún POA&M convencerá a tu evaluador de que tu organización gestiona adecuadamente la seguridad de los datos sensibles.

Recuerda que tu POA&M es solo para brechas de menor riesgo en las que has logrado un progreso parcial pero necesitas más tiempo para alcanzar la madurez. No es una excepción a la implementación de capacidades de seguridad fundamentales.

Los evaluadores buscarán lo siguiente:

Asigna responsables y puntos de contacto

Para demostrar que tienes un plan para abordar una brecha, debe haber un responsable con una obligación definida y rendición de cuentas para garantizar su cumplimiento.

Identifica hitos realistas y medibles

Para cada elemento del POA&M, establece un cronograma con hitos realistas y rastreables. Divide las subtareas con fechas objetivo, por ejemplo: "Evaluar proveedores (15 de enero), adjudicar el contrato de adquisición (1 de febrero), instalar en el entorno de prueba (28 de febrero), implementación en producción (31 de marzo)".

Demuestra una remediación activa

Los evaluadores quieren ver trabajo activo hacia la remediación en lugar de solo actividad futura. Buscarán evidencia de procesos de adquisición, planes de proyecto, pasos iniciales completados o recursos asignados. Cualquier cosa que muestre progreso en lugar de partir de cero ayudará.

Limita la cantidad de elementos

Las organizaciones que aprueban las evaluaciones CMMC suelen mantener una cantidad muy reducida de elementos abiertos en el POA&M (a menudo unos pocos). Una lista concisa y enfocada en el riesgo indica una preparación madura y que solo quedan brechas de bajo riesgo. Una lista extensa de elementos de alto riesgo en el POA&M probablemente indique que tu organización no está lista para obtener la certificación CMMC. Cada elemento abierto debe representar una excepción clara y no una forma de evitar completar un control de seguridad requerido.

Revisa los elementos del POA&M mensual o trimestralmente y priorízalos como cualquier otra vulnerabilidad de seguridad.

Documenta todo

La documentación es fundamental. Mantén registros de las actividades de remediación, los recursos invertidos y los obstáculos encontrados. Esta documentación servirá como prueba de un esfuerzo de buena fe ante los evaluadores y dará información valiosa si necesitas ajustar las fechas de finalización previstas para tus planes de remediación.

Las organizaciones a menudo dejan que el alcance del POA&M crezca sin control al rastrear problemas que ya deberían haber remediado. La mejor solución es hacer un proceso de autopreparación riguroso y un análisis honesto de brechas antes de involucrar a un evaluador.

Las organizaciones también pueden enfrentar limitaciones de recursos, lo que da como resultado periodos de remediación prolongados para los elementos del POA&M. Una buena práctica es dividir las actividades de remediación grandes en partes más pequeñas, entregando una serie de mejoras de seguridad incrementales mientras trabajas dentro de tu presupuesto.

Gestionar los elementos del POA&M relacionados con la protección de endpoints, el registro y el monitoreo puede ser especialmente difícil para las organizaciones que buscan cumplir con CMMC. Las soluciones Huntress Managed EDR y Managed SIEM dan visibilidad continua y la evidencia de respaldo que tu evaluador buscará.

Esto aborda los controles de monitoreo que los evaluadores normalmente no te dejarán posponer mediante un POA&M. Las organizaciones necesitan tener en pleno funcionamiento sus capacidades de monitoreo continuo y respuesta a incidentes, en lugar de dejarlas como elementos abiertos del POA&M.

Cómo gestionar la CUI con el modo de datos sensibles

Las investigaciones de malware a menudo requieren recuperar archivos que pueden contener CUI. Entonces, ¿cómo mantienes el monitoreo de seguridad mientras proteges la CUI del acceso no autorizado, incluso por parte de tus proveedores de seguridad?

Huntress creó el modo de datos sensibles, una configuración tan inteligente que investiga amenazas mientras protege tu CUI de accesos innecesarios. Esto es lo que ofrece el modo de datos sensibles:

• Bloquea el acceso del SOC a los archivos de CUI: los analistas del SOC siguen haciendo su trabajo, pero no acceden a la CUI. Esta medida reduce el riesgo y protege el cumplimiento.

• Mantiene las capacidades de investigación: los analistas de Huntress pueden concentrarse en los archivos que importan, como código malicioso, scripts y otras pistas, sin tocar datos sensibles. Esto significa que Huntress puede seguir dando detección y respuesta de incidentes críticos sin comprometer el cumplimiento.

• Puede ayudar con el alcance de la evaluación: el modo de datos sensibles está diseñado para que Huntress pueda tratarse como un activo de ciberseguridad de protección de seguridad (SPA), en lugar de un activo de ciberseguridad de CUI, según tu implementación, tus flujos de datos y las decisiones de alcance de tu evaluador. Esto puede ayudar a reducir el alcance de la evaluación cuando el servicio no accede, procesa ni almacena CUI.

Huntress Managed EDR y Managed SIEM te ayudan a cerrar las brechas del POA&M más rápido, con visibilidad completa y generación de informes lista para evaluadores. Menos conjeturas, más pruebas. Solicita una demo de la plataforma de Huntress para ver cómo te ayudamos a aprobar tu evaluación más rápido.