CMMC 2.0 aclaró parte de la confusión, pero muchas organizaciones todavía mezclan los niveles. Conoce qué significa cada uno y pondrás los controles de ciberseguridad correctos en los lugares correctos.

• Nivel 1: Controles básicos para proteger la Información de Contrato Federal (FCI), con autoevaluaciones anuales.

• Nivel 2: Protege la Información No Clasificada Controlada (CUI). Autoevaluaciones durante el despliegue por fases, y algunos contratos requieren una evaluación por parte de una Organización Evaluadora Externa certificada de CMMC (C3PAO).

• Nivel 3: Se requiere cuando el DoD determina que el trabajo o el riesgo para la seguridad nacional exige una protección avanzada.

Este es el error más común que vemos. La gente asume que todo contratista con un equipo pequeño cae en el nivel 1, o que cualquier contrato por debajo de cierto monto es nivel 1. Eso no es cierto.

El nivel 1 es el piso inicial para todos. Pero el nivel que necesitas depende de una sola cosa: si procesas CUI. No importa si ganas $1 millón al año o mil millones. ¿Procesas CUI? Necesitas el nivel 2. ¿Un gran contratista que solo trabaja con FCI? El nivel 1 puede ser todo lo que necesitas.

El nivel 1 implica autoevaluaciones anuales. El nivel 2 funciona distinto. Durante el despliegue por fases, el nivel 2 usa autoatestación, a menos que tus contratos requieran una evaluación formal de un C3PAO. De cualquier forma, el nivel 2 significa que implementaste los 110 controles de seguridad de NIST SP 800-171 para proteger la CUI, documentaste tus políticas y procedimientos, y completaste una autoatestación o una evaluación de C3PAO, según tu contrato.

Hazte estas preguntas al definir el alcance de tu entorno:

¿Con qué datos trabajas?

• ¿Almacenas, procesas o transmites CUI? Si es así, necesitas al menos los controles de Nivel 2.

• ¿Manejas FCI? Si solo manejas FCI, es posible que solo necesites los controles de Nivel 1, pero si además manejas CUI, los requisitos aumentan.

¿Qué sistemas tienen contacto con datos del DoD?

Documenta todos los sistemas que almacenan, procesan o transmiten CUI, incluidos los proveedores externos. Servidores, estaciones de trabajo, laptops y entornos en la cloud: todos los sistemas que "tienen contacto" con CUI

están dentro del alcance.

¿Los proveedores externos acceden a esos datos?

Si los subcontratistas manejan CUI en tu nombre, eres responsable de su cumplimiento. Debes trasladar las cláusulas correspondientes al nivel de información que necesites compartir con esos subcontratistas, y validar tú mismo su cumplimiento.

No cometas este error: las organizaciones suelen definir el alcance de sus entornos de forma incompleta, y solo descubren sistemas o usuarios faltantes durante la evaluación.

Una vez que hayas listado todos los sistemas y usuarios que manejan CUI, comienza tu autoevaluación de CMMC.

Paso 1: Revisa tus datos

Clasifica claramente tus datos como FCI o CUI.

Paso 2: Haz un inventario de sistemas y usuarios

Documenta cada sistema, endpoint y usuario que procese FCI o CUI. Incluye a los proveedores que puedan acceder indirectamente a estos datos.

Paso 3: Realiza un análisis de brechas

Compara tus prácticas de seguridad actuales con los controles requeridos para el nivel de CMMC que deseas alcanzar.

Por ejemplo, el nivel 2 exige que las organizaciones habiliten la autenticación multifactor (MFA), implementen políticas de control de acceso y mantengan un plan de respuesta a incidentes.

Paso 4: Documenta todo

Documenta políticas, procedimientos y controles técnicos para que los evaluadores puedan verificar tu cumplimiento.

Completar estos pasos te da una visión clara del proceso de evaluación de CMMC y resalta en qué áreas tu organización ya cumple con los requisitos y dónde necesita mejorar.

Saber el nivel que necesitas es solo la mitad del trabajo. Sigue estos pasos para lograr el cumplimiento normativo:

• Implementa los controles faltantes: Aborda cualquier brecha, ya sea mejorando la protección de endpoints, la gestión de identidades y accesos, o el registro y monitoreo. Herramientas como Huntress Managed Endpoint Detection and Response (EDR) e Identity Threat Detection and Response (ITDR) protegen tus endpoints e identidades y respaldan los requisitos de CMMC.

• Valida tu entorno: Realiza ejercicios de simulación o evaluaciones internas para confirmar que todos los controles funcionan como se espera. 

• Busca debilidades: Usa un evaluador externo para evaluaciones formales (obligatorio para el Nivel 2). Ellos validan que tus procesos cumplen con los estándares de CMMC.

• Guías: Aprende a realizar una autoevaluación de CMMC (Nivel 1,Nivel 2,Nivel 3) y toma medidas prácticas para mejorar la postura de seguridad.

• PDFs: Descarga la descripción general del modelo del DoD oficial y la política de implementación.

• Herramientas: Usa herramientas de seguridad como SIEM para la centralización de registros, ITDR para el monitoreo de identidades, y EDR para la protección de endpoints.

Si estás listo para comenzar, sigue estos pasos

1. Realiza una evaluación de clasificación de datos para determinar si procesas, almacenas o transmites FCI o CUI.

2. Realiza un análisis de brechas de control para medir tu postura de seguridad actual frente al nivel de CMMC que deseas alcanzar.

3. Implementa Huntress Managed EDR e ITDR para respaldar los requisitos de cumplimiento de CMMC.

Solicita una demo de Huntress para ver cómo nuestra plataforma Managed EDR y ITDR puede ayudarte a comenzar tu camino hacia CMMC con confianza, y proporcionarte la documentación lista para auditoría que necesitas para demostrar el cumplimiento