Durante años, los funcionarios del DoD han estado dando la voz de alarma sobre las violaciones de datos de contratistas de defensa. Sus quejas en gran parte cayeron en oídos sordos: la implementación de medidas de seguridad era irregular, la documentación muchas veces era deficiente o inexistente, y las soluciones alternativas para los desafíos de ciberseguridad eran comunes.

Entra CMMC. Lanzada por primera vez en 2020, la versión inicial del programa enfrentó grandes desafíos. El marco era ambiguo, los requisitos no eran claros, y la autoevaluación era el método principal de cumplimiento. Esto básicamente significaba que los contratistas calificaban su propio trabajo con poca supervisión. 

CMMC 2.0, finalizado en 2024 e implementado gradualmente en los contratos hasta 2026, cambia por completo ese enfoque. El programa de certificación básicamente dice: "¿Quieres hacer negocios con nosotros? Bien. Ahora demuéstranos que te tomas en serio la seguridad, y hay formas específicas en las que esperamos que lo hagas". Esto incluye procesos documentados, implementados y verificados por terceros, así como controles de seguridad específicos para cada nivel del modelo CMMC. Ya no se permiten promesas al aire.

CMMC aplica a cualquier empresa de la Base Industrial de Defensa (DIB) que procese FCI o CUI. Esto puede incluir contratistas principales, todos los niveles de subcontratistas y proveedores de servicios que ofrecen sus servicios a contratistas de la DIB. En otras palabras, si tu negocio depende de los ingresos de contratos con la DIB, necesitas cumplir o salir de la DIB.

En esencia, el marco está diseñado para proteger dos tipos de datos:

Información federal de contratos (FCI)

La FCI es información que el gobierno proporciona o genera bajo una acción de contrato, pero que no está destinada a divulgación pública. Algunos ejemplos incluyen propuestas de licitación, términos y condiciones de contratos, y similares. Todas las categorías de datos gubernamentales que no publicarías en LinkedIn.

Información controlada no clasificada (CUI)

Con la CUI, las cosas se ponen un poco más serias. La CUI incluye datos técnicos y otra información que necesita protección o controles de difusión, o que sigue otras restricciones de acceso o uso. Algunos ejemplos incluyen información controlada para exportación y datos sensibles pero no clasificados que podrían causar un daño grave a la seguridad nacional si se hicieran públicos.

CMMC vincula sus controles de seguridad a tres niveles de madurez alineados con la Publicación Especial 800-171 del Instituto Nacional de Estándares y Tecnología, o NIST 800-171, el estándar federal para proteger la CUI. El programa CMMC toma esos 110 controles de NIST 800-171 y los organiza en niveles.

La madurez de CMMC involucra tres niveles. Cada uno agrega una mayor cantidad de controles y un mayor rigor para alinearse con la sensibilidad de la información.

Nivel 1 de CMMC: Fundamental

El Nivel 1 representa las prácticas fundamentales de higiene cibernética que ya deberías estar siguiendo si trabajas con contratistas del DoD, incluso si no estás trabajando activamente en un contrato de defensa. Esto incluye:

• Contraseñas y controles de acceso

• Autenticación multifactor (MFA)

• Restricciones básicas de acceso a datos

Las 17 prácticas del Nivel 1 giran en torno a la protección de la FCI. La buena noticia es que, en este nivel, puedes autocertificar el cumplimiento anualmente. La exigencia aquí es baja, pero sigue siendo una exigencia.

Nivel 2 de CMMC: Avanzado

El Nivel 2 es donde se ubicará la mayoría de los contratistas de defensa. Es el Nivel 1 más 93 requisitos adicionales de NIST 800-171 por cumplir. Estos controles giran en torno a la protección de la CUI e incluyen:

• Controles de acceso mejorados y gestión de identidad

• Monitoreo de seguridad y respuesta a incidentes

• Seguridad física mejorada

• Planes y procesos de seguridad documentados

En el Nivel 2, un tercero realmente revisará tu trabajo, evaluándote cada tres años a través de una Organización Evaluadora Externa Certificada de CMMC, o C3PAO. Esta evaluación es un análisis profundo para confirmar que un contratista implementa y documenta eficazmente los 110 controles de seguridad derivados de NIST SP 800-171. Estos controles son obligatorios para proteger la CUI. 

El rol del C3PAO es verificar tus políticas, procedimientos y evidencia técnica, asegurándose de que tu organización haya alcanzado el nivel de madurez requerido y que la CUI esté protegida contra el acceso no autorizado o la pérdida. Esto a menudo significa usar soluciones cloud equivalentes a FedRAMP Moderate y exige cifrado validado por FIPS 140-2 para la CUI en reposo y en tránsito. 

Nivel 3 de CMMC: Experto

El Nivel 3 es el nivel más alto de CMMC y está destinado a contratistas que trabajan con la CUI más sensible y de mayor impacto. Además de todas las prácticas del Nivel 2, el Nivel 3 incluye prácticas adicionales mejoradas (más de 110 prácticas en total) que requieren "implementación experta". Esto incluye:

• Detección y respuesta avanzadas ante amenazas, incluida la caza de amenazas proactiva

• Defensa contra Amenazas Persistentes Avanzadas (APT): adversarios con experiencia cibernética sofisticada

• Procesos y capacidades estandarizados como monitoreo, escaneo y análisis forense de datos

Para obtener la certificación CMMC, las organizaciones deben comprometerse con procesos que demuestren documentación de seguridad, implementación real y prueba de que están haciendo lo que dicen que hacen. 

Realiza un análisis de brechas

Un análisis de brechas te muestra en qué punto se encuentra tu empresa en relación con los controles requeridos por CMMC. Esta revisión compara tus procesos, controles y documentación actuales con los requisitos, determinando en qué áreas te quedas corto.

Implementa los controles de seguridad requeridos

Después del análisis de brechas, es momento de ponerse manos a la obra para resolver las áreas problemáticas. Esto significa redactar políticas, implementar y documentar controles técnicos, procedimientos administrativos y medidas de seguridad física. Dependiendo de dónde empieces, esto puede incluir:

• Herramientas de seguridad que sean FEDRAMP o que puedan demostrar que están fuera del alcance en la recopilación de CUI: 

• Consulta el Sensitive Data Mode de Huntress, que aplica a toda la Huntress Platform 

• Segmentación de redes para aislar los datos sensibles

• Planes formales de respuesta a incidentes

Mantén evidencia continua

CMMC no termina después de la evaluación. Necesitas evidencia continua de que los controles de seguridad siguen siendo eficaces mediante revisiones de registros, monitoreo de seguridad, análisis de vulnerabilidades, revisiones de políticas y registros de capacitación.

El estándar NIST 800-171 es un conjunto de controles, requisitos y procedimientos de seguridad que debes seguir para proteger la CUI. CMMC es un programa de certificación que evalúa la madurez de las prácticas de ciberseguridad de tu organización según el tipo de trabajo que realizas con el DoD. Utiliza los controles de seguridad de NIST 800-171 en el Nivel 2 e incorpora una evaluación formal para verificar que estás siguiendo los estándares.

O dicho de otra forma: NIST define las reglas. CMMC se asegura de que realmente las estés siguiendo y te da una calificación sobre tus esfuerzos.

Más o menos, aunque en el lenguaje gubernamental, eso básicamente significa que ignorarlo es bajo tu propio riesgo. El DoD integrará gradualmente CMMC en los contratos para 2026. Una vez que eso suceda, los contratistas necesitarán alcanzar el nivel apropiado de CMMC para cada contrato. En otras palabras, sin certificación, no hay contrato. Sin contrato, no hay trabajo de defensa. Sin trabajo de defensa, bueno... ya sabes hacia dónde va esto. 

El cumplimiento de CMMC puede ser un proceso confuso y que consume mucho tiempo para todos los involucrados. La plataforma de Huntress es una combinación de herramientas y monitoreo 24/7. A diferencia de otros MDR o empresas SaaS de terceros, Huntress es dueño de su propio stack tecnológico, lo que le permitió crear el Modo de Datos Sensibles. Cuando está activado, ningún analista del Huntress SOC puede extraer o ver ningún archivo que potencialmente contenga FCI o CUI. Usar la plataforma de Huntress te ayuda a lograr 55/110 controles desde el primer momento, incluyendo la gestión por parte de expertos en seguridad. Y a diferencia de muchas otras herramientas de seguridad, no hay un costo adicional por el Modo de Datos Sensibles ni se necesita un entorno FEDRAMP, lo que te permite cumplir con muchos requisitos de CMMC sin contratar a un equipo completo de ciberseguridad ni pagar los costos exorbitantes de un MDR de terceros sobre una instancia FedRAMP de EDR, ITDR o SIEM. Para más orientación, consulta nuestra página de Cumplimiento de CMMC.

Desde Managed Endpoint Detection and Response (EDR) hasta detección de amenazas de identidad, Security Information and Event Monitoring (SIEM), Security Awareness Training (SAT), y monitoreo del SOC 24/7, la plataforma de Huntress te lleva más lejos, más rápido y de manera más económica. Nuestras soluciones construyen el rastro de evidencia y mantienen el monitoreo continuo necesario para que el proceso de evaluación sea fluido y menos estresante.

Solicita una demo para ver cómo Huntress puede ayudarte a lograr y mantener el cumplimiento de CMMC.