El DoD implementó el marco CMMC para verificar, mediante una evaluación independiente, que las organizaciones que manejan Información No Clasificada Controlada (CUI) e Información de Contrato Federal (FCI) cumplan con sus requisitos de ciberseguridad. Solo los C3PAO que figuran en la lista mensual de organizaciones autorizadas del Cyber-AB pueden realizar una evaluación oficial de Nivel 2. Las evaluaciones de Nivel 3 son lideradas por el gobierno y las realiza DIBCAC.

Los C3PAO han demostrado su competencia para evaluar a otras empresas según el estándar CMMC, han pasado un proceso de verificación estricto y han obtenido la aprobación oficial para realizar la función de evaluación de Nivel 2.

Las evaluaciones de Nivel 3 (“expertas”) son harina de otro costal. Son lideradas por el gobierno y las realiza exclusivamente el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBAC) del DoD, no los C3PAO.

Esto es lo que necesitas saber sobre el Nivel 3:

• Rareza: El Nivel 3 se aplica a menos del 1% de los contratistas de defensa. Solo quienes respaldan programas de alto riesgo necesitan protección contra amenazas persistentes avanzadas (APT).

• Requisito previo: Debes obtener una certificación final de Nivel 2 de un C3PAO antes de buscar el Nivel 3.

• Requisitos adicionales: El Nivel 3 agrega 24 prácticas de NIST SP 800-172 (resiliencia ante APT) sobre las 110 prácticas de NIST SP 800-171 requeridas para el Nivel 2.

• Frecuencia de evaluación: Las evaluaciones de Nivel 3 se realizan cada tres años, con afirmaciones anuales.

Para la mayoría de los contratistas de defensa que manejan CUI, la certificación de Nivel 2 es el objetivo, así que concentra tu energía ahí primero. 

Un 3PAO (Organización de Evaluación de Terceros) opera dentro del programa FedRAMP, realizando evaluaciones de servicios en la cloud por parte de terceros. Las letras en C3PAO significan "Certified" Third Party Assessment Organization, por lo que esa "C" diferencia a ambos. Nunca uses un 3PAO para una evaluación C3PAO de CMMC, ni viceversa.

Un RPO opera como consultor de seguridad y organización de preparación que puede ayudar a tu empresa a prepararse para el proceso de certificación CMMC y ofrecer evaluaciones de brechas, pero nunca puede realizar la evaluación formal de CMMC por sí mismo. Solo un C3PAO puede certificar oficialmente tu cumplimiento de Nivel 2. Uno te ayuda a prepararte, mientras que el otro decide si realmente cumpliste.

El sitio de Cyber-AB aloja una lista de C3PAO actualmente autorizados. Esta lista oficial sirve como punto de partida para investigar qué es un C3PAO y encontrar un proveedor que realice la evaluación de tu organización. 

La lista cambia con frecuencia, ya que las organizaciones obtienen nuevas acreditaciones mensualmente, pasan por suspensiones temporales durante revisiones de calidad, pasan de estado "candidato" a "autorizado" o, en raras ocasiones, se retiran. Por eso es importante verificar el estado de autorización actual de un proveedor antes de firmar cualquier contrato.

• Verifica el estado del proveedor antes de firmar cualquier contrato. 

• Usa la lista como recurso para identificar qué C3PAO se adapta mejor a tu situación. Un C3PAO especializado en grandes contratistas aeroespaciales puede no ser adecuado para un proveedor de servicios de TI más pequeño y especializado.

• Da seguimiento a los cambios si tienes una evaluación próxima. Configura recordatorios en tu calendario para revisar la lista nuevamente a medida que se acerque la fecha de tu evaluación.

• Realizar evaluaciones exhaustivas: Revisan tus prácticas de ciberseguridad, documentación, registros de capacitación y controles técnicos frente a los requisitos de CMMC Nivel 2.

• Verificación: Los C3PAO deben "mirar bajo el capó" para asegurarse de que los controles no solo existan, sino que también funcionen como se espera.

• Enviar los resultados de la evaluación: Después de completar una evaluación, los C3PAO envían los resultados y toda la documentación relevante al Cyber-AB.

• Mantener registros detallados: Los C3PAO mantienen registros detallados de su trabajo, resultados de evaluación y comunicaciones con los clientes.

• Operar con independencia: Los C3PAO deben evitar conflictos de interés que puedan comprometer la objetividad de la evaluación.

• Ayudar a explicar: Si bien los C3PAO no te asesoran ni te ayudan a prepararte, pueden servir como traductores importantes cuando los requisitos no son claros, o cuando tu equipo necesita ayuda para entender el "por qué" detrás de ciertos requisitos de CMMC.

• Cumplir con los estándares de acreditación: Los C3PAO deben mantener la certificación ISO 17020. Este estándar internacional garantiza que los C3PAO sigan procesos rigurosos de gestión de calidad y mantengan la experiencia técnica necesaria para evaluar controles de ciberseguridad complejos frente a NIST SP 800-171 y otros requisitos de CMMC.

El DoD exige verificación independiente por parte de un C3PAO autorizado para la certificación de Nivel 2. Si bien puedes usar un RPO para prepararte, solo un C3PAO puede certificar realmente tu cumplimiento. Piénsalo así: los RPO te ayudan a estudiar para el examen, pero los C3PAO lo administran.

Vale la pena señalar que si eres uno de los pocos contratistas que eventualmente necesitan el Nivel 3, de todas formas deberás pasar primero una evaluación de Nivel 2 con un C3PAO. El Nivel 3 está reservado para programas selectos y de alto riesgo del DoD, y es evaluado por DIBAC solo después de haber obtenido la certificación de Nivel 2. 

Elegir al proveedor de C3PAO adecuado es fundamental para un proceso de evaluación fluido y exitoso. Estos son los factores clave que debes considerar al evaluar posibles proveedores.

Experiencia con organizaciones similares

El proveedor adecuado debe entender los matices de tu industria, producto, procesos y entorno.

Cobertura geográfica

Algunas situaciones pueden requerir un C3PAO con presencia local.

Enfoque de evaluación

Los C3PAO varían en su forma de abordar el proceso de evaluación. Algunos se centran en las relaciones y la colaboración. Otros siguen el manual al pie de la letra y mantienen todo formal. 

Disponibilidad y programación

Los C3PAO trabajan con capacidad limitada. Si tienes un plazo ajustado, asegúrate de que tu C3PAO pueda acomodarte, o podrías enfrentar una larga espera.

Estilo de comunicación

Durante la evaluación, tu C3PAO se convierte en tu socio más cercano en el proceso. Pregunta sobre su estilo de comunicación, claridad y capacidad de respuesta.

Con la implementación total de CMMC en 2025, la necesidad de evaluaciones C3PAO aumentará drásticamente, ya que todo contrato del DoD exigirá certificación. Esta creciente demanda expandirá significativamente el mercado de C3PAO, así que se espera ver más proveedores autorizados entrando al campo, junto con una mayor especialización. Algunos C3PAO se enfocarán en industrias específicas como aeroespacial o servicios de TI, mientras que otros podrían especializarse en tamaños particulares de empresas. Esta especialización dará a los contratistas más opciones, pero también exigirá una evaluación más cuidadosa para encontrar la opción adecuada.

Convertirse en C3PAO requiere compromiso y experiencia técnica. Las organizaciones deben cumplir con varios requisitos estrictos:

• Propiedad estadounidense: Tu organización debe ser 100% propiedad de ciudadanos estadounidenses o pasar una investigación de Propiedad, Control o Influencia Extranjera (FOCI).

• Cumplimiento de CMMC Nivel 2: Tu organización debe obtener la certificación CMMC Nivel 2.

• Certificación ISO 17020: Debes obtener la acreditación ISO 17020 que indique competencia para realizar inspecciones y evaluaciones.

• Personal calificado: Tu equipo debe incluir Profesionales Certificados en CMMC (CCP) y Evaluadores Certificados (CCA).

• Cobertura de seguro: Mantén pólizas adecuadas de responsabilidad civil, errores y omisiones, y brechas de ciberseguridad.

• Verificaciones de antecedentes: El Cyber-AB realiza verificaciones de antecedentes organizacionales para confirmar la ausencia de influencia extranjera.

• Cuotas anuales: Prepárate para pagar cuotas continuas para mantener el estatus de C3PAO.

La plataforma de seguridad administrada de Huntress ofrece detección y respuesta administradas ante amenazas para proteger endpoints, servidores e identidades, lo que te ayuda a identificar y remediar brechas de seguridad antes de tu evaluación C3PAO Nivel 2. Huntress brinda la documentación detallada que los C3PAO necesitan ver, lo que te ayuda a reducir semanas de tu proceso de preparación y días de tu evaluación. Al fortalecer los controles fundamentales, Huntress respalda tu postura general de ciberseguridad, ya sea que te estés preparando para el Nivel 2 o construyendo las bases para una eventual evaluación de Nivel 3. Reserva una demo hoy mismo para ver cómo Huntress te ayuda a lograr la certificación.