La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) es el estándar del DoD para los requisitos de ciberseguridad y la validación de que los contratistas cumplen con esos requisitos. En el pasado, las empresas autoevaluaban su preparación en ciberseguridad, a menudo de forma incorrecta. Ahora, un tercero verificará tus controles de seguridad mediante una evaluación CMMC.

El marco mide a las empresas con base en un modelo escalonado según la información que procesan. Si procesas Información de Contrato Federal (FCI), deberás cumplir con requisitos básicos. Pero si tu empresa procesa Información No Clasificada Controlada (CUI), deberás cumplir con requisitos más estrictos. La mayoría de las organizaciones que manejan CUI deberán alcanzar el CMMC Nivel 2, que incluye 110 prácticas de seguridad en 17 dominios y requiere una evaluación certificada de un tercero.

FCI es cualquier información que el gobierno federal proporciona, o que un contratista crea bajo contrato, que no está destinada a divulgación pública. CUI es cualquier información que requiera salvaguardas o controles de difusión según leyes, reglamentos o políticas gubernamentales. La CUI existe en muchos tipos.

Esto es lo que sorprende a muchas organizaciones: el CMMC afecta a muchas más empresas de lo que la mayoría cree. Los requisitos abarcan toda la cadena de suministro de defensa. El hecho de que no creas estar "desarrollando" tecnología de vanguardia para el gobierno no significa que no manejarás CUI ni que no necesitarás la certificación CMMC. Cualquier empresa que tenga contacto con CUI necesita la certificación CMMC. Solo ten en cuenta que el CMMC es específico para contratos del DoD, y otras agencias federales tienen sus propios requisitos de ciberseguridad.

¿A quién aplica el CMMC? Es simple: a cualquier empresa en la cadena de suministro del DoD que maneje FCI o CUI.

Si eres un contratista principal, probablemente ya conoces el CMMC y estás determinando cómo afecta a tus subcontratistas. Lo importante es que los subcontratistas de segundo nivel, tercer nivel (y más allá) también deben cumplir con los requisitos del CMMC.

Puede que seas un pequeño desarrollador de aplicaciones que vende a un contratista principal más grande. Tal vez seas un fabricante de hardware que envía directamente al DoD. Podrías ofrecer servicios de consultoría para ayudar a las empresas a implementar programas críticos para la misión. Ya sea que trabajes directamente con el DoD o seas un subcontratista muy alejado del gobierno, si tu empresa tiene acceso a FCI o CUI, necesitas conocer el CMMC y determinar quién debe certificarse: tu organización o tus subcontratistas.

Lograr y mantener tu certificación CMMC involucra prácticamente a todos los departamentos de tu organización. Sin embargo, algunos departamentos deben asumir la responsabilidad del proceso.

El liderazgo debe entender que el CMMC es un tema de riesgo empresarial. Consigue respaldo para contar con el personal y el presupuesto adecuados. Si estás presentando una propuesta al gobierno y se requiere certificación para adjudicar un contrato, esto se convierte en un tema a nivel directivo.

Tus equipos de TI y seguridad harán el trabajo pesado al prepararse para tu evaluación real. Se asegurarán de que todos los controles técnicos estén implementados. Sin embargo, muchas organizaciones pasan por alto que deben demostrar que tienen esos controles implementados. La documentación lo es todo. La prueba se presenta en forma de tus políticas de seguridad, procedimientos, planes de seguridad del sistema (SSP) y registros de tareas de seguridad completadas.

Tus equipos de contratos y adquisiciones también desempeñan un papel importante. El equipo de adquisiciones debe identificar si una solicitud requiere CMMC desde la lectura inicial. Preguntarle a tu equipo técnico en la etapa de propuesta solo condena al fracaso a tu equipo. Muchas empresas se enteran demasiado tarde de que necesitan la certificación CMMC porque un contratista principal pregunta por su estado de certificación, o lo ven en la solicitud. Para entonces, ya debería haberse determinado quién dentro de tu organización necesita cumplir con el CMMC.

Si quieres trabajar con el DoD y el contrato requiere certificación, no ganarás el contrato si no estás certificado. El DoD ha dejado claras sus intenciones y no está negociando este requisito.

Además, si eres un contratista principal, deberás validar que tus subcontratistas cumplan con los requisitos del CMMC. Así como los contratistas principales examinan el estado de cumplimiento de sus subcontratistas, tus subcontratistas te examinarán a ti. A las empresas sin certificación les costará más seguir subcontratando con empresas que sí la tienen. Piénsalo como fichas de dominó: un contrato que no puedes perseguir porque tu empresa no tiene la certificación correcta puede derribar a toda la organización.

El impacto financiero de esperar no se detiene cuando rechazas trabajo. Muchas empresas esperan demasiado hasta que anuncian un contrato atractivo en el que quieren trabajar. Ahora están tratando de ponerse al día, y eso les costará. Implementar controles a último minuto es más costoso. Las tarifas de consultoría son más altas porque probablemente estés pidiendo ayuda urgente para cumplir con tu plazo. Además, es muy probable que no cumplas con la fecha límite.

Ya sabes que el CMMC aplica a tu organización. ¿Ahora qué? Estos son los pasos para ayudarte a comenzar el proceso.

1. Determina tu nivel de CMMC requerido: El tipo de contratos que quieras conseguir o apoyar determinará esto. También considera dónde quieres que esté tu organización dentro de algunos años. 

2. Realiza un análisis de brechas: Una vez que sepas qué nivel necesitas alcanzar, determina en qué punto se encuentra tu organización. Revisa tus controles técnicos, políticas y procedimientos actuales según los requisitos. Muchas organizaciones tienen controles de ciberseguridad implementados, pero no los han documentado lo suficientemente bien como para respaldar el proceso. . Sin embargo, una vez que realizan un análisis de brechas, rápidamente se dan cuenta de que tienen algunos controles, pero carecen de documentación adecuada o del programa avanzado de ciberseguridad que exige el CMMC.

3. Corrige las brechas: Desarrolla un cronograma con tu equipo. No necesitas apresurar este proceso, pero tampoco deberías dejarlo para el último momento. Al crear tu cronograma, prioriza lo que debe hacerse y lo que puede hacerse.

4. Documenta todo: Una documentación adecuada es fundamental para aprobar tu evaluación. Asegúrate de contar con políticas, procedimientos, SSP y registros de tareas de seguridad actualizados.

5. Asóciate con un C3PAO certificado: Asegúrate de que la organización sea una Organización de Evaluación de Terceros en Ciberseguridad (C3PAO) autorizada y listada por The Cyber AB antes de contratarla. Antes de que llegue un evaluador, detecta las brechas tú mismo. Ellos realizarán pruebas para verificar que tus controles sean eficaces, así que aprovecha tus propias pruebas internas para detectar cualquier brecha restante.

Debes estar certificado antes de presentar una propuesta. Necesitas la certificación al momento de la adjudicación del contrato, lo que significa que debes tenerla antes de licitar.

El DoD está implementando CMMC durante tres años en todas las solicitudes, y para el final de esta implementación gradual, los requisitos de CMMC estarán incluidos en la mayoría de los contratos del DoD aplicables que involucren FCI o CUI. Existirán excepciones poco comunes, pero se verán como casos atípicos y no como la norma. El plazo para la implementación completa depende del tipo y la sensibilidad de la información involucrada, pero la tendencia es clara: los requisitos de CMMC se están convirtiendo en el estándar general. Cuando tu cliente favorito empiece a exigir la certificación para sus contratos, ya será demasiado tarde. Certifícate ahora y estarás listo cuando surjan esas oportunidades.

CMMC será parte de tu negocio, te guste o no. Probablemente ya sabías que había brechas en tu programa de ciberseguridad, y CMMC te está obligando a abordarlas para proteger a tu organización de las amenazas cibernéticas y mantener tus contratos con el DoD.