Para esta guía, nos enfocaremos en los cinco dominios de mayor prioridad que tu organización debe dominar para cumplir con CMMC. Estos dominios suelen recibir mayor escrutinio durante las evaluaciones porque conllevan el mayor riesgo, ya que abarcan cómo entran los atacantes, qué hacen y qué tan rápido lo notas. Por esa razón, también son las áreas más responsables de las evaluaciones fallidas.
Control de acceso
El control de acceso (AC) limita quién o qué puede ingresar al sistema y qué puede hacer dentro de él. En la práctica, opera según el principio de privilegio mínimo (PoLP), lo que significa que cada usuario y dispositivo obtiene solo el acceso que necesita. Los controles específicos incluyen cuentas de usuario únicas, tiempos de espera de sesión y autenticación multifactor (MFA). Las credenciales robadas son el principal vector de ataque inicial, y representan el 22% de las filtraciones. El AC protege contra el abuso de credenciales y las amenazas internas, y limita el movimiento lateral en caso de una intrusión.
Respuesta a incidentes
La respuesta a incidentes (IR) abarca cómo una organización se prepara y reacciona ante eventos de seguridad. Los controles requeridos incluyen un plan de IR, responsabilidades definidas y procedimientos para la detección, contención, erradicación y recuperación. Para cumplir con CMMC, no basta con tener un plan de IR; las organizaciones deben probar y documentar estos procedimientos regularmente.
Los evaluadores buscarán evidencia como registros de incidentes, planes de IR con fecha y registros de capacitación que muestren que el personal practicó sus roles. Durante una filtración, una respuesta rápida y organizada es fundamental. Las filtraciones contenidas en un plazo de 200 días cuestan en promedio $1.14 millones menos que aquellas con un tiempo de permanencia más largo.
Auditoría y responsabilidad
Los controles de auditoría y responsabilidad (AU) incluyen habilitar el registro detallado de las acciones de los usuarios, los eventos del sistema y los eventos de seguridad, y luego revisar esos registros regularmente. Un sistema SIEM (gestión de eventos e información de seguridad) suele centralizar los registros para su análisis. El registro efectivo es esencial para evaluar rápidamente el alcance de una filtración, identificando quién hizo qué y cuándo. CMMC requiere especificar qué eventos registrar (inicios de sesión, acciones privilegiadas, accesos a archivos, etc.), cuánto tiempo conservar los registros y con qué frecuencia revisarlos. Para los evaluadores, los registros son evidencia de que los controles están implementados y funcionando.
Identificación y autenticación
La identificación y autenticación (IA) funcionan de la mano con el control de acceso. Mientras que el AC se enfoca en lo que un usuario o dispositivo puede hacer, la IA primero verifica que eres quien dices ser. La IA exige que cada usuario y dispositivo tenga una identidad única y un método para verificarla (contraseñas, tokens, datos biométricos). Los controles incluyen exigir complejidad de contraseñas, rotar credenciales e implementar MFA. Este dominio garantiza que solo se otorgue acceso al sistema a identidades conocidas. Según Microsoft, la MFA puede bloquear el 99.9% de los compromisos de cuenta.
CMMC requiere procedimientos documentados para emitir y revocar identificaciones, y revisar periódicamente las cuentas. Por ejemplo, si un empleado se va, sus cuentas deben deshabilitarse de inmediato. Los auditores revisarán las listas de cuentas de usuario y los registros de MFA para confirmar que las políticas se cumplen.
Protección de sistemas y comunicaciones
La protección de sistemas y comunicaciones (SC) resguarda los datos y las redes en el límite del sistema, de modo que, incluso si los atacantes logran un punto de apoyo persistente, su capacidad de exfiltrar datos o moverse lateralmente sea limitada.
Los controles incluyen cifrado, firewalls, segmentación de redes, protocolos seguros (por ejemplo, TLS para el correo electrónico) y protección contra malware. Por ejemplo, CMMC puede exigir cifrar toda la CUI almacenada (en reposo) y configurar los routers para descartar el tráfico no autorizado. Para demostrar estos controles se necesitarían archivos de configuración del sistema que muestren el cifrado habilitado (por ejemplo, el estado de BitLocker) y diagramas de red con zonas de seguridad.
