Comprendiendo los Niveles de CMMC 2.0: Una Guía Completa para Contratistas del DoD

La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) es una certificación diseñada para proteger la información confidencial del Departamento de Defensa (DoD). Es parte de un esfuerzo mayor para asegurar que todos los contratistas y proveedores en la Base Industrial de Defensa (DIB) del DoD tengan los procesos y procedimientos de ciberseguridad necesarios para proteger la información no clasificada controlada (CUI) y la información sobre contratos federales (FCI).

CMMC 2.0 consta de tres niveles de madurez distintos, que son el enfoque principal de este artículo. Las organizaciones pueden elegir entre los tres niveles de madurez, Fundamental, Avanzado y Experto, para evaluar y mejorar mejor su postura de ciberseguridad. Este artículo explicará estos niveles de madurez en detalle para ayudar a los contratistas del DoD, proveedores y otras organizaciones que necesiten cumplir, a entender y cumplir implementando las medidas de seguridad necesarias.

CMMC 2.0 Nivel de Madurez 1: Fundamental

El nivel Fundamental es el primero de los tres niveles, y consiste en prácticas básicas de administración de riesgos de ciberseguridad. Este nivel abarca las medidas más básicas de protección cibernética y está destinado a abordar las amenazas cibernéticas más comunes. Se centra en medidas básicas de seguridad y administración de riesgos, como la autenticación y el control de acceso, que es la capacidad de controlar quién puede acceder a qué información.

Los requisitos de este nivel se dividen en 17 prácticas diferentes, que incluyen, pero no se limitan a, Gestión de Activos, Protección de Medios, Identificación y Autenticación, Evaluación y Autorización de Seguridad, y Protección de Sistemas y Comunicaciones. Las organizaciones deben demostrar que todas las prácticas requeridas han sido implementadas, así como demostrar procesos efectivos de administración de ciberseguridad.

Ejemplos de prácticas de seguridad apropiadas para el nivel Fundamental incluyen:

• Respaldar regularmente los datos y almacenar esos datos en una ubicación segura fuera del sitio
• Utilizar contraseñas complejas y autenticación de dos factores para todas las cuentas
• Instalar, mantener y actualizar firewalls, antivirus y otros software de seguridad
• Realizar auditorías de seguridad regularmente para identificar vulnerabilidades y tomar medidas para abordarlas

¿Quién Necesita Cumplir con el Nivel 1 de CMMC?

CMMC 2.0 Nivel 1 se aplica a los contratistas y subcontratistas del DoD que manejan información sobre contratos federales (FCI) que es proporcionada por o generada para el gobierno bajo un contrato para desarrollar o entregar un producto o servicio al gobierno.

El nivel Fundamental requiere que las organizaciones realicen prácticas básicas de ciberseguridad. Se les permite alcanzar la certificación a través de una autoevaluación anual. Las Organizaciones Evaluadoras de Terceros CMMC (C3PAOs) no están involucradas con la certificación de Nivel 1.

CMMC 2.0 Nivel de Madurez 2: Avanzado

El nivel Avanzado es el siguiente paso en el proceso de certificación CMMC, y consiste en prácticas de ciberseguridad más especializadas y detalladas. Estas prácticas están diseñadas para proteger contra amenazas cibernéticas más avanzadas. Está destinado a ser un nivel de protección más alto que el nivel Fundamental, y está diseñado para proteger los activos más valiosos de una empresa.

El nivel Avanzado se divide en 110 prácticas diferentes, que incluyen, pero no se limitan a, Control de Acceso, Evaluación y Autorización de Seguridad, Protección de Sistemas y Comunicaciones, y Planificación de Ataques y Respuestas. Las organizaciones deben demostrar que todas las prácticas requeridas han sido implementadas, así como demostrar procesos efectivos de administración de ciberseguridad. CMMC 2.0 Nivel 2 está mapeado a NIST 800-171.

Ejemplos de prácticas de seguridad apropiadas para el nivel Avanzado incluyen:

• Establecer políticas y procedimientos para gestionar el acceso y la autenticación de usuarios
• Implementar sistemas de seguridad efectivos y protección de comunicaciones como cifrado y aislamiento de red
• Instituir un sistema para responder rápida y efectivamente a las amenazas cibernéticas
• Realizar evaluaciones de seguridad regularmente para identificar y abordar vulnerabilidades
• Desarrollar estrategias para prevenir y detectar actividades maliciosas

¿Quién Necesita Cumplir con el Nivel 2 de CMMC?

Los contratistas y subcontratistas del DoD que manejan el mismo tipo de CUI deben cumplir con el cumplimiento de Nivel 2. Los contratistas del DoD con adquisiciones priorizadas que manejan datos críticos para la seguridad nacional deben pasar una evaluación por una C3PAO cada tres años, mientras que las adquisiciones no priorizadas con datos no críticos para la seguridad nacional deben realizar una autoevaluación anual.

CMMC 2.0 Nivel de Madurez 3: Experto

El nivel Experto es el nivel más alto del proceso de certificación CMMC, y consiste en las prácticas de ciberseguridad más completas. Está diseñado para asegurar la seguridad de la información y los activos más sensibles de una organización, así como asegurar la capacidad de la organización para defenderse contra ciberataques complejos y sofisticados.

CMMC 2.0 Nivel 3 aborda las amenazas persistentes avanzadas más sofisticadas y está destinado a fortalecer la ciberseguridad de un sistema. Requiere que las organizaciones establezcan, mantengan y doten de recursos un plan para implementar adecuadamente las prácticas de ciberseguridad. Este plan debe incluir objetivos, misiones, proyectos, recursos, capacitación y la participación de las partes interesadas de la organización. Los planes también deben centrarse en proteger el CUI.

Aunque los requisitos específicos aún se están desarrollando, es probable que el Nivel 3 contenga los 110 controles de NIST SP 800-171 y un subconjunto de controles de NIST SP 800-172. El concepto e implementación del Nivel 3 ayudará a las organizaciones a reducir su vulnerabilidad a las amenazas persistentes avanzadas, así como a asegurar buenas prácticas de higiene cibernética.

Además de los requisitos de seguridad de NIST SP 800-172, el Nivel 3 también agregó 20 prácticas más. Además, se aplica la cláusula DFARS 252.204-7012, que agrega un nivel adicional de requisitos de seguridad para los sistemas que manejan CUI para programas del DoD con la más alta prioridad.

Ejemplos de prácticas de seguridad apropiadas para el nivel Experto incluyen:

• Implementar un sistema efectivo para monitorear y detectar actividad maliciosa
• Establecer políticas y procedimientos para gestionar el acceso y la autenticación de usuarios
• Implementar sistemas de seguridad avanzados y protección de comunicaciones como cifrado y aislamiento de red
• Establecer un sistema de respuesta a incidentes para responder rápida y efectivamente a las amenazas cibernéticas
• Implementar un sistema para auditar y monitorear regularmente sistemas y redes en busca de posibles problemas de ciberseguridad

¿Quién Necesita Cumplir con el Nivel 3 de CMMC 2.0?

CMMC 2.0 Nivel 3 se aplica a las empresas que manejan CUI para programas del DoD con la más alta prioridad. Es comparable al Nivel 5 de CMMC 1.02, aunque el DoD aún está desarrollando sus requisitos específicos de seguridad.

CMMC para Organizaciones que No Necesitan Cumplir

Las organizaciones que no necesitan cumplir con los estándares CMMC aún pueden beneficiarse del marco. Para comenzar, los niveles de CMMC todavía son aplicables como referencia para organizaciones fuera de la Base Industrial de Defensa para crear sus propias políticas y procedimientos de seguridad para asegurar que su información confidencial esté bien protegida. Para determinar qué nivel de madurez de CMMC es más apropiado para su organización, deben evaluar su postura de seguridad. Esto te da un punto de partida para crear un plan de seguridad efectivo que cumpla con los objetivos de tu organización.

Las organizaciones que buscan crear su propio plan de seguridad deben implementar las medidas del CMMC. Esto incluye áreas como control de acceso, integridad del sistema e información, protección de medios y respuesta a incidentes. A medida que avanzas en cada área, debes considerar los requisitos de los niveles de CMMC para adaptar el plan a tu organización. También debes evaluar tu postura de seguridad para identificar cualquier brecha y determinar cómo abordarlas. Estas deben incluirse en la estrategia de administración de riesgos de ciberseguridad de cada organización.

También debes considerar implementar otras medidas que mejoren tu postura de seguridad, como monitoreo continuo y parcheo, desarrollo seguro de sistemas, seguridad de la información y capacitación. Todas estas medidas pueden adaptarse para satisfacer tus necesidades organizacionales individuales y deben incorporarse en el plan de seguridad general.

Al usar los niveles de CMMC como referencia y crear un plan de seguridad efectivo, las organizaciones pueden asegurar que su información confidencial esté bien protegida. Además, pueden fomentar un entorno de confianza con sus clientes y socios, así como cumplir con sus obligaciones con las leyes y estándares de protección de datos. En última instancia, las organizaciones que usan los principios del CMMC como guía pueden desarrollar un entorno seguro para su información y sistemas.

Cómo la Red de Contenido Privado Habilitada por Kiteworks Acelera el Cumplimiento de CMMC 2.0 Nivel 2

La Red de Contenido Privado Habilitada por Kiteworks (PCN) simplifica y acelera el proceso de cumplimiento de CMMC 2.0 Nivel 2 para las empresas. Kiteworks unifica, rastrea, controla y asegura todas las comunicaciones de contenido sensible en una sola plataforma. También permite que las primeras y terceras partes colaboren en contenido confidencial. Kiteworks ayuda a simplificar y acelerar el proceso de lograr el cumplimiento de CMMC 2.0 Nivel 2 proporcionando control de acceso, transferencia segura de archivos, cifrado de archivos, uso compartido seguro de archivos y autenticación con autenticación de dos factores y autenticación multifactor. Las organizaciones pueden establecer permisos y políticas granulares para asegurar los más altos niveles de seguridad de sus datos y contenido.

Con Kiteworks, las organizaciones pueden compartir de manera segura su documentación y evidencia de CMMC 2.0 Nivel 2 internamente con una C3PAO (Organización Evaluadora de Terceros) y con el Organismo de Acreditación de CMMC (CMMC-AB). Esto ayuda a las organizaciones a pasar por el proceso de cumplimiento más rápido y de manera más eficiente.

Kiteworks ayuda a las organizaciones a crear un rastro de auditoría digital para todas sus comunicaciones de contenido sensible. Esto les permite monitorear las comunicaciones de contenido sensible y demostrar adherencia a las regulaciones de privacidad y seguridad de datos, incluyendo CMMC 2.0 Nivel 2. Kiteworks también proporciona a los auditores de C3PAO un rastro de auditoría completo que puede usarse para acelerar el proceso de certificación. Además, Kiteworks soporta casi el 90% de los requisitos de CMMC 2.0 Nivel 2 desde el primer momento.

Para aprender más sobre la Red de Contenido Privado de Kiteworks y cómo puede acelerar tu cumplimiento de CMMC 2.0 Nivel 2, programa una demostración personalizada hoy.

Volver al Glosario de Riesgo y Cumplimiento