Todo lo que Necesitas Saber sobre el Organismo de Acreditación de Certificación CMMC (The Cyber AB)

En la era digital actual, la ciberseguridad se ha convertido en una prioridad para las organizaciones de todos los sectores, especialmente aquellas que trabajan con información sensible. El Departamento de Defensa (DoD) ha tomado medidas significativas para mejorar sus medidas de ciberseguridad creando el Modelo de Certificación de Madurez de Ciberseguridad (CMMC).

El Organismo de Acreditación CMMC (CMMC AB) desempeña un papel crucial en asegurar que las organizaciones cumplan con los estándares de seguridad necesarios para proteger la información no clasificada controlada (CUI) y la información sobre contratos federales (FCI).

En abril de 2022, el CMMC AB anunció que se sometería a un cambio de marca completo, y declaró que asumiría un nuevo logotipo, nombre y sitio web público. El 7 de junio de 2022, el CMMC AB reveló formalmente su nueva marca pública como “The Cyber AB” con la misma organización y responsabilidades. Legalmente, la organización aún mantiene el nombre de Cybersecurity Maturity Model Certification Accreditation Body, Inc.

Este artículo tiene como objetivo ayudarte a entender la importancia de The Cyber AB y su papel en autorizar a las Organizaciones Evaluadoras de Terceros CMMC.

¿Qué es The Cyber AB?

The Cyber AB es el organismo de acreditación oficial responsable de supervisar e implementar el modelo CMMC. Esta organización sin fines de lucro fue establecida en 2020 para asegurar que las organizaciones cumplan con los estándares de ciberseguridad requeridos para manejar información sensible, principalmente para los participantes en la Base Industrial de Defensa (DIB).

Si bien existen otros organismos de acreditación para diferentes industrias y estándares, The Cyber AB es específicamente responsable de gestionar los requisitos del CMMC, que son únicos para el DoD y sus contratistas. Su propósito principal es salvaguardar la integridad del proceso CMMC y mantener un alto nivel de experiencia entre sus profesionales certificados.

El Marco y Alcance de The Cyber AB

El papel principal de The Cyber AB es autorizar y acreditar a las Organizaciones Evaluadoras de Terceros CMMC (C3PAOs) que realizan evaluaciones CMMC de organizaciones dentro del DIB. También gestiona los aspectos de certificación profesional y formación del Ecosistema CMMC, trabajando con nuestros socios para desarrollar los planes de estudio y protocolos de examen para Evaluadores e Instructores CMMC.

The Cyber AB establece los requisitos y procesos para lograr la certificación CMMC. Se basa en regulaciones existentes, como NIST SP 800-171, DFARS 252.204-7012, y otros, para establecer un estándar integral de ciberseguridad. El modelo CMMC 2.0 consta de tres niveles de madurez: Nivel 1, Nivel 2, y Nivel 3.

Para alcanzar un nivel de madurez específico, las organizaciones deben cumplir con las prácticas y procesos requeridos para ese nivel. The Cyber AB es responsable de asegurar que las organizaciones cumplan con estos requisitos a través de un riguroso proceso de evaluación y certificación. Las organizaciones que manejan CUI o trabajan con el DoD deben lograr el nivel de certificación CMMC adecuado para ser elegibles para adjudicaciones de contratos.

The Cyber AB y las Organizaciones Evaluadoras de Terceros CMMC (C3PAOs)

The Cyber AB trabaja como la fuente autorizada para las actividades de evaluación, acreditación y certificación CMMC. The Cyber AB es responsable de establecer y gestionar el ecosistema CMMC, que incluye la formación, certificación y control de calidad de los Evaluadores Certificados (CAs) y C3PAOs. The Cyber AB trabaja estrechamente con el DoD para asegurar una implementación exitosa del marco CMMC y una postura de ciberseguridad mejorada para el DIB. Es responsable de establecer las pautas, políticas y procedimientos para las evaluaciones, asegurando que cada organización sea evaluada con precisión según su nivel CMMC deseado.

Las C3PAOs desempeñan un papel crucial en el proceso de evaluación. Estas organizaciones son responsables de realizar las evaluaciones CMMC reales en organizaciones que buscan certificación. Están altamente capacitadas y acreditadas por The Cyber AB para realizar evaluaciones CMMC y emitir certificaciones basadas en la evidencia recopilada durante la evaluación. Las C3PAOs deben permanecer imparciales e independientes de la organización que están evaluando para asegurar una evaluación justa y sin sesgos. Realizan evaluaciones utilizando una combinación de procedimientos estandarizados, pautas y marcos suministrados por The Cyber AB.

La evaluación realizada por las C3PAOs se basa en el nivel de madurez deseado por la organización. Los niveles de madurez CMMC 2.0 son:

CMMC 2.0 Nivel 1: Fundamental

El nivel fundamental requiere una autoevaluación anual con atestación de un ejecutivo corporativo. Este nivel abarca los requisitos básicos de protección para FCI especificados en la Cláusula FAR 52.204-21.

CMMC 2.0 Nivel 2: Avanzado

El nivel avanzado está alineado con el Instituto Nacional de Estándares y Tecnología SP 800-171 (NIST SP 800-171). Requiere evaluaciones de terceros trienales para contratistas del DoD que envían, comparten, reciben y almacenan información crítica de seguridad nacional. Estas evaluaciones de terceros son realizadas por C3PAOs. Algunos contratistas que se encuentran en el Nivel 2 solo requieren autoevaluaciones anuales con atestación corporativa.

Este nivel abarca los requisitos de seguridad para CUI especificados en NIST SP 800-171 Rev 2 según la Cláusula DFARS 252.204-7012 [3, 4, 5].

CMMC 2.0 Nivel 3: Experto

El nivel experto está alineado con y requerirá evaluaciones dirigidas por el gobierno trienales. La información sobre el Nivel 3 se publicará más adelante y contendrá un subconjunto de los requisitos de seguridad especificados en NIST SP 800-172 [6].

Cada uno de estos niveles tiene un conjunto de prácticas y procesos que las organizaciones deben demostrar que han implementado y están gestionando de manera efectiva. Las C3PAOs evalúan y validan si la organización cumple con estos requisitos, lo que lleva a la concesión de la certificación CMMC adecuada.

Uno de los objetivos principales de The Cyber AB y las C3PAOs es asegurar la confiabilidad e integridad del ecosistema CMMC.

¿Cómo Autoriza The Cyber AB a las C3PAOs?

The Cyber AB tiene un papel esencial en la implementación y éxito del marco CMMC. The Cyber AB es responsable de varias tareas críticas, incluyendo establecer y gestionar los programas de formación y certificación para evaluadores CMMC, mantener un registro de evaluadores certificados y supervisar la implementación general del marco CMMC.

Una de las responsabilidades más cruciales de The Cyber AB es asegurar que todos los evaluadores cumplan con los más altos estándares de ética y profesionalismo. El organismo de acreditación hace esto desarrollando un código de ética para los evaluadores y estableciendo un sistema de controles y equilibrios para asegurar la imparcialidad y consistencia de las evaluaciones.

Una organización que desea convertirse en una C3PAO debe navegar con éxito un proceso de autorización antes de ser certificada como C3PAO. Las C3PAOs prospectivas deberán pasar una evaluación CMMC realizada por el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC). La C3PAO deberá demostrar su cumplimiento con el estándar CMMC en el que realizarán evaluaciones.

The Cyber AB también es responsable de asegurar que el proceso de certificación sea justo, transparente y accesible para todas las empresas que buscan certificación. Esto incluye desarrollar programas de formación para evaluadores, crear un conjunto de procedimientos y pautas de evaluación, y establecer un sistema para apelaciones y resolución de disputas.

En general, The Cyber AB desempeña un papel crítico en la implementación exitosa del marco CMMC, y sus responsabilidades son cruciales para asegurar los más altos estándares de madurez en ciberseguridad a través del DIB. Con su compromiso con la transparencia, profesionalismo y prácticas éticas, The Cyber AB es un socio crucial en el esfuerzo continuo por proteger la información sensible del gobierno y mejorar la seguridad nacional.

Roles y Responsabilidades del Personal de The Cyber AB

The Cyber AB involucra a una variedad de personal, incluidos miembros de la junta, evaluadores y C3PAOs. Los miembros de la junta son responsables de supervisar la estrategia, gobernanza y operaciones de la organización. También desarrollan políticas y procedimientos para el proceso de acreditación y aseguran el mantenimiento y mejora continua del modelo CMMC.

Los evaluadores CMMC certificados son responsables de realizar auditorías y evaluaciones de organizaciones que buscan la certificación CMMC. Evalúan las prácticas y procesos de ciberseguridad de la organización para determinar su cumplimiento con los requisitos del CMMC. The Cyber AB proporciona rigurosos programas de formación y certificación para sus evaluadores para asegurar su experiencia y profesionalismo.

Importancia del Cumplimiento CMMC para Contratistas del Gobierno

CMMC es un estándar de ciberseguridad unificado para contratistas del DoD, con el objetivo de proteger la información no clasificada controlada (CUI) dentro de la cadena de suministro. El CMMC fue creado por el DoD y es un componente esencial para las organizaciones que buscan asegurar su posición dentro del DIB.

Al implementar el nivel adecuado de cumplimiento CMMC, los contratistas del gobierno pueden demostrar su compromiso con la protección de contenido sensible y mantener la confianza del DoD y otras agencias gubernamentales. The Cyber AB desempeña un papel vital en asegurar que los contratistas del gobierno logren el nivel requerido de cumplimiento. Como el organismo de acreditación responsable del CMMC, The Cyber AB establece los requisitos para certificar organizaciones y evaluadores individuales. The Cyber AB asegura que el proceso de certificación sea consistente y riguroso, promoviendo un alto nivel de seguridad a través del DIB. Los contratistas que buscan la certificación CMMC deben someterse a evaluaciones realizadas por C3PAOs.

El cumplimiento CMMC no solo beneficia a la seguridad nacional, sino que también proporciona ventajas competitivas para los contratistas del gobierno. Ser compatible con CMMC demuestra el compromiso de un contratista con la ciberseguridad, lo cual es un factor de selección esencial para las agencias gubernamentales.

The Cyber AB y la Integración del Modelo de Madurez de Ciberseguridad (CMMI)

El modelo CMMI es un marco de mejora de procesos que ayuda a las organizaciones a mejorar sus procesos y alcanzar niveles más altos de rendimiento. Se enfoca en varios dominios, incluida la ciberseguridad. The Cyber AB aprovecha el modelo CMMI para establecer un modelo de madurez para prácticas y procesos de ciberseguridad, proporcionando un marco robusto para que las organizaciones mejoren su postura de ciberseguridad.

Tanto The Cyber AB como CMMI trabajan juntos para asegurar que las organizaciones alcancen el nivel deseado de madurez en ciberseguridad, buscando constantemente mejorar su postura de seguridad con el tiempo.

Kiteworks Apoya el Cumplimiento de CMMC 2.0 Nivel 2

Debido a que Kiteworks está autorizado por FedRAMP para Impacto de Nivel Moderado, soporta casi el 90% de los requisitos de CMMC 2.0 Nivel 2 de manera predeterminada. Kiteworks también facilita y acelera la certificación de proveedores del DoD para el cumplimiento CMMC por parte de las C3PAOs. Usando confianza cero definida por contenido, Kiteworks protege las comunicaciones sensibles de contenido CUI y FCI e incluye gestión de procesos segura para apoyar el flujo de trabajo y la revisión de actividades y autenticación de usuarios para proteger contra actores maliciosos.

Kiteworks proporciona la capacidad de automatizar muchos de los sistemas y procesos asociados con el cumplimiento de los requisitos CMMC con informes de registros de auditoría. Esto permite a las C3PAOs completar sus evaluaciones de proveedores del DoD, identificando cualquier brecha que exista en los controles de práctica CMMC.

Los contratistas y subcontratistas del DoD que buscan competir por negocios del DoD deben lograr el cumplimiento CMMC. La implementación por fases comenzó en mayo de 2023, por lo que el momento para comenzar es ahora, y la Red de Contenido Privado de Kiteworks es el punto de partida perfecto.

Programa una demostración personalizada para ver cómo Kiteworks puede acelerar tu camino hacia el cumplimiento CMMC hoy.

Volver al Glosario de Riesgo y Cumplimiento