Lo Que Necesitas Saber Sobre el Cumplimiento de 32 CFR a Medida que se Acerca la Implementación de CMMC

El programa de Certificación del Modelo de Madurez de Ciberseguridad (CMMC) está a punto de dar un paso significativo hacia adelante. Con la publicación de la Regla Final 32 CFR Parte 170 en el Registro Federal el 15 de octubre de 2024, será efectiva el 16 de diciembre de 2024 y potencialmente en contratos tan pronto como el primer trimestre de 2025.

En esta publicación, examinaremos más de cerca el 32 CFR y lo que significa para los contratistas de defensa que deben demostrar cumplimiento con CMMC si esperan continuar trabajando con el Departamento de Defensa (DoD).

El proceso de certificación CMMC es arduo, pero nuestra hoja de ruta de cumplimiento CMMC puede ayudar.

¿Qué es el 32 CFR y por qué es importante?

El 32 CFR establece el marco regulatorio para el programa CMMC. Define tres niveles de CMMC, cada uno correspondiente a un aumento en la madurez de ciberseguridad para proteger la Información sobre Contratos Federales (FCI) y la Información No Clasificada Controlada (CUI):

• CMMC Nivel 1: CMMC Nivel 1 se centra en la higiene cibernética básica y requiere que las organizaciones implementen prácticas de ciberseguridad fundamentales, específicamente 15 requisitos dentro de seis dominios únicos. Estas prácticas se alinean con los requisitos del Reglamento Federal de Adquisiciones (FAR) y tienen como objetivo proteger la Información sobre Contratos Federales (FCI) a través de controles de seguridad simples, incluyendo gestión de acceso, protección física y monitoreo básico, sin documentación formal o madurez de procesos.
• CMMC Nivel 2: CMMC Nivel 2 está diseñado para organizaciones que manejan CUI y requiere cumplimiento con 110 prácticas de seguridad basadas en NIST 800-171. Este nivel enfatiza una higiene cibernética avanzada con controles más estrictos, incluyendo cifrado, gestión de acceso y monitoreo regular, mientras se demuestra documentación de procesos y madurez a través de autoevaluaciones o auditorías de terceros.
• CMMC Nivel 3: CMMC Nivel 3 está dirigido a organizaciones que gestionan CUI altamente sensible e información crítica de seguridad nacional. Para el Nivel 3, se requieren 134 controles (110 de NIST SP 800-171 y 24 adicionales de NIST SP 800-172). El Nivel 3 exige evaluaciones continuas, documentación detallada y certificaciones de terceros para asegurar una seguridad de primer nivel.

La regulación 32 CFR describe requisitos de seguridad específicos para cada nivel, basándose en estándares establecidos como NIST 800-171 y 800-172.

Es importante destacar que el 32 CFR transforma el CMMC de un modelo conceptual a un conjunto de requisitos exigibles para la base industrial de defensa (DIB). Detalla los procesos de evaluación y certificación, incluyendo criterios para las Organizaciones Evaluadoras de Terceros Certificadas (C3PAOs) y procedimientos para realizar evaluaciones.

El Tiempo Corre: Cronograma de Implementación de CMMC

Con la publicación de la Regla Final 32 CFR Parte 170 en el Registro Federal el 15 de octubre de 2024, será efectiva el 16 de diciembre de 2024 y potencialmente en contratos tan pronto como el primer trimestre de 2025. El momento para prepararse es ahora.

Los contratistas de defensa en la DIB deben comenzar inmediatamente a evaluar su postura actual de ciberseguridad frente a los requisitos anticipados de CMMC para su nivel. Involucrarse con C3PAOs temprano es crucial para asegurar un lugar en la cola de evaluación. Este enfoque proactivo ayudará a asegurar la certificación en el nivel de cumplimiento requerido antes de que se vuelva obligatorio para la elegibilidad de contratos.

¿Necesitas cumplir con CMMC? Aquí está tu lista de verificación completa de cumplimiento CMMC.

Simplificando el Cumplimiento de CMMC: La Red de Contenido Privado de Kiteworks

A medida que las organizaciones se apresuran a prepararse para CMMC, soluciones integrales como Kiteworks están volviéndose cada vez más valiosas. La Red de Contenido Privado de Kiteworks está autorizada por FedRAMP para Impacto Moderado y apoya casi el 90% de los requisitos del Nivel 2 de CMMC de inmediato.

Las características clave de la plataforma Kiteworks incluyen:

• Intercambio seguro de archivos: El intercambio seguro de archivos de Kiteworks permite a las organizaciones compartir archivos sensibles de manera segura interna y externamente, con características avanzadas como cifrado, controles de acceso de usuario, registros de auditoría y cumplimiento normativo con FedRAMP y, por supuesto, CMMC.
• Protección de correo electrónico: Las características de protección de correo electrónico de Kiteworks incluyen cifrado de extremo a extremo para correos electrónicos y archivos adjuntos, en tránsito y en reposo. Las características incluyen una puerta de enlace de protección de correo electrónico, seguimiento de cada archivo que se envía, recibe, descarga o mueve, registros de auditoría que registran la actividad de archivos y pueden ser alimentados a través de tu solución SIEM o utilizados para demostrar cumplimiento normativo, y controles de acceso granulares para intercambios de correo electrónico seguros y conformes.
• Transferencia de archivos administrada: La solución de transferencia de archivos administrada segura (MFT) de Kiteworks proporciona seguridad a nivel empresarial para transferir archivos sensibles grandes o en masa a través de redes. Ofrece cifrado de extremo a extremo, automatización de flujos de trabajo y cumplimiento con regulaciones como GDPR y HIPAA. Con seguimiento en tiempo real, controles de acceso y registros de auditoría, las organizaciones obtienen visibilidad y control sobre las transferencias de datos.
• Formularios web: La solución de formularios web seguros de Kiteworks permite a las organizaciones recopilar datos sensibles a través de formularios web encriptados y personalizables. Asegura la privacidad de los datos con cifrado de extremo a extremo y controles de acceso, mientras mantiene el cumplimiento con regulaciones como GDPR, PCI DSS y HIPAA. Las características incluyen flujos de trabajo automatizados, registros de auditoría y seguimiento en tiempo real para la presentación segura de datos.
• Controles de acceso fuertes: Los controles de acceso de Kiteworks permiten a las organizaciones gestionar y restringir el acceso a datos sensibles, asegurando que solo los usuarios autorizados puedan ver, editar o compartir información personal identificable y de salud protegida (PII/PHI), propiedad intelectual (IP) y otra información confidencial. Con permisos granulares, autenticación multifactor (MFA) y acceso basado en roles, Kiteworks asegura que el acceso a contenido sensible esté restringido solo a usuarios autorizados.
• Capacidades robustas de cifrado: Kiteworks ofrece capacidades robustas de cifrado que protegen los datos sensibles tanto en tránsito como en reposo. Kiteworks utiliza cifrado AES 256 para contenido en tránsito y TLS 1.3 para contenido en reposo. Utilizando cifrado de extremo a extremo, Kiteworks asegura archivos, correos electrónicos y comunicaciones contra el acceso no autorizado. La solución cumple con los estándares y regulaciones de la industria, asegurando la integridad y confidencialidad de los datos mientras proporciona a los usuarios tranquilidad en la protección de datos.
• Registro de auditoría integral: Kiteworks proporciona capacidades de registro de auditoría integral que rastrean todas las actividades de los usuarios relacionadas con el intercambio de archivos, correo electrónico y transferencias de datos. Estos registros ofrecen información detallada sobre el acceso, modificaciones y eventos de intercambio, asegurando responsabilidad y cumplimiento con regulaciones como CMMC y IRAP. Esta característica mejora la seguridad al permitir monitoreo proactivo y análisis forense.

Estas funcionalidades se alinean estrechamente con los requisitos de CMMC en múltiples dominios, incluyendo Control de Acceso, Auditoría y Responsabilidad, y Protección de Sistemas y Comunicaciones. Al aprovechar tal solución, las organizaciones pueden simplificar significativamente sus esfuerzos de cumplimiento con CMMC y reducir el riesgo de filtraciones de datos.

Kiteworks Ayuda a los Contratistas de Defensa a Demostrar Cumplimiento con CMMC con una Red de Contenido Privado

La Regla Final 32 CFR Parte 170 fue publicada en el Registro Federal el 15 de octubre de 2024, lo que significa que será efectiva el 16 de diciembre de 2024. Con las certificaciones CMMC potencialmente incluidas en los contratos del DoD tan pronto como el primer trimestre de 2025, las organizaciones en la DIB necesitan actuar rápidamente para evaluar su postura de ciberseguridad y comenzar el proceso de certificación. Soluciones como Kiteworks pueden desempeñar un papel crucial en esta preparación, ofreciendo herramientas integrales para cumplir con los requisitos de CMMC y proteger información sensible. A medida que nos acercamos a la fecha de implementación, mantenerse informado y proactivo será clave para asegurar el cumplimiento y mantener la elegibilidad para contratos del DoD.

La Red de Contenido Privado de Kiteworks, una plataforma de intercambio y transferencia de archivos segura validada a nivel FIPS 140-2, consolida correo electrónico, intercambio de archivos, formularios web, SFTP, transferencia de archivos administrada y una solución de gestión de derechos digitales de última generación para que las organizaciones controlen, protejan y rastrean cada archivo a medida que entra y sale de la organización.

Kiteworks apoya casi el 90% de los requisitos del Nivel 2 de CMMC 2.0 de inmediato. Como resultado, los contratistas y subcontratistas del DoD pueden acelerar su proceso de acreditación del Nivel 2 de CMMC 2.0 asegurándose de tener la plataforma adecuada de comunicaciones de contenido sensible en su lugar.

Con Kiteworks, los contratistas y subcontratistas del DoD unifican sus comunicaciones de contenido sensible en una Red de Contenido Privado dedicada, aprovechando controles de políticas automatizados y protocolos de seguimiento y ciberseguridad que se alinean con las prácticas de CMMC 2.0.

Kiteworks permite un cumplimiento rápido con CMMC 2.0 con capacidades y características clave que incluyen:

• Certificación con estándares y requisitos clave de cumplimiento del gobierno de EE. UU., incluyendo SSAE-16/SOC 2, NIST SP 800-171 y NIST SP 800-172
• Validación de Nivel 1 de FIPS 140-2
• Autorizado por FedRAMP para CUI de Impacto Moderado
• Cifrado AES de 256 bits para datos en reposo, TLS 1.2 para datos en tránsito y propiedad exclusiva de la clave de cifrado

Las opciones de implementación de Kiteworks incluyen en las instalaciones, alojado, privado, híbrido y nube privada virtual FedRAMP. Con Kiteworks: controla el acceso al contenido sensible; protégelo cuando se comparte externamente usando cifrado de extremo a extremo automatizado, autenticación multifactor y integraciones de infraestructura de seguridad; ve, rastrea e informa toda la actividad de archivos, es decir, quién envía qué a quién, cuándo y cómo. Finalmente, demuestra cumplimiento con regulaciones y estándares como GDPR, HIPAA, CMMC, Cyber Essentials Plus, IRAP y muchos más.

Para saber más sobre Kiteworks, programa una demostración personalizada hoy.