Si necesitas cumplir con CMMC 2.0, aquí tienes tu lista completa de verificación de cumplimiento de CMMC

Dada la complejidad del marco de Certificación de Modelo de Madurez de Ciberseguridad (CMMC), es esencial que los contratistas y subcontratistas del gobierno tengan una lista de verificación integral de cumplimiento CMMC para asegurar que cumplan con todos los requisitos.

El proceso de certificación CMMC es arduo, pero nuestra hoja de ruta para el cumplimiento de CMMC 2.0 puede ayudar.

Este artículo del blog explora los requisitos de cumplimiento de CMMC 2.0, proporciona una lista de verificación integral de Cumplimiento CMMC y ofrece a los contratistas del Departamento de Defensa (DoD) ideas prácticas sobre cómo pueden lograr el cumplimiento CMMC.

¿Qué es el Cumplimiento CMMC?

CMMC es un marco de ciberseguridad que regula a los contratistas de manufactura que trabajan en la Base Industrial de Defensa (Base Industrial de Defensa), una extensa lista de socios de la cadena de suministro del DoD. Cualquier contratista o subcontratista que procese, envíe, comparta o reciba información no clasificada controlada (CUI) o información sobre contratos federales (FCI) debe demostrar cumplimiento con CMMC.

El objetivo de este marco es tomar requisitos y estándares dispares, junto con varios modelos para autoevaluación y atestación, y simplificarlos en prácticas de seguridad confiables, rigurosas y robustas con las que cualquier empresa pueda alinearse.

Los componentes de CMMC que lo distinguen de otras regulaciones del gobierno federal, como las Regulaciones Internacionales de Tráfico de Armas (ITAR), la Ley de Gestión de Seguridad de la Información Federal (FISMA) o el Programa de Gestión de Riesgos y Autorizaciones Federales (FedRAMP), incluyen:

• Información No Clasificada Controlada (CUI) e Información sobre Contratos Federales (FCI): CMMC cubre el almacenamiento, procesamiento, transmisión y destrucción de CUI explícitamente. CUI es una forma única de datos que no ha sido designada bajo clasificación Secreta pero requiere protecciones especiales para preservar la seguridad nacional. Ejemplos de CUI pueden incluir información financiera relacionada con contratos gubernamentales, información personal identificable (PII) de empleados gubernamentales o datos técnicos sensibles relacionados con sistemas de defensa.

  FCI es otra forma menor de información que tiene que ver con las relaciones contractuales entre contratistas y agencias. CMMC está diseñado para manejar ambos casos.

• Estándares NIST: CMMC, al igual que otros marcos federales de ciberseguridad, se basa en estándares creados y mantenidos por el Instituto Nacional de Estándares y Tecnología (NIST). Específicamente, CMMC se basa en NIST 800-171, “Protección de Información No Clasificada Controlada en Sistemas y Organizaciones No Federales”.

  Además, algunos niveles avanzados de cumplimiento CMMC se basarán en NIST SP 800-172, “Requisitos de Seguridad Mejorados para Proteger Información No Clasificada Controlada: Un Suplemento a la Publicación Especial 800-171 de NIST”.

• Niveles de Madurez: Para ayudar a los contratistas y agencias a alinearse en la seguridad requerida para establecer relaciones laborales, CMMC divide el cumplimiento en tres niveles de madurez basados en la implementación de controles de NIST SP 800-171 (y potencialmente SP 800-172) por parte del contratista.
• Evaluaciones de Terceros: Al igual que FedRAMP, CMMC se basa en evaluaciones de terceros realizadas por Organizaciones Evaluadoras de Terceros Certificadas (C3PAOs) como las que se enumeran aquí.

Requisitos de CMMC 2.0: Comprendiendo los Estándares de Ciberseguridad Actualizados

CMMC 2.0 representa una actualización e mejora crucial en los esfuerzos del DoD para asegurar la Base Industrial de Defensa (DIB) contra amenazas cibernéticas. Este marco actualizado ha simplificado el modelo original de CMMC, enfocándose en aumentar la claridad, alinearse más estrechamente con los estándares de ciberseguridad existentes y reducir la carga de cumplimiento para los contratistas de defensa. Al igual que con CMMC 1.0, es fundamental que los contratistas de defensa comprendan completamente los requisitos específicos de CMMC 2.0 para lograr el cumplimiento y asegurar contratos.

Requisitos de CMMC 2.0 Nivel 1: Ciberseguridad Fundamental

El Nivel 1 sirve como el nivel fundamental en el marco CMMC 2.0, dirigido principalmente a proteger la información sobre contratos federales (FCI). Requiere que las empresas implementen 17 prácticas básicas de ciberseguridad, derivadas principalmente de la Cláusula 52.204-21 del FAR (Reglamento Federal de Adquisiciones). El enfoque está en establecer prácticas fundamentales de higiene cibernética. No hay un requisito de madurez de proceso en este nivel, lo que significa que las organizaciones solo necesitan realizar las prácticas especificadas. Este nivel está diseñado para empresas que manejan FCI que no está destinada a ser divulgada públicamente, asegurando que se implementen medidas básicas de protección.

Requisitos de CMMC 2.0 Nivel 2: Ciberseguridad Avanzada

El Nivel 2 es un paso significativo, enfocándose en la protección de la información no clasificada controlada (CUI). Se alinea con el marco NIST SP 800-171, incorporando los 110 requisitos de seguridad de este estándar. Este nivel exige que las organizaciones no solo implementen estas prácticas, sino que también establezcan y documenten procesos maduros para guiar sus esfuerzos de ciberseguridad. El objetivo es lograr un estado de “buena higiene cibernética” e incluye una combinación de controles técnicos y de gestión para proteger la información sensible. Las empresas en este nivel típicamente manejan CUI y deben someterse a una evaluación por una Organización Evaluadora de Terceros CMMC (C3PAO).

Requisitos de CMMC 2.0 Nivel 3: Ciberseguridad Experta

Los requisitos para el Nivel 3 aún están en desarrollo y, como tal, permanecen indefinidos dentro del marco CMMC 2.0. Se espera que este nivel incorpore prácticas y procesos de NIST SP 800-172, que está diseñado para proteger CUI contra amenazas persistentes avanzadas (APTs). Se anticipa que el Nivel 3 represente un grupo más pequeño y enfocado de contratistas de defensa que poseen capacidades críticas para los intereses de seguridad nacional. Los requisitos específicos y la metodología de evaluación para este nivel serán definidos por el DoD en futuras guías. Los contratistas de defensa que apunten al cumplimiento del Nivel 3 deben prepararse implementando medidas avanzadas de ciberseguridad y esperando más detalles del DoD.

Costo del Cumplimiento CMMC

Comprender el verdadero costo del cumplimiento CMMC es crucial para cualquier organización que busque trabajar con el DoD. El costo puede variar drásticamente dependiendo de varios factores, como el tamaño de tu organización, la complejidad de tu infraestructura de red y el nivel de cumplimiento CMMC que deseas alcanzar. Los costos de cumplimiento CMMC pueden incluir actualizaciones de ciberseguridad, honorarios de consultores y capacitación adicional para el personal.

A pesar de estos gastos, lograr el cumplimiento CMMC no solo es un requisito para los contratistas del DoD, sino también una inversión valiosa en la postura de ciberseguridad de tu organización. Posteriormente a estos costos iniciales, las organizaciones también deben considerar los gastos continuos que vienen con el cumplimiento CMMC. Estos pueden incluir auditorías regulares de ciberseguridad, actualizaciones periódicas de la red y la necesidad de capacitación continua para los empleados para mantenerse al día con las amenazas emergentes. Podrían surgir costos adicionales por mantener la documentación requerida o si decides contratar un proveedor de servicios externo para gestionar tu proceso de cumplimiento.

Un factor significativo que afecta el costo del cumplimiento CMMC es el nivel CMMC que tu organización aspira a alcanzar. El modelo CMMC consta de cinco niveles, siendo el Nivel 1 el más básico y el Nivel 5 el más avanzado. Cada nivel requiere un conjunto de controles de ciberseguridad progresivamente más rigurosos, lo que significa que el costo aumentará a medida que avances en los niveles. Es crucial que las organizaciones evalúen con precisión su nivel necesario de cumplimiento y presupuesten en consecuencia.

Otra consideración de costo es el tamaño y la complejidad de tu organización. Las organizaciones más grandes con infraestructuras de red complicadas probablemente enfrentarán costos de cumplimiento más altos debido a la mayor complejidad de sus necesidades de ciberseguridad. Por otro lado, las organizaciones más pequeñas pueden encontrar el costo más manejable, pero aún deben estar preparadas para invertir en la infraestructura y capacitación necesarias para asegurar el cumplimiento.

Si bien el costo del cumplimiento CMMC puede ser considerable, es esencial verlo, una vez más, como una inversión en el futuro de tu organización en lugar de solo un gasto. Al lograr el cumplimiento CMMC, tu organización no solo cumple con los requisitos para trabajar con el DoD, sino que también fortalece significativamente su ciberseguridad general, potencialmente evitando costosos ciberataques en el futuro. Por lo tanto, aunque gestionar y planificar el costo del cumplimiento CMMC puede ser un desafío, los beneficios potenciales superan con creces los costos iniciales y continuos. Además, el incumplimiento puede llevar a la pérdida de negocios con el DoD, lo que puede ser un gran golpe para las organizaciones que dependen de estos contratos, haciendo que el costo del cumplimiento sea una inversión que vale la pena.

Niveles de Madurez CMMC 2.0

El corazón de CMMC 2.0 es su jerarquía de niveles de madurez. Estos niveles denotan la capacidad de un contratista para implementar controles de NIST SP 800-171, con niveles más altos denotando una postura de ciberseguridad más madura que puede abordar amenazas de seguridad más complejas. Asimismo, cada nivel conlleva más responsabilidades en términos de requisitos de evaluación.

Los tres niveles de madurez de CMMC 2.0 son:

• CMMC 2.0 Nivel 1: El nivel “Fundamental” es el mínimo indispensable de certificación CMMC. Un contratista que cumpla con los requisitos de CMMC 2.0 Nivel 1 puede implementar una colección de 15 controles de NIST SP 800-171.

  Además, en lugar de una auditoría de C3PAO, estos contratistas pueden proporcionar autoevaluaciones anuales y afirmaciones de cumplimiento. En este nivel, el contratista está autorizado para manejar FCI.

• CMMC 2.0 Nivel 2: El nivel “Avanzado” de CMMC espera que el contratista haya implementado los 110 controles de seguridad enumerados en NIST SP 800-171.

  Además, el contratista debe someterse a evaluaciones trienales a través de un C3PAO, con opciones para autoevaluación dependiendo de la aprobación del DoD para programas selectos. CMMC 2.0 Nivel 2 es el nivel mínimo de madurez que los contratistas deben cumplir para manejar CUI.

• CMMC 2.0 Nivel 3: El nivel “Experto” de cumplimiento CMMC ve a los contratistas implementando los 110 controles de NIST SP 800-171 y controles específicos en NIST SP 800-172 sin excepciones para evaluaciones trienales de C3PAO.

  CMMC 2.0 Nivel 3 está reservado para casos donde deben considerarse amenazas de seguridad significativas, incluidas amenazas persistentes avanzadas (APTs).

Lista de Verificación de Cumplimiento CMMC

La certificación CMMC, el precursor del cumplimiento CMMC, es un proceso riguroso. Para obtener la certificación CMMC, las empresas deben cumplir con un extenso conjunto de requisitos establecidos por el DoD. A continuación, se presenta nuestra lista de verificación CMMC de elementos que las organizaciones deben abordar y cumplir si desean lograr la certificación CMMC.

Evalúa el Nivel de Madurez CMMC Apropiado para Tu Organización

El primer paso para lograr el cumplimiento CMMC 2.0 es determinar qué nivel de madurez CMMC es más apropiado para tu organización. El proceso de certificación CMMC es un enfoque escalonado, y las empresas deben elegir el nivel correcto a seguir según la sensibilidad de los datos que manejan. Hay tres niveles de certificación CMMC (ver arriba).

Realiza una Autoevaluación CMMC para Medir tu Preparación para el Cumplimiento CMMC

Una vez que hayas determinado el nivel de madurez que tu organización desea o requiere, el siguiente paso es realizar una autoevaluación del perfil de ciberseguridad de tu organización. Esta evaluación debe incluir una revisión de la madurez de ciberseguridad de tu organización, incluidas tus políticas y procedimientos, seguridad de la red, control de acceso y capacidades de respuesta a incidentes.

Aprovecha Otros Marcos de Ciberseguridad para Simplificar los Esfuerzos de Cumplimiento CMMC

Si bien lograr la certificación CMMC puede ser un proceso complejo, las organizaciones pueden facilitar la transición aprovechando marcos y certificaciones existentes que se alineen con los requisitos CMMC. CMMC se desarrolló a partir de marcos existentes, y hay una superposición significativa entre CMMC y otros marcos de ciberseguridad establecidos que se utilizan para el cumplimiento normativo.

Uno de esos marcos es el Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST CSF), que proporciona un conjunto de pautas y mejores prácticas para gestionar y mitigar riesgos de ciberseguridad. Al implementar el CSF, las organizaciones pueden alinear sus prácticas de ciberseguridad con los requisitos CMMC, lo que probablemente hará que el proceso de certificación sea más fácil y fluido.

Otros marcos y certificaciones que pueden ayudar a las organizaciones a lograr la certificación CMMC incluyen FedRAMP, FISMA, los estándares de la Organización Internacional de Normalización 27000 (ISO 27001) y la Publicación Especial 800-171 de NIST. Al aprovechar estos marcos y certificaciones, las organizaciones pueden asegurarse de que también mejoran su postura general de ciberseguridad y pueden demostrar cumplimiento con los requisitos CMMC.

Construye un Plan de Acción e Hitos (POA&M) para el Cumplimiento CMMC

Un Plan de Acción e Hitos (POA&M) es un documento crítico que describe la estrategia de una organización para abordar sus debilidades y deficiencias en sus medidas de ciberseguridad. Juega un papel significativo en demostrar el cumplimiento CMMC. Construir un POA&M requiere una serie de pasos. Después de haber identificado el nivel apropiado, identifica las brechas entre tu postura actual de ciberseguridad y las certificaciones requeridas. Esto requiere una evaluación exhaustiva de las políticas, procedimientos y medidas técnicas existentes de tu organización.

Basado en las brechas identificadas, prioriza las áreas que necesitan ser abordadas primero. Luego, desarrolla un cronograma para cada tarea, incluyendo fechas límite para la finalización de cada elemento de acción. Asigna tareas a los miembros del equipo con responsabilidades claras y hazlos responsables de mantenerse en el camino. Por último, documenta todos los pasos tomados hacia el cumplimiento y realiza un seguimiento del progreso regularmente, actualizando el plan de acción e hitos según sea necesario. Este enfoque asegura un enfoque estructurado y metódico para el cumplimiento CMMC, lo que lleva a una mejor eficiencia y resultados oportunos.

Desarrolla un Plan de Seguridad del Sistema (SSP) para Lograr el Cumplimiento CMMC

Para lograr el cumplimiento CMMC, las organizaciones deben crear un plan de seguridad del sistema (SSP) que incluya detalles sobre cada sistema en su entorno de TI que almacene o transmita información no clasificada controlada (CUI) de acuerdo con NIST 800-171.

El SSP describe el flujo de información entre sistemas y los procedimientos de autenticación y autorización, así como las regulaciones de la empresa, las obligaciones de seguridad del personal, los diagramas de red y las responsabilidades administrativas. El SSP es un documento vivo que debe actualizarse cada vez que se realicen cambios significativos en el perfil de seguridad o procedimientos de una empresa.

Durante el proceso de licitación y adjudicación de contratos, el Departamento de Defensa evalúa los SSP de los contratistas. Para ganar negocios con el DoD, los contratistas deben tener un SSP activo y legítimo.

Crear (y actualizar) el SSP puede ser un proceso que consume muchos recursos, pero es esencial para mantener los criterios de certificación CMMC. Por lo tanto, los contratistas deben asegurarse de tener los recursos necesarios disponibles para crear y actualizar el SSP.

Selecciona una Organización Evaluadora de Terceros CMMC para Asegurar el Cumplimiento CMMC

Después de completar la autoevaluación, necesitarás seleccionar una Organización Evaluadora de Terceros CMMC (C3PAOs). Un C3PAO es una organización que ha sido autorizada por el Organismo de Acreditación (AB) para realizar evaluaciones CMMC. El C3PAO será responsable de evaluar el cumplimiento de tu organización con el marco CMMC.

Asociarse con un C3PAO es un paso crítico en el proceso de lograr el cumplimiento CMMC. Sin embargo, hay varios C3PAOs en el mercado, y seleccionar el correcto puede ser abrumador.

Aquí hay algunas consideraciones a tener en cuenta al seleccionar y trabajar con un C3PAO:

• Consulta el sitio web de CMMC-AB para obtener una lista de C3PAOs autorizados
• Busca un C3PAO con experiencia en tu industria
• Verifica el estado de acreditación del C3PAO
• Pide referencias y comentarios de clientes anteriores
• Considera su estructura de precios

Una vez que hayas seleccionado un C3PAO, necesitarás trabajar estrechamente con ellos para lograr el cumplimiento CMMC. El C3PAO proporcionará orientación durante todo el proceso de cumplimiento y evaluará el cumplimiento de tu organización con el marco CMMC.

Establece un Cronograma para el Cumplimiento CMMC

El proceso de certificación CMMC es una tarea que consume tiempo, y las empresas deben planificar en consecuencia. Aquí hay algunos factores que las empresas deben tener en cuenta al planificar el proceso de certificación:

• Tamaño de la organización
• Postura actual de ciberseguridad
• El proceso de certificación puede llevar hasta 12 meses, dependiendo del nivel de certificación
• El C3PAO realiza un análisis de distancia antes de la evaluación real, lo que puede llevar hasta tres meses
• El proceso de certificación requiere mantenimiento continuo y evaluaciones periódicas

Asigna Recursos Suficientes para Lograr el Cumplimiento CMMC

El proceso de certificación CMMC puede ser un asunto costoso tanto en términos financieros como de asignación de personal, y las empresas deben presupuestar en consecuencia. Los contratistas deben esperar incurrir en costos relacionados con evaluaciones de ciberseguridad, remediación y mantenimiento continuo. Aquí hay algunos factores que las empresas deben tener en cuenta al planificar su presupuesto:

• El costo del proceso de certificación puede variar dependiendo del nivel CMMC
• El costo de contratar un C3PAO puede variar dependiendo de su experiencia y estado de acreditación
• El proceso de certificación requiere mantenimiento continuo, lo que puede aumentar los costos de cumplimiento

Cómo Prepararse para una Evaluación CMMC

Hay pasos específicos que las organizaciones pueden tomar para prepararse para una evaluación CMMC. Algunos de estos pasos incluyen:

• Comprender los Requisitos NIST: NIST publica documentación de seguridad de forma gratuita en su sitio web. Como tal, hay poca o ninguna razón para que tu organización no tenga una comprensión básica de las categorías de controles de seguridad que una evaluación investigaría. Tener una persona o grupo dentro de tu organización que pueda interactuar con los evaluadores y el gobierno será crítico.
• Realizar un Análisis de Distancia: Contrata una firma de seguridad para analizar tu infraestructura de TI y mapear cómo se compara con los requisitos CMMC. Esto proporcionará una imagen clara de dónde estás versus dónde necesitas estar para que puedas realizar los cambios y actualizaciones requeridos.
• Realizar una Evaluación de Riesgos: Si bien los estándares de CMMC están claramente definidos, puedes considerar estándares de la industria o metas comerciales antes de adoptarlos como una lista de verificación. Realizar una evaluación de riesgos puede ayudarte a comprender lo que necesitas implementar para el cumplimiento sin limitar la capacidad de crecimiento de tu negocio.
• Seleccionar un C3PAO: El Organismo de Acreditación CMMC (CMMC-AB) proporciona un directorio de mercado en línea de C3PAOs acreditados. Utiliza esta utilidad para seleccionar una empresa con la que quieras trabajar.

  Sin embargo, el CMMC-AB no permite que los contratistas trabajen con un C3PAO fuera de su relación de evaluación. Por ejemplo, para evitar conflictos de interés, un C3PAO no puede proporcionar consultoría o trabajo de TI de ciberseguridad antes de su trabajo evaluando la empresa.

• Prepararse para la Evaluación Continua: Después de la certificación inicial CMMC, tu organización estará obligada a manejar la recertificación y el monitoreo continuos. Dependiendo del nivel de madurez de tu certificación, esto podría significar autoevaluaciones anuales o auditorías trienales de C3PAO.

Prepárate para el Cumplimiento CMMC con Kiteworks

Las empresas modernas, impulsadas por datos, dependerán de una infraestructura de TI segura y sin fricciones para apoyar sus operaciones. Cuando se trata de contratistas gubernamentales, esto significa utilizar soluciones de intercambio seguro de archivos que cumplan con CMMC.

La Red de Contenido Privado de Kiteworks es precisamente una solución así.

Con Kiteworks, los contratistas de defensa y otras organizaciones que operan en industrias altamente reguladas obtienen seguridad, utilizando nuestra exclusiva Red de Contenido Privado. Esta plataforma de comunicación privada y protegida proporciona a las organizaciones correo electrónico seguro y conforme, correo electrónico, uso compartido de archivos, transferencia de archivos administrada (MFT), formularios web e interfaces de programación de aplicaciones (APIs).

Kiteworks cuenta con un dispositivo virtual reforzado, cifrado de extremo a extremo, opciones de implementación segura que incluyen una nube privada virtual FedRAMP, controles granulares, autenticación, integraciones de infraestructura de seguridad, y un registro y auditoría integral que permite a las organizaciones demostrar el cumplimiento con los estándares de seguridad de manera fácil y segura.

Kiteworks ayuda a las organizaciones a demostrar cumplimiento con numerosas regulaciones y estándares de privacidad de datos federales e internacionales que incluyen FedRAMP, Estándares Federales de Procesamiento de Información (FIPS), FISMA, ITAR, el Reglamento General de Protección de Datos (GDPR), el Programa de Evaluadores Registrados de Seguridad de la Información de Australia (IRAP), NIST CSF, ISO 27001, UK Cyber Essentials Plus, la Directiva NIS 2 de la Unión Europea, y muchos más.

Finalmente, Kiteworks permite a los contratistas y subcontratistas del DoD en el DIP lograr el cumplimiento con casi el 90% de las prácticas de CMMC Nivel 2 directamente desde el primer momento.

Solicita una demostración personalizada para obtener más información sobre Kiteworks y cómo la Red de Contenido Privado puede ayudarte a cumplir con tus requisitos de cumplimiento CMMC, incluyendo demostrar cumplimiento con CMMC 2.0 Nivel 2.