Qué es y cómo las organizaciones pueden lograr el cumplimiento
Para las empresas que hacen negocios con el Departamento de Defensa de los Estados Unidos, la Certificación del Modelo de Madurez de Ciberseguridad (CMMC, por sus siglas en inglés) ya no es opcional. Es un requisito contractual que afecta directamente la elegibilidad para trabajos de defensa actuales y futuros.
Muchas organizaciones entienden que la CMMC es importante, pero luchan con la forma de abordar el cumplimiento de una manera práctica y defendible. Este artículo explica qué es CMMC, qué niveles se aplican a la mayoría de las empresas y cómo las organizaciones pueden prepararse para el cumplimiento de manera eficiente.
Qué es CMMC
CMMC significa Cybersecurity Maturity Model Certification (Certificación del Modelo de Madurez de Ciberseguridad). Es un marco desarrollado por el Departamento de Defensa de los EE. UU. para proteger información sensible a través de toda la base industrial de defensa.
La CMMC se aplica tanto a los contratistas principales como a los subcontratistas. Cualquier organización que almacene, procese o transmita Información de Contratos Federales (FCI) o Información Controlada No Clasificada (CUI) está sujeta a los requisitos de CMMC.
A diferencia de los modelos anteriores que se basaban principalmente en la auto-atestación (autocertificación), CMMC introduce evaluaciones independientes para la mayoría de las organizaciones. El objetivo es elevar los estándares básicos de seguridad y reducir el riesgo en toda la cadena de suministro de defensa.
Resumen de los Niveles de CMMC
CMMC consta de tres niveles:
- Nivel 1: Se enfoca en la higiene cibernética básica y se aplica a organizaciones que manejan únicamente Información de Contratos Federales (FCI).
- Nivel 2: Es el nivel más común y se aplica a organizaciones que manejan Información Controlada No Clasificada (CUI). Se alinea estrechamente con el estándar NIST SP 800-171 e incluye 110 prácticas de seguridad requeridas. La mayoría de las organizaciones de Nivel 2 están sujetas a una evaluación de terceros.
- Nivel 3: Está destinado a organizaciones que apoyan los programas de defensa más sensibles e incluye requisitos de seguridad avanzados adicionales.
Para la mayoría de los contratistas y proveedores de defensa, el Nivel 2 es el objetivo relevante.
Qué requiere el Nivel 2 de CMMC
El Nivel 2 de CMMC incluye 110 controles divididos en 14 dominios de seguridad. Estos dominios cubren áreas como el control de acceso, respuesta a incidentes, auditoría y registro (logging), gestión de configuración, gestión de riesgos y protección de sistemas y comunicaciones.
El cumplimiento requiere más que simplemente desplegar herramientas de seguridad. Las organizaciones deben ser capaces de demostrar que los controles están implementados, operan consistentemente y están respaldados por documentación y evidencia precisa.
Los resultados de la evaluación se basan en lo que se puede verificar, no en la intención declarada.
Desafíos comunes que enfrentan las organizaciones
Muchas organizaciones luchan con el cumplimiento de CMMC debido a problemas de ejecución más que a brechas tecnológicas.
Los desafíos comunes incluyen:
- Propiedad poco clara de las responsabilidades de seguridad.
- Políticas que existen pero no se hacen cumplir.
- Documentación incompleta o desactualizada.
- Herramientas de seguridad que están desplegadas pero mal configuradas.
Otro problema frecuente es la falta de evidencia. Si una organización no puede demostrar que un control está funcionando como se requiere, el control puede considerarse “no cumplido” durante una evaluación.
Por qué muchas organizaciones utilizan un tercero
Lograr y mantener el cumplimiento de CMMC requiere experiencia en arquitectura de nube, herramientas de seguridad, gestión de identidad, registros (logging), monitoreo, documentación y operaciones continuas.
Para muchas organizaciones, especialmente los contratistas de defensa pequeños y medianos, gestionar esto internamente junto con las operaciones comerciales diarias es difícil. Como resultado, muchas empresas eligen trabajar con un proveedor externo como CloudHesive para guiar y apoyar sus esfuerzos de cumplimiento.
Los socios experimentados pueden ayudar a definir el perímetro de la CUI, mapear los sistemas a los requisitos de CMMC, remediar las brechas de manera eficiente y preparar a las organizaciones para la evaluación. También juegan un papel crítico ayudando a las organizaciones a mantener el cumplimiento a lo largo del tiempo a medida que los entornos y los requisitos evolucionan.
Este enfoque a menudo reduce el riesgo, acorta los plazos y minimiza el costoso retrabajo.
Un enfoque práctico para el cumplimiento de CMMC
Los programas de CMMC exitosos tienden a seguir un enfoque estructurado:
- Primero, las organizaciones deben definir claramente su perímetro de CUI, identificando dónde reside la información controlada, cómo fluye y quién tiene acceso.
- Segundo, se debe realizar una evaluación de brechas (gap assessment) contra los requisitos del Nivel 2 de CMMC para establecer una línea base realista.
- Tercero, las brechas deben remediarse metódicamente, priorizando la configuración, las mejoras de procesos y la documentación antes de introducir nuevas herramientas.
- Cuarto, se debe desarrollar documentación como políticas, procedimientos, planes de seguridad del sistema y diagramas, manteniéndolos actualizados para reflejar las operaciones reales.
- Finalmente, se debe realizar una evaluación de preparación (readiness assessment) antes de contratar a un evaluador oficial para reducir el riesgo y la interrupción.
Pensamientos finales
El cumplimiento de CMMC no es un ejercicio de una sola vez. Es una disciplina operativa continua que afecta a los equipos de TI, seguridad, cumplimiento y liderazgo. Incluso si ha completado y aprobado una auditoría CMMC, también debe continuar manteniendo esos controles. Aquí es donde un equipo externo como CloudHesive puede ayudar a mantener sus controles de cumplimiento a largo plazo.
Las organizaciones que abordan la CMMC temprano, con un plan claro y el soporte adecuado, están mejor posicionadas para reducir riesgos, controlar costos y permanecer elegibles para contratos del Departamento de Defensa a largo plazo. Contáctenos si necesita nuestra asistencia.