Guía CMMC: Lo que realmente exige la CMMC 2.0
Si es proveedor del Departamento de Defensa, o si vende a alguien que a su vez es proveedor del Departamento de Defensa, es probable que el motivo por el que está leyendo esta página sea el CMMC. A continuación le ofrecemos una versión resumida, sin la maraña de siglas.
El CMMC —la Certificación del Modelo de Madurez en Ciberseguridad— es el método que utiliza el Departamento de Defensa (DoD) para verificar que los contratistas protegen realmente la información sensible que se les ha confiado, en lugar de limitarse a prometerlo. Se aplica a la Información de Contratos Federales (FCI) y, en los niveles superiores, a la Información Controlada No Clasificada (CUI): las categorías de datos no clasificados, pero que siguen siendo sensibles, que circulan por la cadena de suministro de defensa. El CMMC 2.0 tiene tres niveles. El nivel 1 corresponde a las medidas básicas de ciberseguridad para los contratistas que solo manejan FCI: se trata de un conjunto modesto de prácticas que se evalúan de forma autónoma. El nivel 2 es el más importante para la mayoría de los contratistas: se corresponde con los 110 controles de la norma NIST SP 800-171 y, en función del contrato, requiere bien una autoevaluación, bien una evaluación realizada por un tercero a través de un evaluador certificado (un C3PAO). El nivel 3 añade una capa adicional para la información de mayor riesgo e implica una evaluación dirigida por el Gobierno. El nivel que le sea aplicable viene determinado por su contrato, no por sus preferencias.
Dónde se atascan realmente las empresas
La carencia rara vez consiste en que «no tengamos seguridad». Por lo general, la seguridad existe, pero no está documentada de la forma en que un evaluador necesita verla: no hay un Plan de Seguridad del Sistema, no hay un Plan de Acción ni hitos para las deficiencias de las que se tiene constancia, las políticas residen en la mente de alguien en lugar de estar plasmadas en papel, o los límites del ámbito de aplicación de la información controlada (CUI) nunca se definieron con claridad, por lo que ahora, técnicamente, la mitad de su red se encuentra dentro de dicho ámbito. Todo eso se puede solucionar, pero lleva tiempo, y resulta mucho más económico subsanarlo antes de que el evaluador esté presente que después.
Cómo abordaría su preparación
Empiezo por identificar qué información clasificada (CUI) o información de interés nacional (FCI) afecta realmente a su entorno y por trazar un perímetro de alcance defendible; equivocarse en esto es el error más costoso que cometen las empresas, ya que arrastra al alcance sistemas que nunca deberían haber estado incluidos. A partir de ahí, se trata de realizar una evaluación honesta de las deficiencias en relación con los 110 controles, elaborar un plan de corrección priorizado que resuelva primero los aspectos más importantes y preparar la documentación —el Plan de Seguridad del Sistema, el POA&M— que convierta el «hacemos esto» en algo que un evaluador pueda verificar. Le diré con toda franqueza cuál es su situación y qué se necesita para solucionarla, no lo que le resulte más agradable oír.
Los plazos de la cadena de suministro de defensa no se adaptan a los calendarios internos de nadie. Si una cláusula contractual le obliga a cumplir un requisito de la CMMC, póngase en contacto con nosotros y analicemos cuál es su situación real.