CMMC (Certificación del Modelo de Madurez en Ciberseguridad)
El CMMC existe porque el Departamento de Defensa (DoD) se cansó de fiarse de la palabra de los contratistas. Durante años, los proveedores del sector de la defensa certificaban por sí mismos el cumplimiento de los requisitos de seguridad según el DFARS, y los resultados fueron desiguales: algunos se lo tomaban en serio, muchos otros no, y la información sensible seguía filtrándose a través del eslabón más débil de la cadena de suministro. El CMMC 2.0 sustituye ese sistema basado en la confianza por una verificación real, vinculada a los controles del NIST SP 800-171, en el nivel que abarca a la mayoría de los contratistas (Nivel 2), con un nivel más ligero para las empresas que solo gestionan información de contratos federales (Nivel 1) y un nivel evaluado por el Gobierno para los trabajos más sensibles (Nivel 3).
Si su contrato exige la certificación CMMC, no es opcional ni negociable con su cliente: es una condición para la adjudicación del contrato. La cuestión práctica no es si cumplir con los requisitos, sino cómo lograrlo sin desbordar su presupuesto ni su calendario, y sin certificar un alcance más amplio de lo necesario.
A qué me dedico realmente
La mayor parte del trabajo carece de glamour y es precisamente ahí donde se esconde el riesgo. Evalúo su entorno en función del conjunto de controles pertinentes, con total honestidad: no se trata de una simple comprobación de casillas que le diga lo que quiere oír, sino de un análisis real de en qué aspectos sus prácticas actuales cumplen los requisitos y en cuáles no. Le ayudo a definir correctamente el alcance, que suele ser donde residen los mayores ahorros de costes: muchas empresas amplían en exceso los límites de su información controlada (CUI) por defecto y acaban intentando proteger sistemas que, en realidad, nunca tuvieron que albergar datos sensibles. A continuación, se elabora un plan de corrección ordenado en función de lo que realmente reduce el riesgo y desbloquea la certificación con mayor rapidez, además del Plan de Seguridad del Sistema, el Plan de Acción y los hitos que convierten sus prácticas en algo que un evaluador de la C3PAO —o su propia autoevaluación— pueda respaldar.
Yo no me encargo de la certificación en sí; esa es la labor del evaluador acreditado. Lo que hago es asegurarme de que, cuando se enfrente a uno, no haya sorpresas.
A quién va dirigido
Los contratistas principales y subcontratistas de cualquier eslabón de la cadena de suministro de defensa que se enfrenten a una cláusula del CMMC y necesiten saber, de forma concreta, qué se requiere para cumplirla —tanto si parten de un programa de seguridad sólido que solo necesita documentación y disciplina en la definición del alcance, como si parten prácticamente de cero—.
Si un contratista o una empresa principal le pregunta por su situación respecto al CMMC, Contacte conmigo y analicemos cuál es su situación actual y cuál es el camino a seguir.