Puntos clave
- Punto de partida para implementar CMMC: los MSP deben mapear sus servicios actuales frente a los controles de NIST 800-171 antes de hacer cambios, determinar qué requisitos ya están cubiertos y quién se encarga de cerrar las brechas.
- El control de acceso es el área de mayor riesgo en CMMC nivel 2: la aplicación del mínimo privilegio y la MFA son de las causas más habituales de hallazgos en las evaluaciones cuando no se aplican de forma uniforme en todos los sistemas incluidos en el alcance.
- La deriva de configuración amplía las brechas de cumplimiento: los sistemas bien configurados en el despliegue pueden desalinearse con el tiempo, y una validación periódica frente a una línea base documentada mantiene el entorno en el estado exigido.
- El desajuste entre documentación e implementación es un fallo habitual en auditoría: los evaluadores verifican los controles contra el estado real del sistema, y las políticas que describen cómo deberían funcionar las cosas frente a cómo funcionan realmente llevan directamente a hallazgos.
- La coherencia en todos los sistemas del alcance es imprescindible: los controles aplicados de forma distinta según el entorno pueden ponerse en duda. Los procesos repetibles que dan siempre el mismo resultado son los que sostienen un programa de cumplimiento ante cualquier revisión.
El nivel 2 de Cybersecurity Maturity Model Certification (CMMC) exige que las organizaciones implementen y mantengan un conjunto definido de controles de seguridad basado en NIST SP 800-171. En resumen, se trata de una publicación del National Institute of Standards and Technology (NIST) que recoge los requisitos de seguridad para proteger la información no clasificada controlada (CUI). Para los MSP, esto significa traducir esos requisitos en sistemas y procesos que funcionen en los entornos de sus clientes, no limitarse a asesorar sobre lo que hay que hacer.
En este artículo verás cómo pueden los MSP implementar los controles de CMMC nivel 2 en sus entornos y qué aspecto tiene una aplicación coherente en endpoints, usuarios e infraestructura.
¿Cómo pueden los MSP cumplir los requisitos de CMMC 2.0?
Para cumplir los requisitos de CMMC 2.0, los MSP tienen que llevar los controles a la práctica en todos los sistemas. El punto de partida es entender la estructura del nivel 2 y saber cómo se corresponde cada requisito con los servicios que prestan.
La estructura de los requisitos de CMMC nivel 2
Los requisitos de cumplimiento de CMMC 2.0 proceden directamente de NIST 800-171 Rev 2 y abarcan 110 controles de seguridad, organizados en 14 familias de controles. Cada familia cubre un área concreta de la seguridad, y para los MSP es fundamental entender cómo se conectan esas áreas con los sistemas y servicios que gestionan.
Estas son las principales áreas de control con las que trabajarán los MSP:
- Control de acceso: reglas que definen quién puede acceder a qué sistemas y en qué condiciones. Incluyen cómo se conceden, se revisan y se retiran los permisos.
- Gestión de la configuración: abarca cómo se configuran y se mantienen los sistemas. Cubre las configuraciones y controles aprobados, junto con la aplicación de la línea base.
- Identificación y autenticación: controles que verifican la identidad del usuario antes de conceder el acceso, incluidas las políticas de contraseñas, la autenticación multifactor y la gestión de cuentas.
- Respuesta a incidentes: procesos para detectar, notificar y responder a los eventos de seguridad, además de mantener registros de lo ocurrido y de cómo se gestionó.
- Integridad de sistemas e información: controles que protegen los sistemas frente al malware, los cambios no autorizados y las vulnerabilidades, incluidas las prácticas de parcheo y supervisión.
Estas áreas de control tienen que estar configuradas, aplicadas y ser verificables en todos los sistemas incluidos en el alcance de la evaluación.
Mapea los servicios del MSP frente a los controles de NIST 800-171
Antes de implementar nada, los MSP necesitan una imagen clara de cómo encajan sus servicios actuales con los requisitos de NIST 800-171. Ese mapeo es lo que conecta los servicios gestionados del día a día con resultados concretos de cumplimiento.
El proceso de mapeo consiste en:
- Identificar qué servicios dan soporte a cada control: revisa la lista completa de controles de NIST 800-171 y determina cuáles ya se cubren con la prestación de servicios actual y cuáles no tienen cobertura alguna.
- Relacionar herramientas y procesos con los objetivos de control: asocia herramientas, configuraciones y flujos de trabajo concretos con los controles que satisfacen. Así resulta más fácil detectar brechas y se evita contar el mismo servicio para varios controles sin justificación.
- Definir la responsabilidad entre MSP y cliente: algunos controles recaen por completo en el MSP, otros corresponden al cliente y otros son compartidos. Documentarlo pronto evita que aparezcan brechas más adelante cuando ambas partes dan por hecho que la otra se encarga.
- Garantizar una implementación coherente entre entornos: el mismo control debe aplicarse de la misma forma en todos los sistemas del alcance. La implementación desigual es una de las razones más frecuentes por las que los controles fallan durante la evaluación.
Un ejercicio de mapeo de NIST 800-171 convierte una lista de requisitos en una imagen clara de lo que está cubierto, lo que no lo está y quién debe cerrar la diferencia.
Implementa el control de acceso y la gestión de identidades
El control de acceso es un factor decisivo en CMMC nivel 2. Los MSP que gestionan entornos donde se almacena o procesa CUI tienen que aplicar aquí medidas más estrictas que en los sistemas estándar.
- Aplicar el acceso con mínimo privilegio: los usuarios y las cuentas de servicio solo deberían tener acceso a lo que necesitan para hacer su trabajo. Los permisos que van más allá suponen riesgos de seguridad que pueden acabar señalados.
- Gestionar las identidades de usuario y la autenticación: todas las cuentas deben estar vinculadas a personas concretas dentro del entorno. Además, hay que aplicar la autenticación multifactor (MFA) en los sistemas del alcance. Las cuentas compartidas o genéricas son inaceptables en CMMC nivel 2.
- Restringir el acceso a los sistemas que manejan datos sensibles: los sistemas que tratan CUI necesitan restricciones de acceso adicionales a los controles estándar. Teniendo esto en cuenta, el acceso debe limitarse a usuarios con una necesidad documentada. Además, conviene revisar con regularidad quién tiene acceso.
- Supervisar el uso de cuentas privilegiadas: en caso de verse comprometidas, las cuentas administrativas son las de mayor riesgo. Registrar y revisar la actividad de las cuentas privilegiadas es obligatorio. Los registros de acceso también deben presentarse durante las evaluaciones.
Los fallos en el control de acceso están entre los motivos más habituales por los que las organizaciones tienen problemas en las evaluaciones CMMC. Resolver bien esta área desde el principio reduce el riesgo en el resto de la implementación.
Aplica la gestión de la configuración y la integridad del sistema
La deriva de configuración es un peligro silencioso en un entorno de CMMC nivel 2. Aunque los sistemas se configuraran correctamente durante el despliegue, con el tiempo pueden acabar desalineados. Sin un proceso para detectarlo, las brechas se acumulan y ponen en riesgo todo el entorno.
Para evitarlo, los MSP pueden hacer lo siguiente:
- Estandarizar las configuraciones de los sistemas: los MSP pueden definir y documentar una línea base de configuración segura para cada tipo de sistema. Cada dispositivo debería construirse según ese estándar, y las desviaciones o excepciones deben documentarse de forma rigurosa.
- Impedir los cambios no autorizados: hay que establecer controles que limiten quién puede modificar la configuración. Además, esos ajustes tienen que pasar por un proceso definido y documentado para evitar cambios incontrolados.
- Mantener líneas base seguras: las líneas base deben revisarse y actualizarse cada vez que se identifiquen nuevas vulnerabilidades o se realicen cambios en los sistemas. Una línea base que lleva meses sin revisarse puede que ya no refleje las necesidades de seguridad actuales.
- Validar la integridad del sistema a lo largo del tiempo: comprueba periódicamente que los sistemas siguen coincidiendo con su línea base documentada. Las herramientas automatizadas pueden señalar las desviaciones, pero alguien tiene que revisar esos hallazgos y actuar sobre ellos para que el control se considere operativo.
La gestión de la configuración no es una tarea puntual de puesta en marcha. Requiere atención continua para mantener los sistemas en el estado que exige el cumplimiento.
Implementa registros, supervisión y respuesta a incidentes
CMMC nivel 2 exige a las organizaciones algo más que prevenir eventos de seguridad. Tienen que detectarlos, responder a ellos y conservar registros que muestren cómo se gestionó cada uno.
Los pasos de implementación para el registro, la supervisión y la respuesta a incidentes incluyen:
- Activar el registro en sistemas y aplicaciones: el registro debe estar activo en todos los sistemas del alcance y cubrir los eventos de autenticación, los cambios de configuración y el acceso a datos sensibles. Los registros que no se recopilan no pueden revisarse ni presentarse como evidencia.
- Supervisar la actividad sospechosa: los registros hay que revisarlos con regularidad, no solo recopilarlos. Las herramientas de supervisión ayudan a señalar comportamientos inusuales, pero debe existir un proceso definido para actuar ante esas alertas.
- Establecer procesos de respuesta a incidentes: documenta cómo se identifican, escalan, contienen y resuelven los eventos de seguridad. El proceso debe estar por escrito y seguirse de forma coherente, no improvisarse cada vez que ocurre algo.
- Conservar registros de eventos y acciones: hay que dejar constancia de cada evento de seguridad y de los pasos dados para resolverlo. Estos registros sirven como evidencia durante las evaluaciones y ayudan a identificar patrones que apuntan a problemas recurrentes.
El registro y la supervisión sin un proceso de respuesta a incidentes conectado solo cubren una parte del requisito. Los tres elementos tienen que funcionar juntos para responder a lo que CMMC nivel 2 espera.
Protege los sistemas que manejan datos sensibles
Los sistemas que tratan CUI son los que suponen mayor riesgo de cumplimiento en un entorno de CMMC nivel 2. Los controles aplicados a estos sistemas tienen que ir más allá de la línea base estándar utilizada en el resto del entorno.
Entre las protecciones adicionales para los sistemas que manejan datos sensibles están:
- Restringir el acceso a los entornos sensibles: el acceso a los sistemas que almacenan o procesan CUI debería limitarse a usuarios con una necesidad documentada y aprobada. Las listas de acceso hay que revisarlas con regularidad y actualizarlas cuando cambien los roles.
- Aplicar cifrado y medidas de protección de datos: la CUI debe cifrarse en reposo y en tránsito. Los requisitos de cifrado se aplican al almacenamiento, a las copias de seguridad y a cualquier dato que se mueva entre sistemas o por la red.
- Supervisar el acceso y el movimiento de los datos: controla quién accede a la CUI, cuándo y desde dónde. Los patrones de acceso inusuales hay que señalarlos e investigarlos, y los registros de supervisión deben conservarse con fines de auditoría.
- Garantizar prácticas de manejo seguras: define cómo se crea, se almacena, se comparte y se elimina la CUI. El personal que trabaja con datos sensibles debe entender qué se le exige y seguir siempre los mismos procedimientos.
La forma de proteger estos sistemas es una de las áreas que los evaluadores examinan con más detalle. Las brechas aquí pesan más que las de las zonas del entorno con menor riesgo.
Mantén la documentación alineada con la implementación
Una documentación que no coincide con lo que realmente hay desplegado es una de las fuentes más habituales de hallazgos de auditoría en las evaluaciones CMMC. Los evaluadores comparan lo que está escrito con lo que pueden verificar en el entorno, y las diferencias entre ambas cosas plantean preguntas difíciles de responder sobre la marcha.
La documentación que debe mantenerse actualizada y precisa incluye:
- Configuraciones de sistemas y aplicación de controles: documenta cómo se implementa cada control, a qué sistemas se aplica y cómo se hace cumplir. Esto da a los evaluadores un punto de referencia claro y reduce las idas y venidas durante la evaluación.
- Políticas y procedimientos: las políticas deben describir qué se exige y los procedimientos cómo se hace. Ambos tienen que reflejar la práctica actual, no una versión anterior de cómo estaba montado el entorno.
- Coincidencia con el comportamiento real del sistema: revisa la documentación con regularidad y actualízala cuando cambien las configuraciones o los procesos. Una documentación que era precisa hace seis meses puede que ya no refleje lo que hay funcionando hoy en el entorno.
Mantener la documentación al día es una responsabilidad continua, no una tarea previa a la evaluación. Los MSP que la integran en su prestación de servicios habitual parten con mucha ventaja cuando se confirma la fecha de una evaluación.
Garantiza la coherencia entre entornos
Una implementación desigual de los controles es una de las formas más rápidas de generar hallazgos de auditoría. Si el mismo control se aplica de distinta manera en los sistemas del alcance, los evaluadores señalarán la variación y pondrán en duda que el control sea realmente operativo.
Para mantener la coherencia, los MSP deben:
- Estandarizar las configuraciones entre sistemas: todos los sistemas del alcance deberían construirse y mantenerse con la misma línea base. Las variaciones hay que documentarlas como excepciones con una justificación clara, no dejarlas como diferencias sin documentar.
- Usar procesos repetibles para aplicar los controles: los controles deberían aplicarse mediante procesos definidos que den siempre el mismo resultado, con independencia de quién realice el trabajo. Los procesos que dependen del conocimiento o del criterio de cada persona introducen una variabilidad difícil de justificar durante una evaluación.
- Alinear los entornos con los requisitos: a medida que los requisitos evolucionan o los sistemas cambian, hay que revisar y actualizar los controles para mantener esa alineación. Un entorno que cumplía los requisitos en el momento de la implementación puede desalinearse según se acumulan los cambios.
- Validar de forma continua la eficacia de los controles: las comprobaciones periódicas confirman que los controles siguen funcionando como deberían. La validación debe programarse, documentarse y traducirse en acciones cuando se detecten brechas.
La coherencia en todo el entorno es lo que convierte implementaciones de controles aisladas en un programa de cumplimiento que aguanta cualquier escrutinio.
Mantente alineado con los requisitos de CMMC 2.0
La implementación de controles lleva el entorno a un estado de cumplimiento. Mantenerlo ahí exige atención continua a medida que los sistemas cambian, los requisitos evolucionan y aparecen nuevas vulnerabilidades.
Entre las actividades continuas que los MSP deben mantener están:
- Revisión periódica de la eficacia de los controles: programa revisiones periódicas para confirmar que los controles siguen funcionando como deberían. Lo que era eficaz en el momento de la implementación puede necesitar ajustes a medida que el entorno cambia.
- Actualización de las configuraciones conforme evolucionan los requisitos: los requisitos de CMMC 2.0 no son estáticos. Cuando se actualizan las directrices o se identifican nuevas vulnerabilidades, hay que revisar y actualizar las configuraciones y los procesos para mantenerlos al día.
- Mantener la alineación con las expectativas de cumplimiento: mantén la documentación, la supervisión y la aplicación de los controles alineadas con los requisitos vigentes. Las brechas que se abren entre evaluaciones cuesta más cerrarlas cuanto más tiempo pasan desatendidas.
- Impulsar la mejora con el tiempo: aprovecha los hallazgos de las revisiones internas, los incidentes y las evaluaciones para mejorar cómo se implementan y mantienen los controles. Cada ciclo de revisión debería dejar el entorno en mejor posición que el anterior.
Los MSP que tratan el cumplimiento de CMMC como un servicio continuo son los que consiguen que sus clientes lleguen preparados a la reevaluación sin un gran esfuerzo de remediación cada vez.
Guía de inicio rápido
NinjaOne puede ayudarte a implementar CMMC nivel 2. NinjaOne ofrece varias funcionalidades que apoyan directamente a los MSP en la implementación de los controles de CMMC nivel 2:
1. Gestión de la configuración de seguridad (SCM)
- Evaluación comparativa de cumplimiento con personalización sin código: los administradores pueden adaptar los estándares de cumplimiento directamente en la consola
- Plantillas preconfiguradas para el refuerzo de la seguridad basadas en estándares como CIS y NIST
- Aplicación automatizada en Windows mediante Desired State Configuration (DSC) de Microsoft
2. Gestión de parches
- Despliegue automatizado de parches en los endpoints para corregir vulnerabilidades
- Informes sobre parches con seguimiento detallado del estado y visibilidad del cumplimiento
- Parcheo programado con controles de aprobación granulares (crítico, importante, moderado, bajo)
3. Gestión de configuraciones y políticas
- Creación centralizada de políticas para aplicar configuraciones de seguridad concretas en grupos de dispositivos
- Scripting y automatización para un refuerzo coherente en múltiples dispositivos
- Supervisión en Tiempo Real de los cambios de configuración y los eventos de seguridad
4. Control de acceso y gestión de identidades
- Controles de acceso basados en roles y aplicación del mínimo privilegio
- Integración con SSO/SAML para la gestión de identidades
- Compatibilidad con SCIM para el aprovisionamiento y desaprovisionamiento automatizado de usuarios
5. Informes de cumplimiento
- Informes de cumplimiento completos que demuestran la adhesión a los estándares de seguridad
- Visibilidad del estado de configuración de los dispositivos con fines de auditoría
- Integración con herramientas de seguridad de terceros para una gestión centralizada de las políticas
6. Supervisión y gestión remotas
- Acceso remoto seguro para la resolución de problemas y la aplicación de políticas
- Supervisión en tiempo real del estado de los sistemas y de los eventos de seguridad
- Inventario de dispositivos y gestión del ciclo de vida de los activos
Cómo pueden los MSP lograr y sostener el cumplimiento de CMMC nivel 2
Implementar los controles de CMMC nivel 2 significa traducir los requisitos de NIST 800-171 en sistemas y procesos reales que aguanten una evaluación. Mapear los servicios frente a los controles, aplicar configuraciones coherentes y mantener una documentación que refleje la implementación real es lo que separa a las organizaciones que superan las evaluaciones de las que no.
El cumplimiento no termina con la implementación. Los MSP que incorporan la revisión, la supervisión y la alineación continuas a su prestación de servicios dan a sus clientes la mejor oportunidad de mantenerse en cumplimiento entre ciclos de evaluación sin tener que empezar de cero cada vez.
Temas relacionados:
