Puntos clave
- La CMMC es un requisito obligatorio que los contratistas de la Base Industrial de Defensa (DIB) deben cumplir antes de que se les adjudique un contrato con el Departamento de Defensa (DoD).
- El cumplimiento de CMMC es un compromiso continuo: los contratistas deben aplicar y validar de forma permanente los controles de seguridad correspondientes para conservar su elegibilidad ante el DoD.
- Los servicios de TI conformes con CMMC deben incorporar el alineamiento normativo, lo que abarca la aplicación de controles de seguridad, la supervisión continua, el mantenimiento de la documentación y la preparación para auditorías.
- Los MSP tienen que asociar cada función de servicio con un requisito concreto de CMMC, de modo que los controles se apliquen de forma coherente y estén listos para una auditoría.
- La supervisión continua, los informes de cumplimiento y la automatización son imprescindibles para mantener el cumplimiento entre evaluaciones y reducir los hallazgos de auditoría.
Mientras que las grandes empresas suelen disponer de recursos de sobra para cumplir con la Certificación del Modelo de Madurez de Ciberseguridad (CMMC), muchas pymes tienen dificultades para cumplir la normativa. Por eso, numerosas pymes recurren a MSP que les den soporte en sus operaciones de cumplimiento y seguridad.
Los MSP que ofrecen soluciones de compliance-as-a-service deben entender primero qué es el cumplimiento de CMMC, fijar expectativas claras con sus clientes y estructurar sus servicios para sostener el cumplimiento a lo largo del tiempo.
¿Qué es el cumplimiento de CMMC?
La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) es un requisito de cumplimiento obligatorio para los contratistas de la Base Industrial de Defensa (DIB), una red global de organizaciones públicas y privadas que da soporte al Departamento de Defensa de EE. UU. (DoD).
La CMMC se articula en un marco de tres niveles, y cada nivel añade nuevos requisitos sobre los anteriores. Además, cada nivel indica el grado de solidez que deben tener las prácticas de ciberseguridad del contratista según el tipo de información federal que maneje.
| Nivel de CMMC | Nombre | A quién se aplica | Requisitos |
| Nivel 1 | Fundacional | Contratistas que trabajan con Información Contractual Federal (FCI) | Exige estrategias básicas de ciberseguridad, definidas en FAR 52.204-21, para proteger la FCI. |
| Nivel 2 | Avanzado | Contratistas y subcontratistas que manejan Información No Clasificada Controlada (CUI). | Los contratistas deben cumplir los 110 controles de seguridad descritos en NIST SP 800-171. |
| Nivel 3 | Experto | Pensado para contratistas que manejan CUI crítica para la misión y que son blanco frecuente de amenazas persistentes avanzadas (APT). | Este nivel se centra en el alineamiento con estrategias proactivas de ciberdefensa, con controles adicionales basados en NIST SP800-172. |
Antes de que una organización pueda obtener un contrato con el Departamento de Defensa de EE. UU. (DoD), debe implementar, operar y mantener los controles de seguridad que exija su nivel de CMMC.
Qué son los servicios de TI conformes con CMMC
Los servicios de TI conformes con CMMC integran los controles de seguridad y cumplimiento exigidos en las operaciones diarias de TI. Estos servicios sostienen el cumplimiento continuo porque ayudan a los contratistas a mantener la documentación, la supervisión y la preparación para auditorías a lo largo del tiempo.
Aplicación de los controles de seguridad exigidos por CMMC
El cumplimiento de CMMC se adapta a cada capa de la infraestructura de TI del contratista, junto con los controles de seguridad que correspondan a su nivel de CMMC. Por ejemplo, los contratistas de Nivel 2 deben desplegar y configurar controles en los 14 dominios de NIST SP 800-171, incluidos el control de acceso, la respuesta a incidentes y la gestión de configuraciones.
Desde el punto de vista del MSP, esos requisitos deben traducirse en configuraciones técnicas concretas en los sistemas, las redes y los endpoints del cliente.
Supervisión continua de sistemas y del cumplimiento en los endpoints
La supervisión continua aporta visibilidad en tiempo real del estado de sistemas y endpoints. Estas capacidades ayudan a detectar anomalías e identificar desviaciones de configuración, lo que permite a los MSP ofrecer soporte de TI proactivo antes de que las brechas de cumplimiento se agraven.
Esa visibilidad permanente permite a los MSP saber hasta qué punto el entorno del cliente se ajusta a los controles de CMMC y determinar si la organización sigue cumpliendo.
Mantenimiento de la documentación y de las evidencias de auditoría
Cada aplicación de un control exigido debe documentarse y almacenarse en un repositorio seguro y accesible. Prestar servicios de TI conformes implica crear y mantener esa documentación, de modo que las evidencias sigan siendo precisas y estén disponibles para las auditorías.
Apoyo en la preparación y validación de auditorías
Los contratistas de Nivel 2 y Nivel 3 se someten a evaluaciones de CMMC realizadas por organizaciones de evaluación externas certificadas (C3PAO). Los MSP que prestan servicios de gestión del cumplimiento deben preparar a sus clientes para esas evaluaciones mediante revisiones internas de preparación y el cierre de las brechas conocidas, entre otras acciones. Además, las estrategias de validación continua garantizan que los clientes estén listos para la auditoría entre ciclos.
Guía de cumplimiento de CMMC: visión general para MSP
Prestar servicios de TI conformes con CMMC con eficacia exige vincular los controles normativos exigidos con resultados de cumplimiento medibles. Para los MSP que dan soporte a contratistas de la DIB, estas prácticas fundamentales definen cómo se traduce esa estrategia en el día a día.
Alinea la prestación del servicio con los requisitos de cumplimiento
Asociar cada servicio conforme con CMMC a los requisitos que respalda refuerza su solidez ante un auditor y deja un rastro de auditoría claro.
Un buen alineamiento debe cubrir lo siguiente:
- Vincular cada servicio prestado con los controles o requisitos concretos de CMMC a los que da cobertura.
- Garantizar una aplicación coherente de los controles de CMMC exigidos en todos los sistemas.
- Mantener una documentación precisa que refleje la implementación real.
- Validar que los controles de seguridad siguen siendo eficaces y están bien implementados con el paso del tiempo.
Con este alineamiento, los MSP pueden ofrecer un soporte de CMMC creíble y reducir al mínimo la distancia entre lo que prestan y lo que el cliente debe demostrar en las evaluaciones.
Ofrece supervisión continua del cumplimiento
La supervisión continua garantiza que los controles se validen con frecuencia para detectar desviaciones de configuración silenciosas. Para los MSP que prestan servicios de TI conformes con CMMC, las estrategias de supervisión deberían incluir:
- Visibilidad en tiempo real de las configuraciones del sistema y del estado de seguridad en todos los sistemas gestionados.
- Detección automatizada de desviaciones respecto a las líneas base de cumplimiento establecidas, para evitar sorpresas en la auditoría.
- Validación continua de los controles de seguridad, para confirmar que siguen siendo eficaces y conformes.
- Seguimiento estructurado de las tareas de remediación, que deje constancia clara de cómo se resolvieron los problemas detectados.
En conjunto, estas capacidades dan al MSP y a sus clientes la seguridad de que el entorno sigue siendo conforme entre ciclos de auditoría.
Elabora informes de cumplimiento estructurados
Tanto la documentación como los informes ayudan a que las organizaciones puedan demostrar su alineamiento durante las evaluaciones. Unas buenas estrategias de informes deben recoger el estado de cumplimiento de los sistemas, las métricas de vulnerabilidades, el control de acceso, la actividad de cuentas con privilegios y el seguimiento de incidentes.
Estos informes deben estar estandarizados, generarse de forma periódica y conservarse en un formato que sirva de apoyo a las auditorías.
Incorpora la automatización a la prestación del servicio
La automatización de TI permite aplicar los controles de forma coherente en todos los sistemas gestionados, reduce el trabajo manual y acelera la detección y la respuesta ante desviaciones de configuración. Así, los MSP pueden prestar servicios conformes con CMMC a escala sin que los costes operativos crezcan en la misma proporción.
Da soporte a la preparación y validación de auditorías
Las evaluaciones de CMMC son exigentes y las organizaciones deben poder demostrar que cumplen los requisitos aplicables. Los MSP pueden apoyar este proceso preparando los paquetes de documentación, acompañando al cliente en su trato con el evaluador y ayudando a subsanar las brechas detectadas antes o durante la evaluación.
Ajusta los servicios a las expectativas del cliente
Muchos contratistas de la DIB confían en los MSP para sostener su cumplimiento y mantener los controles de seguridad exigidos. Para estar a la altura, los MSP deberían ofrecer servicios que respondan a los requisitos de CMMC mediante supervisión continua, gestión documental e informes de cumplimiento periódicos.
Estos servicios también deben contemplar la gestión del cumplimiento a largo plazo, de modo que las organizaciones puedan adaptarse a la evolución de los requisitos de CMMC y a los cambios en su actividad.
Integra el cumplimiento de CMMC en la gestión diaria de TI
El alineamiento con CMMC exige una aplicación y una validación constantes para que el cliente conserve su elegibilidad en los contratos del DoD. Cuando los MSP incorporan los controles de cumplimiento directamente en su estrategia de gestión de TI, dan a sus clientes la base necesaria para mantener el cumplimiento en el tiempo.
NinjaOne ayuda a los MSP a cubrir hasta el 90 % de los requisitos técnicos del Nivel 2 de CMMC gracias a su plataforma integral con autorización FedRAMP. La plataforma ofrece gestión de endpoints centralizada, parches, automatización, visibilidad e informes que dan soporte a las operaciones de seguridad y cumplimiento relacionadas con CMMC.
Temas relacionados:
