Puntos clave
- Determina si entras dentro del límite de evaluación como proveedor de servicios externo que maneja CUI.
- Asocia cada servicio gestionado a los 110 controles de NIST SP 800-171, establece una matriz de responsabilidad compartida con el cliente y registra las brechas de cumplimiento en un POA&M.
- Mantén un plan de seguridad del sistema completo e informes de cumplimiento estructurados vinculados a controles NIST concretos para dar a los evaluadores la documentación que necesitan.
- Controla de forma continua y en tiempo real la desviación de configuración, las brechas de parches y los cambios de privilegios para demostrar que los controles se aplican, no solo que están implementados.
- Prepara al personal del cliente para las entrevistas con los evaluadores y entrega las pruebas de auditoría cuando se soliciten, dentro de los 180 días, para convertir el estado condicional en la certificación final CMMC nivel 2.
La Cybersecurity Maturity Model Certification (CMMC) 2.0 es un marco federal que verifica la ciberseguridad de los contratistas de defensa que manejan información no clasificada controlada (CUI). Y en estas revisiones, el papel del MSP en las auditorías CMMC es mucho más práctico.
Simplifica desde el principio las auditorías federales de tus clientes con mayor visibilidad. Esta guía sobre CMMC nivel 2 ofrece un checklist estratégico para conseguir la certificación reduciendo el riesgo.
Qué debe hacer un MSP durante las auditorías CMMC nivel 2
Delimita el alcance del MSP dentro del límite de la auditoría
Lo primero es determinar si tu MSP entra en el alcance de la auditoría de nivel 2. Según el Departamento de Defensa, cualquier proveedor de servicios externo (ESP) que afecte a la confidencialidad de la información no clasificada controlada está sujeto al mismo estándar de cumplimiento que el contratista principal.
La CUI incluye:
- Información de identificación personal (PII)
- Información empresarial confidencial (CBI)
- Datos técnicos sujetos a control de exportación (ITAR/EAR)
- Datos de seguridad de infraestructuras críticas
Si tu equipo gestiona servidores de correo, almacenamiento en el cloud y herramientas de endpoints que involucran CUI, tus servicios forman parte del papel del MSP en las auditorías CMMC. Por eso, antes de que empiece una evaluación, crea una matriz de responsabilidad compartida con tu cliente para saber qué corresponde al MSP, qué al cliente y qué es responsabilidad de ambos.
💡 Importante: los MSP que procesan, transfieren y almacenan CUI deben obtener su propia certificación CMMC nivel 2 o nivel 3. Los MSP que no manejan CUI quedan exentos.
Alinea los servicios del MSP con los requisitos de CMMC nivel 2
CMMC nivel 2 implementa las 110 prácticas de NIST SP 800-171 para proteger la CUI. Si tu MSP entra en el alcance de la auditoría, tendrás que alinear tus controles de seguridad con los requisitos concretos de NIST. Algunos ejemplos:
- Gestión de accesos privilegiados
- Revisiones periódicas de accesos
- Separación estricta de tenants
- Registro exhaustivo de incidentes relacionados con CUI
- Aplicación de configuraciones de seguridad
Realiza un ejercicio de correspondencia entre controles y servicios que identifique qué herramienta o proceso del MSP satisface cada dominio de NIST 800-171. Si hay brechas, detéctalas antes de que empiece la evaluación, no durante.
Crea y mantén documentación lista para la auditoría
A medida que evolucionan los entornos digitales, estar preparado para una auditoría se convierte en un requisito previo. En un informe reciente de Greenberg Traurig LLP., los evaluadores externos calculan que el 25 % de los solicitantes de certificación no superaron la fase previa a la evaluación, y que la mayoría tenía documentación incompleta o inconsistente.
Para estar preparado para la auditoría:
- Mantén un plan de seguridad del sistema (SSP) vivo que recoja configuraciones base, endpoints, cambios de personal y mucho más.
- Haz seguimiento de las brechas sin resolver con un plan de acción e hitos (POA&M).
- Alcanza el umbral del 80 % en tu puntuación del Supplier Performance Risk System (SPRS).
Define los informes de cumplimiento del MSP
Los evaluadores siempre darán prioridad a las pruebas frente a las garantías verbales. Además de cumplir los estándares CMMC, los MSP también deben aportar pruebas estructuradas y repetibles de que esos controles se han aplicado de forma constante a lo largo del tiempo.
Estas pruebas pueden abarcar informes de parches y vulnerabilidades, cumplimiento de configuraciones, actividad de cuentas privilegiadas y registros de incidentes, todo ello como demostración de una gestión de TI competente antes y durante la auditoría CMMC nivel 2.
Estandariza las plantillas de informes para todos tus clientes con CUI e indica en cada informe los controles concretos de NIST 800-171 (por ejemplo, un informe de parches se corresponde directamente con el control 3.14.1) para evitar idas y venidas. Así agilizas el proceso de auditoría tanto para ti como para el evaluador.
🥷🏻| Cumple el 100 % de los requisitos de nivel 2 con informes automatizados.
Descubre cómo NinjaOne puede ayudarte a prepararte para CMMC.
Mantén una supervisión continua del cumplimiento
El papel del MSP en las auditorías CMMC debe demostrar un compromiso constante con la seguridad mediante herramientas de supervisión, alertas en tiempo real y remediaciones programadas. Las prácticas documentadas y ensayadas son imprescindibles. Las herramientas de gestión centradas en la supervisión continua ayudan a lograr esa constancia.
Implementa un panel de cumplimiento permanente para cada entorno de cliente que muestre el estado en tiempo real de los controles de seguridad más importantes. Como mínimo, debería señalar la desviación de configuración, los intentos de autenticación fallidos, las brechas en el cumplimiento de parches y los cambios en los privilegios de usuario, de modo que tu MSP tenga una visión en vivo de su postura de cumplimiento.
Recopila y presenta las pruebas de la auditoría
La auditoría formal implica que los evaluadores realicen entrevistas, revisen artefactos de seguridad y lleven a cabo validaciones técnicas para determinar el estado de los controles. Una vez recopilados los registros, archivos de configuración, expedientes de formación y otros documentos, se envían a una organización evaluadora externa de CMMC (C3PAO) para su revisión.
Tu documentación debe demostrar tres cosas: que los controles están implementados, que están operativos y que se aplican de forma constante. El equipo del C3PAO revisa cada uno de los 110 controles NIST para ver cuáles has cumplido. Y si tu cliente cumple al menos 88 de 110, obtiene el estado CMMC condicional.
Antes de la evaluación, crea una biblioteca de pruebas ordenada por familia de controles de NIST 800-171 para simplificar las necesidades de cumplimiento. Para cada control, adjunta:
- Una salida o captura de pantalla que demuestre su implementación
- Un registro que muestre que el control está activo
- Una referencia al documento de política que lo regula
Acompaña a tus clientes durante todo el proceso de auditoría
Los MSP tienen un papel decisivo a la hora de ayudar a sus clientes a cumplir los requisitos CMMC. El análisis de brechas, la remediación, la documentación, la recopilación de pruebas, la elaboración del SSP y la supervisión continua son esenciales para mantener controles eficaces entre evaluaciones.
El papel del MSP en las auditorías CMMC también incluye prepararse para las entrevistas con los evaluadores, que pueden implicar hablar directamente con contratistas externos. Si el MSP parece no estar familiarizado con las prácticas CMMC, puede dar una mala imagen de tu cliente.
Tras la evaluación, tu MSP también debería ayudar a los clientes durante el periodo de gracia de 180 días para cerrar las brechas de la infraestructura actual y facilitar el paso del estado condicional a la certificación final.
Para conseguirlo, crea un checklist de preparación previa a la evaluación para cada cliente que cubra:
- SSP y POA&M terminados
- Biblioteca de pruebas asociada a cada familia de controles
- Personal informado para las entrevistas con los evaluadores
- Una matriz de responsabilidad compartida confirmada
- Un plan de respuesta a incidentes documentado
El papel del MSP en las auditorías CMMC es directo, no consultivo
Los MSP asumen un papel mucho más práctico durante las auditorías CMMC nivel 2. Antes de la próxima evaluación de tu cliente, asegúrate de haber definido una matriz de responsabilidad compartida. A partir de ahí, utiliza herramientas centralizadas para supervisar y registrar tu postura de cumplimiento, siguiendo NIST SP 800-171 para agilizar el proceso.
Temas relacionados:
