Puntos clave
- Los proveedores de servicios de TI están sujetos al CMMC si gestionan o protegen sistemas que procesan CUI, incluso sin acceso directo a los datos.
- Tienes que elaborar un documento claro que indique exactamente qué tareas de seguridad asume el proveedor de TI, cuáles el cliente y cuáles se comparten entre ambos.
- La corrección de los fallos de seguridad no se puede retrasar sin motivo: las excepciones temporales solo se admiten en problemas de bajo riesgo y deben resolverse por completo en un plazo de 180 días.
- Para superar una auditoría debes demostrar que tus políticas escritas funcionan, recopilando de forma segura pruebas técnicas reales, como los registros del sistema.
- Los equipos de TI deben convertir el cumplimiento en un hábito diario: automatizar la recopilación de pruebas y actualizar los planes de seguridad cada vez que cambia un sistema.
- El personal del servicio de asistencia necesita formación específica para que las tareas rutinarias, como el restablecimiento de contraseñas, no rompan por accidente las reglas de seguridad establecidas.
Una herramienta de TI mal configurada puede afectar al resultado de la auditoría de cumplimiento de tu cliente del sector de defensa. Hoy, la preparación para el CMMC es un requisito operativo para los proveedores de servicios que dan soporte a organizaciones sujetas al CMMC. En esta guía aprenderás a definir el alcance, corregir vulnerabilidades y demostrar el cumplimiento de forma constante.
Checklist de acción 1: define el perímetro de la evaluación de alcance del CMMC
Definir el perímetro de la evaluación es el primer paso de la preparación para el CMMC. Determina exactamente qué sistemas y procesos de TI deben cumplir las normas del Departamento de Defensa.
Según los requisitos del CMMC, tus operaciones pueden influir en la auditoría de tu cliente. Aunque nunca manejes datos sensibles del cliente (CUI, o información no clasificada controlada), gestionar sus firewalls o sus herramientas de soporte de TI puede incluirte en el alcance.
Estas herramientas se clasifican como activos de protección de la seguridad (SPA). Generan datos de protección de la seguridad (SPD), como contraseñas de administrador y registros del sistema, que los auditores evaluarán con rigor.
Responsabilidad compartida
Antes de hacer cambios técnicos, debes documentar quién es responsable de cada requisito de seguridad. Una matriz de responsabilidad compartida indica con claridad si un control es responsabilidad del cliente, si se comparte o si lo gestiona íntegramente tu MSP.
| Control de seguridad | Responsabilidad principal |
| Aplicación de parches en endpoints | MSP (heredado). |
| Aplicación de MFA | Compartida |
| Seguridad física de la oficina | Cliente (responsabilidad del cliente) |
| Registro de respuesta a incidentes | MSP (heredado) |
Para cerrar tu evaluación de alcance del CMMC, responde a estas preguntas operativas que guiarán tu plan de cumplimiento:
- ¿Nuestros técnicos tienen acceso de administrador a las redes de los clientes?
- ¿Nuestras herramientas de TI recopilan o almacenan registros de seguridad de los clientes u otros datos de protección de la seguridad (SPD)?
- ¿Nuestras herramientas internas están separadas de forma segura de los datos sensibles del cliente?
- ¿Gestionamos firewalls, copias de seguridad o accesos de usuario para el cliente?
Checklist de acción 2: realiza un análisis de brechas y corrige las vulnerabilidades
Detectar y corregir los puntos débiles de seguridad es clave para superar la auditoría conforme a los requisitos del CMMC.
Identifica las brechas técnicas y corrígelas de inmediato
Tras la evaluación de alcance del CMMC, debes evaluar tu infraestructura frente a la NIST SP 800-171 Revision 2. No te limites a marcar requisitos generales: tienes que implementar y demostrar todos los controles de seguridad aplicables para superar la evaluación.
Los MSP suelen pasar por alto las vulnerabilidades de sus propios entornos internos. Para prepararte para el CMMC, debes identificar y corregir estos puntos ciegos antes de que llegue un evaluador. Resolver estas brechas técnicas de inmediato protege tanto a tu negocio como a tus clientes del sector de defensa.
Objetivos de corrección habituales
- Endpoints no gestionados: asegúrate de que todos los dispositivos que tocan redes dentro del alcance estén rigurosamente inventariados, parcheados y protegidos.
- Cuentas de administrador compartidas: asigna credenciales únicas y auditables a cada técnico; nunca compartas inicios de sesión de administrador global.
- Acceso remoto débil: aplica una autenticación multifactor (MFA) estricta y VPN seguras en todas las sesiones administrativas.
En el CMMC, un plan de acción e hitos (POA&M) es un documento formal que detalla cómo vas a corregir los controles de seguridad no cumplidos. Sin embargo, apoyarte en este documento para retrasar correcciones técnicas críticas es una estrategia peligrosa.
Según las directrices publicadas en la norma final del CMMC en el Federal Register, los POA&M son extremadamente estrictos. Ya no puedes posponer vulnerabilidades de alto riesgo para lograr el cumplimiento.
⚠️ADVERTENCIA: la realidad estricta de los POA&M del CMMC
- Elegibilidad limitada: solo determinados controles de 1 punto y bajo riesgo pueden incluirse en un POA&M.
- Puntuación mínima exigida: debes alcanzar una puntuación base estricta en la evaluación antes de que se permita siquiera un POA&M.
- Plazo de 180 días: todas las correcciones documentadas deben estar completamente resueltas y verificadas por un evaluador en un plazo de 180 días; de lo contrario, puedes no cumplir los requisitos de certificación.
Checklist de acción 3: genera pruebas objetivas y alinea la documentación
Superar una auditoría exige demostrar que tus políticas de seguridad se aplican de forma activa mediante pruebas reales y verificables.
Demuestra tu cumplimiento con pruebas reales
Una política escrita no sirve de nada sin pruebas objetivas. Los evaluadores no se limitarán a leer tus políticas: exigen registros históricos y líneas base de los sistemas. Para conseguirlo, utiliza una plataforma de gobernanza, riesgo y cumplimiento (GRC).
Las organizaciones que gestionan un gran volumen de artefactos de cumplimiento deberían valorar herramientas que mejoren la trazabilidad, la organización de las pruebas y la preparación para las auditorías.
Documentación frente a pruebas: ¿qué documentación exige el CMMC?
Para cumplir los estrictos estándares publicados en la norma final del CMMC del Federal Register, debes alinear tu estrategia general con las operaciones del día a día. Tienes que pasar de declarar el cumplimiento a demostrarlo de forma visible.
Documentación obligatoria (la estrategia):
- Plan de seguridad del sistema (SSP): detalla cómo se implementa técnicamente cada control
- Diagramas de red: representan visualmente los límites de tu evaluación de alcance del CMMC
- Matriz de responsabilidad del cliente (CRM): define las responsabilidades de seguridad y cumplimiento entre las partes implicadas
- Planes de respuesta a incidentes.
Pruebas obligatorias (la demostración):
- Pruebas técnicas: capturas de pantalla de la aplicación de MFA, escaneos de vulnerabilidades y registros de auditoría centralizados.
- Pruebas administrativas: listados firmados de formación en seguridad, registros de incorporación y resultados de simulaciones de mesa.
Recuerda que la integridad de las pruebas se exige con rigor. Las organizaciones deben conservar las pruebas de una forma que permita demostrar su integridad y responder a los requisitos de auditoría. Además, las pruebas deben conservarse según los plazos de retención aplicables.
Checklist de acción 4: integra el cumplimiento en los flujos de trabajo diarios
Una verdadera preparación para el CMMC significa tratar la ciberseguridad como un estándar diario, no como una auditoría puntual.
Convierte la preparación de auditorías en un servicio gestionado continuo
Para seguir cumpliendo los requisitos del CMMC, debes monitorizar tus sistemas de forma continua y evitar que aparezcan brechas de seguridad con el tiempo. Utiliza la gestión de TI automatizada y herramientas de registro (como plataformas RMM y SIEM) para supervisar tu entorno y recopilar pruebas de cumplimiento.
Tu equipo de servicio de asistencia también juega un papel clave. Resolver los tickets de TI del día a día nunca debe vulnerar las reglas de seguridad que has establecido.
Tareas diarias de cumplimiento
- Automatiza los informes: usa tus herramientas de TI para recopilar y almacenar de forma segura y automática los registros del sistema, las configuraciones y los escaneos de vulnerabilidades. Así la obtención de pruebas se convierte en un proceso diario automático.
- Aplica la gestión de cambios: trata tu plan de seguridad del sistema (SSP) como un documento vivo. Exige una aprobación para todos los cambios técnicos y actualiza el SSP en cuanto cambie una configuración.
- Forma a tu servicio de asistencia: asegúrate de que todos los técnicos conocen los límites de tu evaluación de alcance del CMMC. Deben saber cómo resolver tareas rutinarias, como restablecer contraseñas o dar de baja cuentas, sin exponer datos protegidos.
Al crear estos hábitos diarios, consigues mucho más que prepararte para una evaluación. Transformas un requisito normativo estricto en un servicio valioso y duradero para tus clientes del sector de defensa.
Logra la preparación para el CMMC con un marco orientado al cumplimiento
Una verdadera preparación para el CMMC exige ir más allá de la simple concienciación y apostar por una coherencia operativa estricta.
Si defines con precisión el alcance de tu evaluación, repartes con claridad las responsabilidades compartidas y recopilas pruebas objetivas a diario, protegerás contratos de defensa críticos. Trata el cumplimiento como un servicio gestionado continuo para proteger a tus clientes y a tu negocio.
Guía de inicio rápido
Para crear un checklist de preparación para el CMMC en NinjaOne, harías lo siguiente:
- Usar la función Checklists de NinjaOne Documentation para crear una plantilla personalizada de preparación para el CMMC
- Aprovechar Security Configuration Management para evaluar y aplicar configuraciones alineadas con el CMMC
- Generar informes de cumplimiento para seguir el estado de preparación
- Utilizar políticas y automatización para aplicar los requisitos del CMMC en todos los dispositivos gestionados por tu MSP
Temas relacionados:
- CMMC 2.0: la certificación CMMC explicada para MSP
- El CMMC no es lo que la mayoría de los MSP cree
- Cómo detectar una oportunidad de CMMC: preguntas de descubrimiento y palabras clave de alerta
- Cómo preparar a tus clientes para una auditoría de cumplimiento inesperada (HIPAA, CMMC, SOC 2)
- Checklist de ciberseguridad para MSP 2026: protección frente al ransomware y otras amenazas
