Puntos clave
- Las plataformas cloud, los MSP y las organizaciones cliente son dueños de porciones distintas de los controles de seguridad exigidos por el cumplimiento de CMMC, y ninguna de las partes puede garantizar el cumplimiento completo por su cuenta.
- Las plataformas cloud se encargan de la seguridad física del centro de datos, de la disponibilidad de la infraestructura y de los controles básicos de la plataforma, pero no pueden determinar cómo se configuran, se usan ni se accede a los sistemas dentro del entorno de una organización concreta.
- Los MSP son la capa de cumplimiento crítica entre las capacidades de la plataforma y el control operativo. Se encargan de configurar sistemas seguros, gestionar el acceso privilegiado, aplicar las políticas de seguridad y dar soporte a los sistemas que almacenan o procesan CUI.
- Incluso contando con MSP y plataformas cloud, la organización cliente conserva la responsabilidad última del cumplimiento de CMMC: definir las políticas de seguridad, aprobar las configuraciones, mantener la gobernanza y asegurarse de que todos los controles estén documentados.
- Una matriz de responsabilidad compartida de CMMC asigna los 110 controles de la NIST SP 800-171 a un responsable definido entre la organización, el MSP y la plataforma.
- Las herramientas de cumplimiento de CMMC y las plataformas RMM ayudan en las auditorías al aportar visibilidad del sistema y aplicar configuraciones, pero hay que configurarlas bien y gestionarlas de forma activa.
El cumplimiento de la Cybersecurity Maturity Model Certification (CMMC) se confunde a menudo con una función de un producto o de una plataforma. En realidad, se trata de un modelo de responsabilidad compartida en el que varias partes contribuyen a implementar y aplicar los controles.
Los proveedores cloud, los MSP y las organizaciones cliente desempeñan papeles distintos a la hora de cumplir los requisitos de CMMC. Por eso necesitas crear una matriz de responsabilidad compartida de CMMC: así los roles quedan claros y cada parte sabe de qué se encarga.
¿Qué significa la responsabilidad compartida en CMMC?
En el contexto de CMMC, la responsabilidad compartida se refiere al reparto del control y de la propiedad entre las distintas entidades que intervienen en un mismo entorno. Por lo general, la responsabilidad se reparte entre:
- La organización cliente
- El MSP
- La plataforma o el proveedor de servicios subyacente
Conviene recordar que ninguna de las partes te va a garantizar el cumplimiento completo por sí sola. Cada entidad se encarga de un aspecto distinto de la seguridad y el cumplimiento. Si no entiendes el papel de cada una, aparecen huecos. No des por hecho que un control está cubierto: habla con todas las partes implicadas y comprueba que las políticas se estén aplicando de forma activa.
De qué se encargan las plataformas en CMMC
Las plataformas se encargan sobre todo del mantenimiento de la infraestructura subyacente. Esto suele incluir:
- Mantener el centro de datos físico y protegerlo
- Garantizar que la infraestructura esté disponible y sea resistente ante incidentes
- Proteger su red y su hardware principales para evitar interrupciones
- Mantener los controles de seguridad básicos a nivel de plataforma
Algunas plataformas van más allá y ofrecen servicios y certificaciones alineados con el cumplimiento. Aun así, no conviene confiar solo en el cumplimiento de la plataforma. A fin de cuentas, es únicamente una parte de un modelo más amplio y completo. El cumplimiento de la plataforma no cubre detalles más concretos, como la forma en que se configuran o se usan los sistemas en tus entornos específicos.
De qué se encargan los MSP en CMMC
Si las plataformas se encargan de mantener la infraestructura subyacente, los MSP se ocupan de implementar y gestionar los controles en las plataformas que se usan en el entorno del cliente. Esto implica:
- Configurar y mantener sistemas seguros
- Gestionar los controles de acceso y las cuentas privilegiadas
- Aplicar las políticas de seguridad en todos los endpoints
- Dar soporte a los sistemas que almacenan o procesan información no clasificada controlada (CUI)
Tus MSP son una capa crítica entre las capacidades de la plataforma y el cumplimiento operativo. Tienen un papel clave para mantener tus datos a salvo y protegidos.
De qué sigue encargándose la organización cliente en CMMC
Aunque cuente con todo el apoyo de las plataformas y los MSP, el cliente conserva cierto grado de responsabilidad en materia de cumplimiento. Es quien mejor conoce sus necesidades y cómo cubrirlas.
Entre las responsabilidades habituales del cliente están:
- Definir las políticas y los requisitos de seguridad
- Aprobar las configuraciones de los sistemas y los controles de acceso
- Mantener la gobernanza y la supervisión
- Asegurarse de que todos los controles de sus entornos estén implementados y documentados
El cumplimiento de CMMC, sobre todo en el caso de los contratistas de defensa, no se puede externalizar por completo. La responsabilidad total recae siempre, en última instancia, en la organización evaluada y en nadie más.
Dónde se solapan las responsabilidades en CMMC
En materia de cumplimiento, la cooperación y la colaboración son siempre necesarias. Por ejemplo, el control de acceso lo define siempre el cliente, pero es el MSP quien tiene que aplicarlo. Mantener una gobernanza y una supervisión completas, igual que la respuesta ante incidentes, implica a todas las partes, y comprobar que todos los controles estén implementados concierne tanto al cliente como al MSP.
Cómo asignar responsabilidades de forma eficaz en entornos CMMC
Las organizaciones necesitan asignar la propiedad de cada control. Así se evitan confusiones y todas las partes implicadas saben qué les corresponde hacer. Entre las buenas prácticas están:
- Definir quién es dueño del control de cada requisito
- Documentar con claridad las responsabilidades compartidas
- Alinear los servicios con requisitos de cumplimiento concretos
- Validar que todos los controles se apliquen siempre de forma activa
Asignar estas responsabilidades compartidas garantiza que las soluciones de cumplimiento que tu MSP ofrece a sus clientes encajen con lo que tu organización espera de una auditoría. Además, reduce la ambigüedad cuando llegan las evaluaciones y las auditorías.
El papel de las herramientas y las plataformas como apoyo al cumplimiento
Las plataformas y herramientas que utilizas pueden apoyar el cumplimiento y las auditorías, pero no sustituyen la responsabilidad. Las herramientas de cumplimiento de CMMC para MSP y las soluciones integradas de RMM + cumplimiento pueden:
- Aportar visibilidad sobre el estado de los sistemas
- Ayudar a aplicar las configuraciones de seguridad
- Facilitar la documentación y la validación
Aun así, recuerda que las herramientas deben estar bien configuradas y gestionadas. De lo contrario, aportan muy poco al cumplimiento. La responsabilidad de usarlas y operarlas sigue siendo del MSP y del cliente.
Cómo afecta la responsabilidad compartida a las auditorías
En una evaluación de CMMC, los auditores analizan cómo se implementan las responsabilidades en un entorno concreto. Harán lo siguiente:
- Identificar quién es dueño de cada control
- Validar que los controles se implementan correctamente
- Confirmar que las responsabilidades están claramente definidas
La responsabilidad compartida es la clave del éxito con CMMC
El cumplimiento de CMMC depende de un modelo de responsabilidad compartida en el que participan las plataformas, los MSP y las organizaciones cliente. Definir las responsabilidades con claridad, asignar bien la propiedad de los controles y alinear los servicios con los requisitos son pasos imprescindibles para lograr buenos resultados en materia de cumplimiento.
Temas relacionados:
- CMMC 2.0: la certificación CMMC explicada para MSP
- Cómo detectar una oportunidad de CMMC: preguntas de descubrimiento y palabras clave de alerta
- CMMC no es lo que la mayoría de los MSP cree
- Cómo preparar a los clientes para una auditoría de cumplimiento inesperada (HIPAA, CMMC, SOC 2)
- Cómo crear un entorno de staging interno para despliegues seguros en un MSP
