Punti chiave
- Verifica se rientri nel perimetro di valutazione come External Service Provider che gestisce informazioni non classificate controllate (CUI).
- Mappa ogni servizio gestito sui 110 controlli NIST SP 800-171, definisci con il cliente una matrice di responsabilità condivisa e segnala le lacune di conformità in un POA&M.
- Mantieni un System Security Plan completo e report di conformità strutturati, collegati a controlli NIST specifici, per fornire ai valutatori la documentazione di cui hanno bisogno.
- Monitora in tempo reale e in modo continuo la deriva della configurazione, le patch mancanti e le modifiche ai privilegi, per dimostrare che i controlli sono effettivamente applicati e non solo implementati.
- Prepara il personale del cliente ai colloqui con i valutatori e produci le prove di audit su richiesta entro 180 giorni, per trasformare lo stato condizionale in certificazione CMMC Level 2 definitiva.
La Cybersecurity Maturity Model Certification (CMMC) 2.0 è un framework federale che verifica la sicurezza informatica dei fornitori della difesa che gestiscono informazioni non classificate controllate (CUI). E in queste verifiche, il supporto degli MSP agli audit CMMC diventa molto più operativo.
Semplifica in anticipo gli audit federali dei tuoi clienti grazie a una maggiore visibilità. Questa guida al CMMC Level 2 propone una checklist strategica per ottenere la certificazione riducendo al tempo stesso i rischi.
Cosa devono fare gli MSP durante gli audit CMMC Level 2
Definire il perimetro dell’MSP all’interno dell’audit
Prima di tutto, stabilisci se il tuo MSP rientra nel perimetro dell’audit di Level 2. Secondo il Department of Defense, qualsiasi External Service Provider (ESP) che incida sulla riservatezza delle informazioni non classificate controllate (CUI) è soggetto allo stesso standard di conformità del contraente principale.
Le CUI comprendono:
- Dati personali identificativi (PII)
- Informazioni proprietarie di business (CBI)
- Dati tecnici soggetti a controllo delle esportazioni (ITAR/EAR)
- Dati relativi alla sicurezza delle infrastrutture critiche
Se il tuo team gestisce server email, storage cloud e strumenti per gli endpoint che trattano CUI, i tuoi servizi rientrano nel supporto degli MSP agli audit CMMC. Perciò, prima che inizi la valutazione, definisci con il cliente una matrice di responsabilità condivisa per chiarire di cosa è responsabile l’MSP, di cosa è responsabile il cliente e cosa è condiviso.
💡 Importante: gli MSP che elaborano, trasferiscono e archiviano CUI devono ottenere una propria certificazione CMMC Level 2 o Level 3. Gli MSP che non gestiscono CUI ne sono esentati.
Allineare i servizi MSP ai requisiti del CMMC Level 2
Il CMMC Level 2 implementa tutte le 110 pratiche previste dal NIST SP 800-171 per proteggere le CUI. Se il tuo MSP rientra nel perimetro dell’audit, dovrai allineare i tuoi controlli di sicurezza ai requisiti specifici del NIST. Alcuni esempi:
- Gestione degli accessi privilegiati
- Revisioni periodiche degli accessi
- Separazione rigorosa dei tenant
- Registrazione completa degli incidenti che coinvolgono CUI
- Applicazione delle configurazioni di sicurezza
Esegui una mappatura tra controlli e servizi che individui quale strumento o processo dell’MSP soddisfa ciascun dominio del NIST 800-171. Se emergono lacune, segnalale prima dell’inizio della valutazione, non durante.
Creare e mantenere una documentazione pronta per l’audit
Con l’evoluzione degli ambienti digitali, essere pronti all’audit è diventato un prerequisito. In un recente report di Greenberg Traurig LLP., i valutatori terzi stimano che il 25% dei candidati alla certificazione non ha superato la fase di pre-valutazione e che nella maggior parte dei casi la documentazione era incompleta o disallineata.
Per essere pronti all’audit:
- Mantieni un System Security Plan (SSP) sempre aggiornato, che elenchi configurazioni di base, endpoint, variazioni di personale e altro ancora.
- Tieni traccia delle lacune non risolte con un Plan of Action and Milestones (POA&M).
- Raggiungi la soglia dell’80% nel punteggio del Supplier Performance Risk System (SPRS).
Definire il reporting di conformità per gli MSP
I valutatori daranno sempre la priorità alle prove rispetto alle dichiarazioni verbali. Oltre a rispettare gli standard CMMC, gli MSP devono fornire prove strutturate e ripetibili del fatto che tali controlli sono stati applicati in modo coerente nel tempo.
Queste prove possono riguardare il reporting su patch e vulnerabilità, la conformità delle configurazioni, l’attività con privilegi e i log degli incidenti: tutti elementi che dimostrano una gestione IT solida prima e durante l’audit CMMC Level 2.
Standardizza i modelli di reporting per tutti i clienti che trattano CUI e collega a ogni report i controlli NIST 800-171 specifici (per esempio, un report sulle patch corrisponde direttamente al controllo 3.14.1) per evitare continui scambi di richieste. In questo modo il processo di audit risulta più snello sia per te sia per il valutatore.
🥷🏻| Soddisfa il 100% dei requisiti di Level 2 grazie al reporting automatizzato.
Scopri come NinjaOne può aiutarti a prepararti al CMMC.
Mantenere un monitoraggio continuo della conformità
Il supporto degli MSP agli audit CMMC deve dimostrare un impegno costante sulla sicurezza attraverso strumenti di monitoraggio, avvisi in tempo reale e interventi di remediation pianificati. Pratiche documentate e collaudate sono fondamentali. Gli strumenti di gestione che privilegiano il monitoraggio continuo aiutano a garantire questa coerenza.
Implementa una dashboard di conformità continua per ogni ambiente cliente, così da monitorare in tempo reale lo stato dei controlli di sicurezza più importanti. Come minimo, deve segnalare la deriva della configurazione, gli eventi di autenticazione falliti, le lacune nella conformità delle patch e le modifiche ai privilegi degli utenti, offrendo al tuo MSP una visione aggiornata della postura di conformità.
Raccogliere e presentare le prove per l’audit
L’audit formale prevede che i valutatori conducano colloqui, esaminino gli artefatti di sicurezza ed effettuino verifiche tecniche per determinare lo stato dei controlli. Una volta raccolti log, file di configurazione, registri delle formazioni e altri documenti, questi vengono inviati a una CMMC Third-Party Assessment Organization (C3PAO) per la revisione.
La tua documentazione deve dimostrare tre cose: che i controlli sono implementati, operativi e applicati in modo coerente. Il team della C3PAO verifica ciascuno dei 110 controlli NIST per capire quali sono stati soddisfatti. E se il tuo cliente ne soddisfa almeno 88 su 110, ottiene lo stato CMMC condizionale.
Prima della valutazione, crea una libreria di prove organizzata per famiglia di controlli NIST 800-171, così da semplificare la gestione dei requisiti di conformità. Per ogni controllo, allega:
- Un output o uno screenshot che dimostri l’implementazione
- Un log che mostri che il controllo è attivo
- Un riferimento al documento di policy che lo disciplina
Affiancare i clienti durante tutto il processo di audit
Gli MSP hanno un ruolo cruciale nell’aiutare i clienti a soddisfare i requisiti CMMC. Analisi delle lacune, remediation, documentazione, raccolta delle prove, sviluppo dell’SSP e monitoraggio continuo sono tutti elementi essenziali per mantenere controlli efficaci tra una valutazione e l’altra.
Il supporto degli MSP agli audit CMMC ti prepara anche ai colloqui con i valutatori, che possono prevedere un confronto diretto con fornitori esterni. Se l’MSP appare poco pratico delle pratiche CMMC, l’impressione negativa ricade sul cliente.
Dopo la valutazione, il tuo MSP dovrebbe inoltre affiancare i clienti durante i 180 giorni di tolleranza per colmare le lacune dell’infrastruttura esistente, facilitando il passaggio dallo stato condizionale alla certificazione definitiva.
Per riuscirci, prepara per ogni cliente una checklist di preparazione alla valutazione che includa:
- SSP e POA&M completati
- Libreria di prove mappata su ogni famiglia di controlli
- Personale informato in vista dei colloqui con i valutatori
- Una matrice di responsabilità condivisa confermata
- Un piano di risposta agli incidenti documentato
Il supporto degli MSP agli audit CMMC è diretto, non solo consulenziale
Gli MSP hanno un ruolo molto più operativo durante gli audit CMMC Level 2. Prima della prossima valutazione del tuo cliente, assicurati di aver definito una matrice di responsabilità condivisa. Da lì, utilizza strumenti centralizzati per monitorare e documentare la tua postura di conformità, seguendo il NIST SP 800-171 per semplificare il processo.
Argomenti correlati:
