Pontos principais
- Ponto de partida da implementação do CMMC: antes de mudar qualquer coisa, os MSPs precisam mapear os serviços atuais em relação aos controles do NIST 800-171, verificar quais requisitos já estão cobertos e definir quem responde por fechar as lacunas.
- O controle de acesso é a área de maior risco no CMMC nível 2: aplicação do privilégio mínimo e MFA estão entre as origens mais comuns de apontamentos na avaliação quando não são aplicados de forma consistente em todos os sistemas no escopo.
- O desvio de configuração amplia as lacunas de conformidade: sistemas configurados corretamente na implantação podem sair do padrão com o tempo, e validações regulares contra uma linha de base documentada mantêm o ambiente no estado exigido.
- Divergência entre documentação e implementação é uma falha comum em auditorias: os avaliadores verificam os controles no estado real dos sistemas, e políticas que descrevem como as coisas deveriam funcionar em vez de como funcionam levam direto a apontamentos.
- Consistência em todos os sistemas no escopo é obrigatória: controles aplicados de formas diferentes entre ambientes podem ser questionados. Processos repetíveis, que entregam o mesmo resultado sempre, tornam o programa de conformidade defensável.
O nível 2 da Cybersecurity Maturity Model Certification (CMMC) exige que as organizações implementem e mantenham um conjunto definido de controles de segurança baseado no NIST SP 800-171. Em resumo, essa é uma publicação do National Institute of Standards and Technology (NIST) que descreve os requisitos de segurança para proteger informações controladas não classificadas (CUI). Para os MSPs, isso significa traduzir esses requisitos em sistemas e processos que funcionem nos ambientes dos clientes, e não apenas orientar sobre o que precisa ser feito.
Este artigo mostra como os MSPs podem implementar os controles do CMMC nível 2 em seus ambientes e como é a aplicação consistente desses controles em endpoints, usuários e infraestrutura.
Como os MSPs podem atender aos requisitos de conformidade do CMMC 2.0?
Para atender aos requisitos de conformidade do CMMC 2.0, os MSPs precisam colocar os controles em prática em todos os sistemas. Isso começa por entender a estrutura do nível 2 e saber como cada requisito se relaciona com os serviços prestados.
A estrutura dos requisitos do CMMC nível 2
Os requisitos de conformidade do CMMC 2.0 vêm diretamente do NIST 800-171 Rev 2 e abrangem 110 controles de segurança, organizados em 14 famílias de controles. Cada família trata de uma área específica de segurança, e é fundamental que os MSPs entendam como essas áreas se conectam aos sistemas e serviços que gerenciam.
As principais áreas de controle em que os MSPs vão atuar incluem:
- Controle de acesso: são as regras que definem quem pode acessar quais sistemas e em quais condições. Incluem como as permissões são concedidas, revisadas e removidas.
- Gerenciamento de configuração: trata de como os sistemas são configurados e mantidos. Abrange configurações e controles aprovados, além da aplicação de linhas de base.
- Identificação e autenticação: controles que verificam a identidade do usuário antes de conceder acesso, incluindo políticas de senha, autenticação multifator e gerenciamento de contas.
- Resposta a incidentes: processos para detectar, reportar e responder a eventos de segurança, além de manter registros do que aconteceu e de como foi tratado.
- Integridade de sistemas e informações: controles que protegem os sistemas contra malware, alterações não autorizadas e vulnerabilidades, incluindo práticas de aplicação de patches e monitoramento.
Essas áreas de controle precisam estar configuradas, aplicadas e verificáveis em todos os sistemas no escopo da avaliação.
Mapeie os serviços do MSP para os controles do NIST 800-171
Antes de implementar qualquer coisa, os MSPs precisam de um retrato claro de como os serviços atuais se posicionam frente aos requisitos do NIST 800-171. É esse mapeamento que liga os serviços gerenciados do dia a dia a resultados específicos de conformidade.
O processo de mapeamento envolve:
- Identificar quais serviços sustentam cada controle: revise a lista completa de controles do NIST 800-171 e determine quais já são atendidos pela entrega de serviços atual e quais não têm cobertura alguma.
- Relacionar ferramentas e processos aos objetivos de controle: associe ferramentas, configurações e fluxos de trabalho específicos aos controles que eles satisfazem. Isso facilita identificar lacunas e evita contar o mesmo serviço para vários controles sem justificativa.
- Definir responsabilidades entre MSP e cliente: alguns controles são inteiramente do MSP, outros pertencem ao cliente e alguns são compartilhados. Documentar isso cedo evita lacunas que aparecem depois, quando cada lado presume que o outro cuidou do assunto.
- Garantir implementação consistente entre ambientes: o mesmo controle precisa ser aplicado da mesma forma em todos os sistemas no escopo. Implementação inconsistente é um dos motivos mais comuns de falha de controles durante a avaliação.
Um exercício de mapeamento do NIST 800-171 para MSPs transforma uma lista de requisitos em um retrato claro do que está coberto, do que não está e de quem responde por fechar a diferença.
Implemente controle de acesso e gerenciamento de identidades
O controle de acesso é um fator decisivo no CMMC nível 2. MSPs que cuidam de ambientes que armazenam ou processam CUI precisam aplicar aqui um rigor maior do que em sistemas comuns.
- Aplicar o acesso de privilégio mínimo: usuários e contas de serviço devem ter acesso apenas ao que precisam para fazer o trabalho. Permissões além disso representam riscos de segurança que podem virar apontamento.
- Gerenciar identidades e autenticação de usuários: todas as contas precisam estar vinculadas a pessoas específicas dentro do ambiente. Além disso, a autenticação multifator (MFA) precisa ser obrigatória nos sistemas desse escopo. Contas compartilhadas ou genéricas são inaceitáveis no CMMC nível 2.
- Restringir o acesso a sistemas que tratam dados sensíveis: sistemas que lidam com CUI precisam de restrições de acesso adicionais, além dos controles padrão. Nesse sentido, o acesso deve se limitar a usuários com necessidade documentada. E quem tem acesso precisa ser revisado com regularidade.
- Monitorar o uso de contas privilegiadas: se comprometidas, as contas administrativas carregam o maior risco. Registrar e revisar a atividade dessas contas é obrigatório. Os registros de acesso também precisam ser apresentados durante as avaliações.
Falhas de controle de acesso estão entre os motivos mais comuns pelos quais as organizações têm dificuldade nas avaliações de CMMC. Acertar essa área logo no início reduz o risco em todo o restante da implementação.
Aplique gerenciamento de configuração e integridade dos sistemas
O desvio de configuração é um perigo silencioso em um ambiente CMMC nível 2. Mesmo que os sistemas tenham sido configurados corretamente na implantação, eles podem sair do padrão com o tempo. Sem um processo para detectar isso, as lacunas se acumulam e colocam todo o ambiente em risco.
Para evitar esse cenário, os MSPs podem:
- Padronizar as configurações dos sistemas: os MSPs podem definir e documentar uma linha de base de configuração segura para cada tipo de sistema. Todo dispositivo deve ser montado nesse padrão, e desvios ou exceções precisam ser rigorosamente documentados.
- Impedir alterações não autorizadas: é preciso implantar controles que restrinjam quem pode alterar configurações. Além disso, essas mudanças têm que passar por um processo definido e documentado para conter alterações descontroladas.
- Manter linhas de base seguras: as linhas de base precisam ser revisadas e atualizadas sempre que novas vulnerabilidades forem identificadas ou houver mudanças nos sistemas. Uma linha de base sem revisão há meses pode já não refletir as necessidades de segurança atuais.
- Validar a integridade dos sistemas ao longo do tempo: verifique com regularidade se os sistemas ainda correspondem à linha de base documentada. Ferramentas automatizadas apontam desvios, mas alguém precisa analisar esses achados e agir para que o controle seja considerado operante.
Gerenciamento de configuração não é uma tarefa de configuração única. Exige atenção contínua para manter os sistemas no estado que a conformidade exige.
Implemente logs, monitoramento e resposta a incidentes
O CMMC nível 2 exige mais do que prevenir eventos de segurança. As organizações precisam detectá-los, responder a eles e manter registros que mostrem como cada um foi tratado.
As etapas de implementação de logs, monitoramento e resposta a incidentes incluem:
- Ativar logs em sistemas e aplicativos: o registro de logs precisa estar ativo em todos os sistemas no escopo, cobrindo eventos de autenticação, alterações de configuração e acesso a dados sensíveis. Logs que não são coletados não podem ser revisados nem apresentados como evidência.
- Monitorar atividades suspeitas: os logs precisam ser revisados com regularidade, não apenas coletados. Ferramentas de monitoramento ajudam a sinalizar comportamentos atípicos, mas é preciso haver um processo definido para agir sobre esses alertas.
- Estabelecer processos de resposta a incidentes: documente como os eventos de segurança são identificados, escalados, contidos e resolvidos. O processo precisa estar escrito e ser seguido com consistência, não improvisado a cada ocorrência.
- Manter registros de eventos e ações: todo evento de segurança e as medidas tomadas para tratá-lo precisam ser registrados. Esses registros servem como evidência nas avaliações e ajudam a identificar padrões que apontam problemas recorrentes.
Logs e monitoramento sem um processo de resposta a incidentes conectado atendem só a parte do requisito. Os três precisam funcionar juntos para cumprir o que o CMMC nível 2 espera.
Proteja os sistemas que tratam dados sensíveis
Os sistemas que lidam com CUI carregam o maior risco de conformidade em um ambiente CMMC nível 2. Os controles aplicados a eles precisam ir além da linha de base padrão usada no restante do ambiente.
As proteções adicionais para sistemas que tratam dados sensíveis incluem:
- Restringir o acesso a ambientes sensíveis: o acesso a sistemas que armazenam ou processam CUI deve se limitar a usuários com necessidade documentada e aprovada. As listas de acesso precisam ser revisadas com regularidade e atualizadas quando as funções mudarem.
- Aplicar criptografia e medidas de proteção de dados: as CUI precisam ser criptografadas em repouso e em trânsito. Os requisitos de criptografia valem para armazenamento, backups e qualquer dado que circule entre sistemas ou redes.
- Monitorar o acesso e a movimentação dos dados: acompanhe quem acessa as CUI, quando e de onde. Padrões de acesso atípicos precisam ser sinalizados e investigados, e os registros de monitoramento precisam ser retidos para fins de auditoria.
- Garantir práticas seguras de manuseio: defina como as CUI são criadas, armazenadas, compartilhadas e descartadas. Quem trabalha com dados sensíveis precisa entender o que é exigido e seguir os mesmos procedimentos sempre.
A forma como esses sistemas são protegidos é uma das áreas que os avaliadores examinam com mais atenção. Lacunas aqui pesam mais do que lacunas em áreas de menor risco do ambiente.
Mantenha a documentação alinhada à implementação
Documentação que não corresponde ao que está de fato implantado é uma das origens mais comuns de apontamentos nas avaliações de CMMC. Os avaliadores comparam o que está escrito com o que conseguem verificar no ambiente, e as diferenças entre os dois levantam perguntas difíceis de responder na hora.
A documentação que precisa se manter atual e precisa inclui:
- Configurações dos sistemas e aplicação dos controles: documente como cada controle é implementado, a quais sistemas se aplica e como é aplicado. Isso dá aos avaliadores uma referência clara e reduz o vaivém durante a avaliação.
- Políticas e procedimentos: as políticas precisam descrever o que é exigido, e os procedimentos, como isso é feito. Ambos precisam refletir a prática atual, não uma versão anterior de como o ambiente foi montado.
- Alinhamento com o comportamento real dos sistemas: revise a documentação com regularidade e atualize-a quando configurações ou processos mudarem. Uma documentação correta há seis meses pode já não refletir o que está rodando no ambiente hoje.
Manter a documentação em dia é uma responsabilidade contínua, não uma tarefa de véspera da avaliação. MSPs que tratam isso como parte da entrega normal de serviços chegam muito mais fortes quando a data da avaliação é confirmada.
Garanta consistência entre os ambientes
Implementação inconsistente de controles é um dos caminhos mais rápidos para gerar apontamentos de auditoria. Se o mesmo controle é aplicado de formas diferentes nos sistemas do escopo, os avaliadores vão sinalizar a variação e questionar se o controle é mesmo operante.
As medidas que os MSPs precisam tomar para manter a consistência incluem:
- Configurações padronizadas em todos os sistemas: todo sistema no escopo deve ser montado e mantido na mesma linha de base. As variações precisam ser documentadas como exceções, com justificativa clara, e não ficar como diferenças sem registro.
- Processos repetíveis para aplicar os controles: os controles devem ser aplicados por processos definidos que produzam o mesmo resultado sempre, independentemente de quem executa o trabalho. Processos que dependem do conhecimento ou do julgamento de cada pessoa criam variações difíceis de defender em uma avaliação.
- Alinhamento entre ambientes e requisitos: conforme os requisitos evoluem ou os sistemas mudam, os controles precisam ser revisados e atualizados para continuar alinhados. Um ambiente que atendia aos requisitos na implementação pode sair do alinhamento à medida que as mudanças se acumulam.
- Validação contínua da eficácia dos controles: verificações regulares confirmam que os controles continuam funcionando como previsto. A validação deve ser agendada, documentada e seguida de ação quando aparecem lacunas.
A consistência em todo o ambiente é o que transforma controles implementados isoladamente em um programa de conformidade que resiste ao escrutínio.
Mantenha-se alinhado aos requisitos de conformidade do CMMC 2.0
A implementação de controles leva o ambiente a um estado de conformidade. Mantê-lo assim exige atenção contínua, à medida que os sistemas mudam, os requisitos evoluem e novas vulnerabilidades surgem.
As atividades contínuas que os MSPs precisam manter incluem:
- Revisão regular da eficácia dos controles: agende revisões periódicas para confirmar que os controles seguem funcionando como previsto. O que era eficaz na implementação pode precisar de ajustes conforme o ambiente muda.
- Atualização das configurações conforme os requisitos evoluem: os requisitos de conformidade do CMMC 2.0 não são estáticos. Quando as orientações são atualizadas ou novas vulnerabilidades aparecem, configurações e processos precisam ser revisados e atualizados.
- Manutenção do alinhamento com as expectativas de conformidade: mantenha documentação, monitoramento e aplicação dos controles alinhados aos requisitos atuais. Lacunas que surgem entre avaliações ficam mais difíceis de fechar quanto mais tempo passam sem tratamento.
- Apoio à melhoria ao longo do tempo: use os achados de revisões internas, incidentes e avaliações para aprimorar como os controles são implementados e mantidos. Cada ciclo de revisão deve deixar o ambiente mais forte do que o anterior.
MSPs que tratam a conformidade com o CMMC como um serviço contínuo são os que ajudam os clientes a se manterem prontos para a reavaliação sem um grande esforço de remediação a cada vez.
Guia de início rápido
NinjaOne pode apoiar a implementação do CMMC nível 2 com vários recursos que ajudam os MSPs diretamente nessa tarefa:
1. Security Configuration Management (SCM)
- Benchmarking de conformidade com personalização sem código: os administradores ajustam os benchmarks de conformidade direto no console
- Modelos pré-configurados para hardening de segurança com base em padrões como CIS e NIST
- Aplicação automatizada no Windows com o Desired State Configuration (DSC) da Microsoft
2. Gerenciamento de patches
- Implantação automatizada de patches em endpoints para corrigir vulnerabilidades
- Relatórios de patches com acompanhamento detalhado de status e visibilidade da conformidade
- Aplicação de patches programada com controles de aprovação granulares (crítico, importante, moderado, baixo)
3. Gerenciamento de configurações e políticas
- Criação centralizada de políticas para aplicar configurações de segurança específicas a grupos de dispositivos
- Scripts e automação para hardening consistente em vários dispositivos
- Monitoramento em tempo real de alterações de configuração e eventos de segurança
4. Controle de acesso e gerenciamento de identidades
- Controles de acesso baseados em função e aplicação do privilégio mínimo
- Integração com SSO/SAML para gerenciamento de identidades
- Suporte a SCIM para provisionamento e desprovisionamento automatizados de usuários
5. Relatórios de conformidade
- Relatórios de conformidade completos que demonstram aderência aos padrões de segurança
- Visibilidade do estado de configuração dos dispositivos para fins de auditoria
- Integração com ferramentas de segurança de terceiros para gerenciamento centralizado de políticas
6. Monitoramento e gerenciamento remotos
- Acesso remoto seguro para solução de problemas e aplicação de políticas
- Monitoramento em tempo real da integridade do sistema e de eventos de segurança
- Inventário de dispositivos e gerenciamento do ciclo de vida de ativos
Como os MSPs entregam e sustentam a conformidade com o CMMC nível 2
Implementar os controles do CMMC nível 2 significa traduzir os requisitos do NIST 800-171 em sistemas e processos que funcionem e resistam à avaliação. Mapear serviços para controles, aplicar configurações consistentes e manter documentação que reflita a implementação real: é isso que separa as organizações que passam nas avaliações daquelas que não passam.
A conformidade não termina na implementação. MSPs que incorporam revisão, monitoramento e alinhamento contínuos à entrega de serviços dão aos clientes a melhor chance de se manterem em conformidade entre os ciclos de avaliação, sem precisar reconstruir tudo do zero a cada vez.
Temas relacionados:
