O CMMC não vai transformar a maioria dos MSPs. Mas, para alguns, vai mudar tudo.
O CMMC levou anos para sair do papel. Durante muito tempo, parecia que “todo ano é ano que vem”, com falsos começos e expectativas que mudavam o tempo todo. Agora é realidade. O framework está formalizado, as auditorias estão acontecendo e a fiscalização por contrato já começou, via Regra do Programa CMMC do DoD (32 CFR Part 170).
E aqui está o ponto que muitos provedores de serviços gerenciados (MSPs) deixam passar: o CMMC não vai mudar a forma como a maioria dos MSPs entrega serviços para toda a base de clientes. Na maior parte dos casos, ele se aplica apenas a um pequeno grupo de clientes.
Mas, para quem atende mercados como o de manufatura, o CMMC é uma oportunidade de alto valor e alto risco: dá para oferecer serviços mais difíceis de substituir do que qualquer coisa que você já tenha vendido.
O risco para os MSPs é concreto
Se o seu cliente está sujeito ao CMMC e você não entende como suas ferramentas, processos e controles de acesso afetam a auditoria dele, você pode virar o motivo da reprovação.
Também dá para acabar preso em horas de conversas não remuneradas sobre CMMC, simplesmente porque o escopo do trabalho nunca foi definido direito.
Em alguns casos, o cliente apenas migra para um MSP que já domina o assunto.
A recompensa é alta, mas o prejuízo é real para quem tenta improvisar.
Pare de chamar de “CMMC 2.0”
Parece implicância, mas faz diferença. “CMMC 2.0” era o nome do rascunho. O que existe hoje é simplesmente CMMC. Se você entra numa conversa com o cliente falando em “2.0”, qualquer pessoa que entenda do assunto vai duvidar que você entenda. Precisão gera credibilidade, e credibilidade é tudo em trabalho de conformidade.
O CMMC é uma regulação de cadeia de suprimentos, não um padrão de cibersegurança
Sim, os controles de cibersegurança são uma parte enorme do CMMC. Mas os MSPs se complicam quando tratam isso como um padrão de cibersegurança isolado. Basta ligar todas as ferramentas de segurança para o cliente ficar automaticamente em conformidade? Não funciona assim.
O CMMC é uma exigência de cadeia de suprimentos cobrada por contrato. Quando uma organização é reprovada, ela não leva multa como num modelo de fiscalização no estilo HIPAA. Ela perde a elegibilidade para ganhar receita. Isso cria uma urgência e um foco que poucos padrões de conformidade conseguiram criar.
Para os MSPs, isso significa que duas coisas podem ser verdade ao mesmo tempo:
- Você pode ser o herói que permite ao cliente manter (ou ganhar) contratos lucrativos.
- Ou pode ser o motivo da reprovação dele — e esse é o tipo de falha que cliente nenhum esquece.
A oportunidade existe, mas o mercado endereçável é menor do que se imagina
Pouquíssimos MSPs vão transformar todo o negócio em “uma operação de CMMC”. A maioria terá uma pequena porcentagem de clientes nesse universo.
Onde esses clientes costumam estar? Manufatura. Metalurgia. Oficinas de usinagem. Empresas que apoiam cadeias de suprimentos de defesa, mesmo que indiretamente. Se você atende esse tipo de organização, há uma boa chance de já ter ao menos um cliente obrigado a seguir o CMMC por causa de para quem ele vende lá na frente.
Um jeito simples de identificar isso é fazer perguntas melhores:
- Quem são os seus clientes na cadeia acima: algum deles é prime (ou seja, uma grande empreiteira de defesa)?
- Por exemplo: Lockheed Martin, Boeing, General Dynamics, General Dynamics Electric Boat, Navistar, Northrop Grumman, Oshkosh Defense.
- Você tem visto menções a CMMC ou NIST SP 800-171 nos contratos?
- Você lida com dados sujeitos a controle de exportação, como o International Traffic in Arms Regulations (ITAR)?
Se a resposta for sim, seu cliente quase certamente já viu cláusulas de CMMC nos contratos dele. Talvez só não saiba o que fazer com isso ainda — e é aí que você entra.
O maior risco do MSP é estar no escopo mesmo sem buscar certificação
Uma das suposições mais perigosas que vejo é o MSP pensar: “não preciso ser certificado, então o problema não é meu”.
Na prática, os serviços e as ferramentas do MSP costumam entrar no escopo da auditoria do cliente. Ou seja, um avaliador pode esmiuçar a postura de segurança e as ferramentas do MSP, porque elas afetam diretamente a capacidade do cliente de atender aos requisitos.
Isso abre espaço para o pior cenário possível: o cliente é reprovado e acredita que foi por sua culpa. Pode ser por causa das suas ferramentas de suporte remoto, dos seus módulos de criptografia, dos seus processos ou da forma como o acesso é gerenciado, que não seguem os requisitos do CMMC.
Seja honesto sobre o que você faz, o que não faz e o que precisa mudar.
A parte mais difícil não é técnica — é todo o resto
A maioria dos MSPs dá conta da parte técnica. A dificuldade costuma estar no lado menos tangível da conformidade: políticas, procedimentos, questões operacionais e de gerenciamento de mudanças e até requisitos de segurança física que não têm nada a ver com TI.
Dá para implantar ótimas ferramentas de endpoints e ainda assim ser reprovado se a instalação não controla acesso, não registra visitantes, não segmenta fluxos sensíveis ou não consegue comprovar o processo. Por isso recomendo com força que os MSPs construam parcerias: vCISOs, consultores de conformidade e especialistas que vivem no mundo de políticas e procedimentos.
E mais uma lição aprendida na prática: se você traz terceiros, não esconda. O white label pode sair pela culatra se o cliente sentir que você finge ter toda a expertise internamente. Transparência gera confiança, e é a confiança que carrega você até o fim de uma auditoria.
Alto risco. Alta recompensa. Relação para a vida toda.
Quem faz o trabalho de CMMC bem feito deixa de ser o fornecedor de TI e passa a fazer parte do motor de receita do cliente. Você ajuda a manter a elegibilidade dele para contratos que sustentam o negócio.
Esse tipo de parceria gruda. É difícil de substituir, porque trocar de fornecedor introduz risco — e, nesse universo, risco significa negócio perdido.
Então entre de olhos bem abertos. Não abrace mais do que consegue sustentar. Seja honesto sobre o que domina e sobre onde precisa de parceiros. Porque, se acertar, você constrói uma relação quase inquebrável.
Baixe o Guia NinjaOne sobre CMMC e veja orientações práticas para se preparar para a certificação e manter a conformidade no dia a dia.
