Pontos principais
- O CMMC é uma exigência obrigatória que os contratados da Base Industrial de Defesa (DIB) precisam cumprir antes de fechar um contrato com o DoD.
- A conformidade com o CMMC é um compromisso contínuo: os contratados precisam aplicar e validar constantemente os controles de segurança aplicáveis para continuar elegíveis aos contratos do DoD.
- Serviços de TI em conformidade com o CMMC devem incorporar o alinhamento regulatório, cobrindo aplicação de controles de segurança, monitoramento contínuo, manutenção da documentação e prontidão para auditorias.
- Os MSPs precisam mapear todas as funções de serviço para cada requisito de conformidade do CMMC, garantindo controles aplicados de forma consistente e prontos para auditoria.
- Monitoramento contínuo, relatórios de conformidade e automação são essenciais para manter a conformidade entre as avaliações e reduzir apontamentos de auditoria.
As grandes empresas costumam ter recursos de sobra para cumprir a conformidade com o CMMC (Cybersecurity Maturity Model Certification), mas muitas pequenas e médias empresas (PMEs) enfrentam dificuldades com a conformidade. Para dar conta dos requisitos, boa parte delas contrata MSPs para apoiar suas operações de conformidade e segurança.
Os MSPs que oferecem soluções de conformidade como serviço precisam primeiro entender o que é a conformidade com o CMMC, alinhar expectativas claras com os clientes e estruturar sua oferta para sustentar a conformidade de forma contínua.
O que é a conformidade com o CMMC?
A Cybersecurity Maturity Model Certification (CMMC) é um requisito obrigatório de conformidade para contratados da Base Industrial de Defesa (DIB) — uma rede global de organizações públicas e privadas que dá suporte ao Departamento de Defesa dos EUA (DoD).
O CMMC usa uma estrutura de três níveis, e cada nível acrescenta requisitos aos anteriores. Além disso, cada nível indica o quanto as práticas de cibersegurança do contratado precisam ser robustas, conforme o tipo de informação federal que ele manipula.
| Nível do CMMC | Nome | A quem se aplica | Requisitos |
| Nível 1 | Fundamental | Contratados que trabalham com Informações de Contrato Federal (FCI) | Exige estratégias básicas de cibersegurança definidas no FAR 52.204-21 para proteger as FCI. |
| Nível 2 | Avançado | Contratados e subcontratados que lidam com Informações Controladas Não Classificadas (CUI). | Os contratados precisam se alinhar aos 110 controles de segurança descritos na NIST SP 800-171. |
| Nível 3 | Especialista | Voltado a contratados que lidam com CUI críticas para a missão e são alvos frequentes de ameaças persistentes avançadas (APTs). | Este nível foca no alinhamento com estratégias proativas de defesa cibernética, incluindo controles adicionais baseados na NIST SP 800-172. |
Antes de fechar um contrato com o Departamento de Defesa dos EUA (DoD), a organização precisa implementar, operar e manter os controles de segurança exigidos no nível de CMMC aplicável.
O que são serviços de TI em conformidade com o CMMC
Serviços de TI em conformidade com o CMMC integram os controles de segurança e conformidade exigidos às operações diárias de TI. Esses serviços sustentam a conformidade contínua, ajudando os contratados a manter documentação, monitoramento e atividades de preparação para auditoria ao longo do tempo.
Aplicação dos controles de segurança exigidos pelo CMMC
A conformidade com o CMMC é ajustada a cada camada da infraestrutura de TI do contratado, junto com os controles de segurança exigidos no seu nível de CMMC. Contratados de Nível 2, por exemplo, precisam implantar e configurar controles nos 14 domínios da NIST SP 800-171, incluindo controle de acesso, resposta a incidentes e gerenciamento de configuração.
Do ponto de vista do MSP, os requisitos aplicáveis devem virar configurações técnicas nos sistemas, redes e endpoints dos clientes.
Monitoramento contínuo de sistemas e da conformidade dos endpoints
O monitoramento contínuo dá visibilidade em tempo real sobre o status dos sistemas e dos endpoints. Esses recursos ajudam a detectar anomalias e identificar desvios de configuração, permitindo que os MSPs ofereçam suporte de TI proativo antes que as lacunas de conformidade se agravem.
Essa visibilidade constante mostra ao MSP como o ambiente do cliente se alinha aos controles do CMMC e se a organização continua em conformidade.
Manutenção da documentação e dos artefatos de auditoria
Cada aplicação de controle exigida deve ser documentada e armazenada em um repositório seguro e acessível. Entregar serviços de TI em conformidade inclui criar e manter essa documentação, garantindo evidências precisas e disponíveis para sustentar auditorias.
Apoio à preparação e à validação de auditorias
Contratados de Nível 2 e Nível 3 passam por avaliações do CMMC conduzidas por organizações terceirizadas de avaliação certificadas (C3PAOs). Os MSPs que prestam serviços de gerenciamento de conformidade precisam preparar os clientes para essas avaliações com revisões internas de prontidão e correção de lacunas conhecidas, entre outras ações. Estratégias de validação contínua também mantêm os clientes prontos para auditoria entre os ciclos.
Guia de conformidade com o CMMC: uma visão geral para MSPs
Entregar serviços de TI em conformidade com o CMMC de forma eficaz exige conectar os controles regulatórios exigidos a resultados mensuráveis de conformidade. Para os MSPs que atendem contratados da DIB, as práticas a seguir mostram como essa estratégia funciona na prática.
Alinhe a entrega de serviços aos requisitos de conformidade
Mapear os serviços em conformidade com o CMMC diretamente para os requisitos que eles atendem reforça a defensabilidade e cria uma trilha de auditoria clara.
Um bom alinhamento deve cobrir os seguintes pontos:
- Vincular cada serviço entregue aos controles ou requisitos específicos do CMMC que ele atende.
- Garantir aplicação consistente dos controles exigidos pelo CMMC em todos os sistemas.
- Manter documentação precisa, que reflita a implementação real.
- Validar que os controles de segurança continuam eficazes e bem implementados ao longo do tempo.
Com esse alinhamento, os MSPs entregam um suporte ao CMMC confiável e reduzem as lacunas entre o que prestam e o que os clientes precisam demonstrar nas avaliações.
Ofereça monitoramento contínuo da conformidade
O monitoramento contínuo garante validações frequentes dos controles para flagrar desvios silenciosos de configuração. Para os MSPs que entregam serviços de TI em conformidade com o CMMC, as estratégias de monitoramento devem incluir:
- visibilidade em tempo real das configurações de sistema e do status de segurança em todos os sistemas gerenciados;
- detecção automatizada de desvios em relação às linhas de base de conformidade estabelecidas, para evitar surpresas nos apontamentos de auditoria;
- validação contínua dos controles de segurança, para confirmar que seguem eficazes e em conformidade;
- acompanhamento estruturado das atividades de remediação, criando um registro claro de como os problemas identificados foram resolvidos.
Juntos, esses recursos dão ao MSP e aos clientes a segurança de que o ambiente continua em conformidade entre os ciclos de auditoria.
Entregue relatórios de conformidade estruturados
Documentação e relatórios ajudam a organização a demonstrar alinhamento durante as avaliações. Boas estratégias de relatório devem incluir status de conformidade dos sistemas, métricas de vulnerabilidade, controle de acesso, atividade de privilégios e acompanhamento de incidentes.
Esses relatórios precisam ser padronizados, gerados com regularidade e mantidos em um formato que sirva às auditorias.
Inclua automação na entrega de serviços
A Automação de TI garante aplicação consistente dos controles nos sistemas gerenciados, reduz trabalho manual e acelera a detecção e a resposta a desvios de configuração. Assim, os MSPs entregam serviços em conformidade com o CMMC em escala, sem aumento proporcional de custos operacionais.
Sustente a prontidão e a validação para auditoria
As avaliações do CMMC são rigorosas, e a organização precisa comprovar que atende aos requisitos aplicáveis. Os MSPs podem apoiar esse processo preparando pacotes de documentação, acompanhando os clientes na interação com os avaliadores e ajudando a corrigir lacunas identificadas antes ou durante as avaliações.
Alinhe os serviços às expectativas do cliente
Muitos contratados da DIB contam com MSPs para apoiar seus esforços de conformidade e manter os controles de segurança exigidos. Para atender a essa expectativa, os MSPs devem oferecer serviços que sustentem os requisitos do CMMC com monitoramento contínuo, gerenciamento de documentação e relatórios periódicos de conformidade.
Esses serviços também precisam sustentar o gerenciamento da conformidade no longo prazo, ajudando as organizações a se adaptarem à evolução dos requisitos do CMMC e às mudanças no negócio.
Integre a conformidade com o CMMC ao gerenciamento de TI do dia a dia
O alinhamento ao CMMC exige aplicação e validação consistentes para preservar a elegibilidade do cliente aos contratos do DoD. Quando os MSPs incorporam os controles de conformidade à própria estratégia de gerenciamento de TI, dão aos clientes a base necessária para manter a conformidade ao longo do tempo.
NinjaOne ajuda os MSPs a atender até 90% dos requisitos técnicos do CMMC Nível 2 com uma plataforma completa e autorizada pelo FedRAMP. A plataforma oferece gerenciamento de endpoints centralizado, aplicação de patches, automação, visibilidade e relatórios que sustentam as operações de segurança e conformidade ligadas ao CMMC.
Temas relacionados:
