Pontos principais
- Verifique se o MSP está dentro do escopo da avaliação como provedor de serviços externo que lida com CUI.
- Mapeie cada serviço gerenciado para os 110 controles do NIST SP 800-171, defina uma matriz de responsabilidade compartilhada com o cliente e registre as lacunas de conformidade em um POA&M.
- Mantenha um Plano de Segurança do Sistema completo e relatórios de conformidade estruturados, vinculados a controles específicos do NIST, para entregar aos avaliadores a documentação de que precisam.
- Acompanhe em tempo real desvios de configuração, lacunas de patches e mudanças de privilégio para comprovar que os controles estão em vigor, e não apenas implementados.
- Prepare a equipe do cliente para as entrevistas com os avaliadores e apresente evidências de auditoria sob demanda dentro de 180 dias para converter o status Condicional em certificação CMMC Nível 2 Final.
A Cybersecurity Maturity Model Certification (CMMC) 2.0 é uma estrutura federal que verifica a segurança cibernética de prestadores de serviços de defesa que lidam com informações controladas não classificadas (CUI). E, nessas verificações, o suporte do MSP às auditorias CMMC fica bem mais prático.
Simplifique as auditorias federais dos clientes desde já, com mais visibilidade. Este guia de CMMC Nível 2 traz uma lista de verificação estratégica para conquistar a certificação e reduzir riscos.
O que os MSPs precisam fazer durante as auditorias CMMC Nível 2
Defina o escopo do MSP dentro do limite da auditoria
Antes de tudo, verifique se o seu MSP está no escopo da auditoria de Nível 2. Segundo o Departamento de Defesa dos EUA, qualquer provedor de serviços externo (ESP) que afete a confidencialidade de informações controladas não classificadas responde ao mesmo padrão de conformidade do contratante principal.
As CUI incluem:
- informações de identificação pessoal (PII)
- informações comerciais proprietárias (CBI)
- dados técnicos sujeitos a controle de exportação (ITAR/EAR)
- dados de segurança de infraestrutura crítica
Se sua equipe gerencia servidores de e-mail, armazenamento na nuvem e ferramentas de endpoint que envolvem CUI, esses serviços entram no suporte do MSP às auditorias CMMC. Por isso, antes de a avaliação começar, crie com o cliente uma matriz de responsabilidade compartilhada para deixar claro o que cabe ao MSP, o que cabe ao cliente e o que é compartilhado.
💡 Importante: MSPs que processam, transferem e armazenam CUI precisam obter a própria certificação CMMC Nível 2 ou Nível 3. MSPs que não lidam com CUI estão isentos disso.
Alinhe os serviços do MSP aos requisitos do CMMC Nível 2
O CMMC Nível 2 implementa todas as 110 práticas do NIST SP 800-171 para proteger CUI. Se o seu MSP estiver no escopo da auditoria, será preciso alinhar os controles de segurança aos requisitos específicos do NIST. Alguns exemplos:
- gerenciamento de acesso privilegiado
- revisões periódicas de acesso
- separação rigorosa entre tenants
- registro abrangente de incidentes relacionados a CUI
- aplicação de configurações de segurança
Faça um mapeamento de controles para serviços que identifique cada ferramenta ou processo do MSP responsável por atender aos domínios do NIST 800-171. Se houver lacunas, registre-as antes do início da avaliação, não durante.
Monte e mantenha uma documentação pronta para auditoria
Conforme os ambientes digitais evoluem, estar pronto para auditoria vira pré-requisito. Em relatório recente da Greenberg Traurig LLP., avaliadores terceirizados estimam que 25% dos candidatos à certificação foram reprovados ainda na pré-avaliação, a maioria por documentação incompleta ou desalinhada.
Para estar pronto para a auditoria:
- Mantenha um Plano de Segurança do Sistema (SSP) vivo, com configurações de referência, endpoints, mudanças de pessoal e outros itens.
- Acompanhe as lacunas em aberto com um Plano de Ação e Marcos (POA&M).
- Alcance o limite de 80% na pontuação do Supplier Performance Risk System (SPRS).
Estruture os relatórios de conformidade do MSP
Avaliadores sempre priorizam evidências em vez de garantias verbais. Além de atender aos padrões do CMMC, o MSP precisa apresentar provas estruturadas e repetíveis de que esses controles foram aplicados de forma consistente ao longo do tempo.
Isso pode abranger relatórios de patches e vulnerabilidades, conformidade de configuração, atividade de privilégios e logs de incidentes — tudo o que comprova um gerenciamento de TI competente antes e durante a auditoria CMMC Nível 2.
Padronize os modelos de relatório entre os clientes com CUI e indique em cada relatório os controles específicos do NIST 800-171 (por exemplo, um relatório de patches corresponde diretamente ao controle 3.14.1) para evitar idas e vindas. Isso simplifica a auditoria tanto para você quanto para o avaliador.
🥷🏻| Alcance 100% dos requisitos do Nível 2 com relatórios automatizados.
Veja como NinjaOne ajuda a alcançar a prontidão para o CMMC.
Mantenha o monitoramento contínuo de conformidade
O suporte do MSP às auditorias CMMC deve comprovar um compromisso permanente com a segurança por meio de ferramentas de monitoramento, alertas em tempo real e remediações programadas. Práticas documentadas e ensaiadas são essenciais. Ferramentas de gerenciamento voltadas ao monitoramento contínuo ajudam a manter essa consistência.
Crie um painel de conformidade contínua para cada ambiente de cliente e acompanhe em tempo real o status dos controles de segurança mais importantes. No mínimo, ele deve sinalizar desvios de configuração, falhas de autenticação, lacunas de conformidade de patches e mudanças de privilégio de usuários, dando ao MSP uma visão ao vivo da postura de conformidade.
Reúna e apresente as evidências de auditoria
Na auditoria formal, os avaliadores fazem entrevistas, analisam artefatos de segurança e realizam validações técnicas para determinar o status dos controles. Depois de reunidos, logs, arquivos de configuração, registros de treinamento e demais documentos vão para análise de uma Organização de Avaliação Terceirizada do CMMC (C3PAO).
Sua documentação precisa comprovar três coisas: que os controles estão implementados, operacionais e aplicados de forma consistente. A equipe da C3PAO verifica cada um dos 110 controles do NIST para identificar quais foram atendidos. Se o cliente atingir pelo menos 88 de 110, conquista o status CMMC Condicional.
Antes da avaliação, monte uma biblioteca de evidências organizada por família de controles do NIST 800-171 para facilitar o atendimento aos requisitos. Para cada controle, anexe:
- uma saída ou captura de tela comprovando a implementação
- um log mostrando que o controle está ativo
- uma referência ao documento de política que o rege
Apoie os clientes em todas as etapas da auditoria
Os MSPs têm papel decisivo em ajudar os clientes a cumprir os requisitos do CMMC. Análise de lacunas, remediação, documentação, coleta de evidências, elaboração do SSP e monitoramento contínuo são indispensáveis para manter controles eficazes entre uma avaliação e outra.
O suporte do MSP às auditorias CMMC também prepara você para as entrevistas com os avaliadores, que podem incluir conversas diretas com prestadores externos. Se o MSP parecer pouco familiarizado com as práticas do CMMC, isso pode pesar contra o cliente.
Depois da avaliação, o MSP também deve apoiar os clientes durante o período de carência de 180 dias para fechar as lacunas da infraestrutura atual, viabilizando a passagem do status Condicional para a certificação Final.
Para isso, crie uma lista de verificação de prontidão pré-avaliação para cada cliente, cobrindo:
- SSP e POA&M concluídos
- biblioteca de evidências mapeada para cada família de controles
- equipe orientada para as entrevistas com os avaliadores
- matriz de responsabilidade compartilhada confirmada
- plano de resposta a incidentes documentado
O suporte do MSP às auditorias CMMC é direto, não consultivo
Os MSPs assumem um papel mais prático nas auditorias CMMC Nível 2. Antes da próxima avaliação do cliente, garanta que a matriz de responsabilidade compartilhada esteja definida. A partir daí, use ferramentas centralizadas para monitorar e registrar sua postura de conformidade, seguindo o NIST SP 800-171 para simplificar o processo.
Temas relacionados:
