Certificación del Modelo de Madurez de Ciberseguridad (CMMC) Versión 2: Consideraciones sobre la gestión de riesgos de terceros

En noviembre de 2021, la Oficina del Subsecretario de Defensa para Adquisiciones y Sostenimiento del Departamento de Defensa de los Estados Unidos (DoD) publicó la versión 2.0 de la Certificación del Modelo de Madurez de Ciberseguridad (CMMC), un marco integral diseñado para proteger la base industrial de defensa de ciberataques cada vez más frecuentes y complejos. La versión 2.0 simplifica el modelo racionalizando los niveles de certificación de cinco (5) a tres (3), eliminando capas de madurez propias y ajustando las responsabilidades de evaluación. Este artículo resume las novedades de la versión 2.0 y explica cómo Prevalent puede ayudar a simplificar el proceso de evaluación del CMMC.

¿Qué es el CMMC?

CMMC es una certificación del gobierno federal de EE.UU. en materia de ciberseguridad y mejores prácticas de gestión de la información no clasificada controlada (CUI, por sus siglas en inglés), y dicha certificación determina en última instancia si el DoD puede adjudicar un contrato a una empresa. CMMC tiene como objetivo garantizar que toda nuestra cadena de suministro de defensa nacional (DIBS - proveedores de la base industrial de defensa) sea segura y resistente.

¿Cuáles son los niveles de certificación CMMC?

Todos los proveedores del Departamento de Defensa deberán estar certificados en uno de los tres niveles, desde el nivel 1 (Básico) hasta el nivel 3 (Experto). Esto supone un cambio con respecto a la versión 1.0, que ofrecía cinco niveles de certificación. Los niveles de certificación de la versión 2.0 se derivan de los requisitos básicos de salvaguarda de la Información Contractual Federal (FCI) especificados en la cláusula 52.204-21 del Reglamento Federal de Adquisiciones (FAR) y los requisitos de seguridad para la información no clasificada controlada (CUI) especificados en la Publicación Especial (SP) 800-171 Rev 2 del Instituto Nacional de Estándares y Tecnología (NIST ) según la cláusula 252.204-7012 del Suplemento al Reglamento Federal de Adquisiciones de Defensa (DFARS) y los controles adicionales de la SP 800-172 del NIST Requisitos de seguridad mejorados para proteger la información no clasificada controlada: Suplemento de la publicación especial 800-171 del NIST.

• Nivel 1 - Autoevaluación realizada por el proveedor respecto a 17 controles. Este nivel de certificación se considera básico y para proveedores que gestionan ILC que no son críticas para la seguridad nacional. Este nivel de certificación no ha cambiado desde la versión 1.0, anunciada originalmente en enero de 2020.
• Nivel 2 - Un nivel más avanzado de certificación realizado por auditores externos (conocidos como C3PAO, u organizaciones de auditoría externas certificadas) respecto a 110 controles adicionales de la norma NIST SP 800-171. Este nivel se considera para las empresas que tienen información no clasificada controlada (CUI). En algunos casos, las organizaciones pueden realizar una autoevaluación a este nivel.
• Nivel 3 - Considerado un nivel experto para los proveedores del Departamento de Defensa de mayor prioridad, este nivel se basa en el Nivel 2 añadiendo un subconjunto de controles NIST SP 800-172 en la parte superior. El gobierno federal realizará las auditorías de las empresas de este nivel.

Requisitos detallados del CMMC

Consulte la tabla siguiente para ver un resumen de los requisitos CMMC por nivel, organizados por Controles de seguridad relevantes NIST SP 800-171r2, que se incluyen como cuestionarios integrados en la Plataforma Prevalent. La información sobre el nivel 3 será publicada por el DoD de EE.UU. en una fecha posterior y contendrá un subconjunto de los requisitos de seguridad especificados en NIST SP 800-172.

La plataforma de gestión de riesgos de terceros de Prevalent cuenta con cuestionarios integrados para los niveles 1 y 2, que permiten a los proveedores evaluarse a sí mismos y a los auditores evaluar a sus clientes con respecto a cada nivel. Cuando se publiquen los requisitos de certificación de nivel 3, Prevalent añadirá el cuestionario correspondiente a la plataforma.

Los C3PAO pueden:

• Invitar a los clientes a la plataforma Prevalent para completar su evaluación de control estandarizada de nivel 2 en un inquilino seguro y fácil de usar.
• Automatice los recordatorios de seguimiento a proveedores o clientes para reducir el tiempo necesario para completar las evaluaciones.
• Centralizar los justificantes presentados como prueba de la presencia de controles
• Ver un registro único de los riesgos planteados en función de cómo responda el cliente o proveedor a las preguntas
• Emitir recomendaciones para remediar los controles fallidos
• Entregar informes personalizados sobre el nivel actual de cumplimiento, demostrando el impacto en la reducción de riesgos de la aplicación de futuros controles.

Cualquier proveedor del DoD puede realizar una autoevaluación de nivel 1 o 2 para:

• Evaluarse a sí mismos con respecto a los 17 controles necesarios para medir el cumplimiento del Nivel 1.
• Evaluarse a sí mismos con respecto a los 110 controles necesarios para medir el cumplimiento del Nivel 2.
• Cargar documentación y pruebas que respalden las respuestas a las preguntas
• Obtenga visibilidad del estado actual de cumplimiento
• Aproveche las orientaciones integradas para subsanar las deficiencias
• Elaborar informes para medir el cumplimiento para los auditores

Para obtener más información sobre cómo Prevalent ayuda a proteger la cadena de suministro del Departamento de Defensa, visite nuestra página de cumplimiento CMMC, descargue nuestro libro blanco sobre cumplimiento o solicite una demostración de la plataforma Prevalent hoy mismo.

Nota del editor: Este artículo se publicó originalmente en Prevalent.net. En octubre de 2024, Mitratech adquirió la empresa de gestión de riesgos de terceros basada en IA, Prevalent. El contenido ha sido actualizado desde entonces para incluir información alineada con nuestra oferta de productos, cambios regulatorios y cumplimiento.