Las 6 Preguntas Clave Sobre el CMMC: Guía para Fabricantes

Lo Que los Fabricantes Necesitan Saber

La ciberseguridad no es un tema nuevo en manufactura. El momento en que equipos conectados, software innovador y sistemas de robótica avanzada comenzaron a llegar a la planta de producción, la ciberseguridad fue parte de la conversación. La ciberseguridad hizo titulares junto a artículos de Industria 4.0, pero el ruido de nuevas tecnologías llamativas dominó la conversación.

Los fabricantes tienden a dejar la ciberseguridad en un segundo plano. Esto ya no va a ser una opción para muchos. La industria manufacturera consistentemente se ha clasificado en el top 5 de industrias más vulnerables y atacadas por ciberataques. Los sectores de Salud, Servicios Financieros y Agencias Gubernamentales han sido sujetos a un estándar más alto en cumplimiento de seguridad y gestión de riesgos. La industria manufacturera no ha sido sujetada aún a un estándar más alto y por tanto es aún más vulnerable al cibercrimen.

La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) se cierne sobre la industria y a continuación están las 6 preguntas críticas que los fabricantes necesitan hacerse.

¿Qué es el CMMC?

CMMC significa Cybersecurity Maturity Model Certification. Esta certificación toma un enfoque único para asegurar que la propiedad intelectual crítica se mantenga segura. Al principio, CMMC solo será requerido para fabricantes y proveedores que manejen Información No Clasificada Controlada (CUI) para el Departamento de Defensa (DoD).

La Certificación del Modelo de Madurez de Ciberseguridad (CMMC) es el método para certificar que los niveles apropiados de procesos y protecciones de ciberseguridad están en vigor para los aproximadamente 300.000 contratistas y subcontratistas en la cadena de suministro del DoD. El proceso CMMC ahora requerirá una Organización de Evaluación de Terceros CMMC (C3PAO) para certificar que las empresas son conformes y que la CUI está segura.

Hay 5 niveles de madurez parte del CMMC que van desde "Higiene Básica de Ciberseguridad" hasta "Avanzado/Progresivo". A medida que el nivel de madurez aumenta, también lo hacen las reglas y directrices que una empresa debe seguir para certificarse y permanecer conforme.

¿Por Qué se Está Creando el CMMC?

El Departamento de Defensa reconoció los ciberataques como una amenaza significativa, especialmente para subcontratistas pequeños y medianos que apoyan a los grandes contratistas principales. Los malos actores reconocieron que los principales estaban gastando más recursos para prevenir ataques y que su cadena de suministro era un objetivo más fácil. Los requisitos de ciberseguridad de la Publicación Especial (SP) 800-171 del Instituto Nacional de Estándares y Tecnología (NIST) fueron desarrollados para proteger información sensible para contratistas trabajando con el Departamento de Defensa (DoD) para adherirse a la cláusula 252.204-7012 del Suplemento del Reglamento Federal de Adquisición de Defensa (DFARS). Cuando el DoD estimó que solo un pequeño porcentaje de la cadena de suministro se conformaba a estas directrices, se creó la Certificación del Modelo de Madurez de Ciberseguridad (CMMC).

Los ciberataques son una ocurrencia diaria, lamentablemente. "Con más del 80 por ciento de la información de defensa nacional viviendo en redes de socios, ya no es una conversación de lo que tú haces o lo que yo hago; es más importante lo que hacemos colectivamente para proteger la defensa nacional", dijo Katie Arrington, asistente especial del Secretario Adjunto de Defensa para Adquisición para Ciber, y una de las principales impulsoras detrás del CMMC.

En diciembre de 2018, hackers chinos supuestamente robaron información de contratistas de la Armada que incluía datos de mantenimiento de barcos y planes de misiles. Estas acciones son una amenaza directa a la seguridad nacional. Incluso si un gran proveedor del DoD como Lockheed Martin tiene un programa de ciberseguridad de primer nivel, cada subcontratista y proveedor en la cadena de suministro del DoD debe protegerse también o se convertirán en punto de entrada para cibercriminales. Un solo eslabón débil en la cadena de suministro del DoD puede poner en riesgo al país entero.

¿Necesita Mi Empresa el CMMC?

Cada empresa debería invertir en fortalecer su ciberseguridad. Según la Encuesta Radware, el coste estimado por ciberataque es $4,6 millones. El 13% de participantes experimentaron un ciberataque que costó a su empresa $10 millones o más, una cifra que se duplicó en solo un año entre 2018 y 2019. Los expertos en ciberseguridad del New Jersey Manufacturing Extension Program (NJMEP) sugieren que cada fabricante se beneficiaría de lograr el equivalente a "Higiene Cibernética Intermedia", o Nivel 2 del CMMC como mejor práctica. Para contratistas del DoD, el nivel de madurez dependerá de dónde en la cadena de suministro del DoD caiga una empresa.

Identificar cuál de los cinco niveles de madurez CMMC debe cumplir un proveedor, subcontratista o fabricante del DoD será determinado por el contratista principal del DoD o puede descubrirse mediante un análisis de brechas CMMC. Todos los proveedores, subcontratistas o fabricantes que hagan cualquier trabajo, por mínimo que sea, con el DoD necesitarán algún nivel del CMMC pero el nivel de madurez diferirá dependiendo de la información que maneje el negocio y el trabajo realizado.

Si una empresa de la Base Industrial de Defensa (DIB) no posee Información No Clasificada Controlada (CUI) pero posee Información de Contrato Federal (FCI), se requiere cumplir la Cláusula FAR 52.204-21 y debe certificarse en un mínimo de CMMC Nivel 1.

¿Cuándo Debo Iniciar el Proceso de Certificación?

Ahora. Proveedores, subcontratistas y fabricantes del DoD deberían comenzar el proceso de convertirse en CMMC lo antes posible para evitar el riesgo de perder contratos críticos del DoD. De inicio a fin, el proceso podría tomar más de un año. En junio de 2020, CMMC empezó a aparecer en RFIs. Las empresas pueden esperar que las RFPs mencionen CMMC a partir de septiembre de 2020 y las Evaluaciones comenzarán en el otoño de 2020.

Actuar ahora y trabajar con un consultor íntimamente familiarizado con el CMMC y el marco del cual se originó, NIST 800-171, será vital. La certificación comienza con una evaluación para identificar en qué nivel de madurez CMMC reside actualmente una organización. El siguiente paso sería realizar un análisis de brechas en profundidad y luego pasar a remediación completa. Cada nivel de madurez CMMC toma una cantidad diferente de tiempo y esfuerzo. Sin embargo, empezar lo antes posible reducirá la carga en la empresa, liderazgo y fuerza laboral.

¿Qué Pasa Si No Me Certifico?

Para contratistas, subcontratistas, proveedores o fabricantes del DoD…

Lograr el nivel de madurez CMMC necesario podría significar la diferencia entre asegurar el próximo contrato del DoD o no. Los contratistas principales del DoD comenzarán a requerir que todos los subcontratistas cumplan estas nuevas reglas críticas. Cualquier fabricante que no se adhiera a estas directrices y logre el nivel de madurez CMMC adecuado no podrá continuar haciendo negocios con el DoD.

Para Fabricantes No-DoD…

Hasta ahora, los contratistas del DoD son los únicos en riesgo de perder trabajo del DoD si no adquieren el CMMC. Sin embargo, fabricantes pequeños y medianos siempre están en riesgo de un ciberataque que paralice completamente su negocio, a veces hasta el punto de no poder recuperarse financieramente. Esta certificación proporciona a fabricantes no-DoD una fantástica línea base de ciberseguridad y mejores prácticas. Dependiendo de los resultados de una evaluación de ciberseguridad, un negocio puede determinar qué nivel de madurez funcionaría mejor para ellos.

¿Quién Puede Responder Todas Mis Otras Preguntas Sobre el CMMC?

Adquirir el CMMC puede ser un reto, especialmente sin el apoyo adecuado. La certificación aún está en su infancia lo que crea un entorno difícil para que los fabricantes naveguen solos. Explorar webs como acq.osd.mil/cmmc/faq.html o trabajar junto a consultores como NJMEP son las mejores formas de empezar y ayudarán a convertir un proceso desalentador en un valor añadido simplificado para cualquier negocio.

Entender el CMMC, qué negocios serán impactados, cuándo actuar e identificar el nivel de madurez necesario puede ser intimidante. No lo hagas solo. La ciberseguridad es esencial pero puede ser compleja. Trabajar con el equipo correcto y tener acceso a la información correcta será invaluable.

Ten Cuidado

Ha habido tantas preguntas alrededor de este tema y tantos desarrollos mientras se ha ido desplegando. Al principio, había muchas empresas afirmando poder ayudar y cobrando una cantidad significativa, incluso cuando la versión final de las directrices ni siquiera se había decidido o comunicado. Hay incontables empresas vendiendo soluciones o servicios para ayudar y puede ser difícil determinar en quién confiar. Esto no es algo que simplemente se pueda externalizar a un Proveedor de Servicios Gestionados (MSP) que afirme estar familiarizado con los requisitos.

1. https://www.radware.com/newsevents/pressreleases/c-suite-2019