Certificación CMMC: Claves esenciales para contratistas de defensa

A medida que la Certificación del Modelo de Madurez en Ciberseguridad (CMMC) se acerca a su implementación completa, las organizaciones afectadas se apresuran a asegurar que superarán el proceso de certificación.

El objetivo es simple

Las organizaciones deben cumplir con estándares mínimos de ciberseguridad y, al hacerlo, contribuyen a mejorar la seguridad nacional. Las apuestas son extraordinariamente altas para las aproximadamente 300,000 organizaciones de la base industrial de defensa (DIB) que pronto necesitarán certificarse en uno de los cinco niveles CMMC para ser elegibles para la adjudicación de contratos federales. En términos simples: sin certificación, no hay contrato. Desde la perspectiva del Gobierno de EE. UU. y el Departamento de Defensa, las apuestas siempre han sido altas, ya que la DIB desempeña un papel crítico en la defensa de la nación. La única forma de garantizar la protección de nuestros datos y la integridad de la cadena de suministro es exigir a la industria un estándar más alto.

¿Cómo llegamos aquí?

La actividad adversaria de actores estatales y no estatales continúa aumentando, y los costos económicos son asombrosos: 5 billones de dólares a nivel mundial, según algunas estimaciones. Otras estimaciones muestran que el costo para la economía de EE. UU. estuvo entre 57.000 y 109.000 millones de dólares en 2016. Sin embargo, la necesidad de CMMC no se trata solo de intereses económicos, sino de defendernos colectivamente. Empresas grandes y pequeñas contribuyen al éxito del combatiente estadounidense y todas serán responsables al mismo nivel con CMMC.

En el ámbito federal, basta una mirada rápida a cierto avión de combate para conectar los puntos sobre la importancia de asegurar las organizaciones que finalmente aseguran y defienden nuestro país. En el ámbito comercial, la brecha de Target mostró cómo los socios comerciales pueden ser el eslabón débil que finalmente facilita un ataque. Al exigir más responsabilidad a la DIB, ayudamos a cumplir no solo un nuevo requisito empresarial, sino un imperativo estratégico para ser más resilientes ante los ataques. Los tiempos han cambiado y también cómo conducimos los negocios. Queramos o no, operamos en el campo de batalla moderno donde palabras como "guerra", "espionaje" y "crimen" van precedidas de "ciber", lo que significa que entidades privadas y públicas deben estar preparadas con una respuesta moderna.

¿Qué es CMMC?

CMMC tiene cinco niveles de controles técnicos y procedimentales que buscan proteger la Información No Clasificada Controlada (CUI) y la Información de Contratos Federales (FCI) para contratistas del DoD. Para alcanzar el nivel 5 de CMMC, las organizaciones deberán implementar y evaluar 171 controles técnicos y procedimentales. La mayoría de los profesionales de ciberseguridad en el ámbito federal encontrarán que la mayor parte de los controles CMMC les resultan familiares. De hecho, para alcanzar el nivel 3 de CMMC, casi todos los controles se encuentran en NIST SP 800-171. Las organizaciones que pronto requerirán certificación bajo CMMC ya han sido mandatadas para cumplir los controles descritos en NIST SP 800-171 desde 2016. La diferencia clave es que las organizaciones ya no pueden auto-certificarse y presentar un Plan de Acciones e Hitos para abordar deficiencias. Las organizaciones que buscan certificación deben ser evaluadas formalmente por una Organización Evaluadora Externa de CMMC (C3PAO) o un evaluador certificado por el Cuerpo de Acreditación CMMC, una organización sin fines de lucro encargada de certificar la preparación de los evaluadores. Aunque no se han dado fechas para el inicio de las evaluaciones, el entrenamiento ha comenzado recientemente para el primer grupo de evaluadores CMMC.

¿Qué hacer ahora?

La preparación para CMMC es un ejercicio de implementación de los fundamentos de la ciberseguridad y la mejora continua para lograr una mayor resiliencia. Los niveles CMMC son acumulativos y escalonados, de modo que un nivel construye sobre el anterior; para alcanzar el nivel 4, debe ser totalmente compatible con el nivel 3. Cada nivel se correlaciona con la sofisticación de sus prácticas de seguridad, comenzando con higiene básica y elevándose a medidas más avanzadas y proactivas como la caza de amenazas en el Nivel 5. Con 171 controles de complejidad creciente, ¿por dónde empezar?

• Eduque a sí mismo: Comprenda los controles técnicos y políticas descritos por CMMC.
  • Aquí está la Versión 1 de CMMC.
  • Aquí están las Preguntas Frecuentes de CMMC.
• Determine qué nivel es el adecuado para usted: Las organizaciones deberán decidir qué nivel de certificación buscan. Las organizaciones que solo almacenan FCI pueden conformarse con el Nivel 1 de CMMC, y las que almacenan y manejan CUI o contribuyen a esfuerzos más sensibles probablemente querrán certificarse en el Nivel 3 o superior. El DoD indicará el requisito de nivel CMMC en la solicitud de propuestas.
• Conózcase a sí mismo: Comprenda y documente su entorno, desde su red interna hasta sus socios comerciales. A menudo se dice que "no se puede defender lo que no se conoce", y es cierto. Debe entender su segmentación, sistemas y superficie de ataque antes de poder esperar defenderla.
• Autoevalúese: Determine cómo se compara con los controles para el nivel de certificación que su organización busca. Identifique controles que no se cumplen actualmente, planifique cómo resolver los problemas y reevalúe. Para flexibilidad futura, identifique qué se necesitaría para que su organización alcance el siguiente nivel.
• Compromiso organizacional: Solo somos tan fuertes como nuestro eslabón más débil; entienda que CMMC está diseñado para ayudar a mitigar los riesgos de hacer negocios en el sector de defensa. Algunos controles serán simples o ya se están haciendo, y otros pueden requerir apoyo de varias partes de su organización. Podría necesitar aprobaciones, mayor presupuesto o patrocinio ejecutivo. Algunos controles pueden resultar un gran desafío desde una perspectiva técnica. Toda la organización deberá comprometerse, ser pragmática y hacer su parte para apoyar y proteger la misión.
• Sea flexible: CMMC es nuevo y crea puentes entre las grandes entidades complejas con el DoD y la DIB. Son organizaciones enormes, aún hay incógnitas con CMMC, y lo que se sabía hace un mes puede cambiar. Así que sea flexible, sea paciente, y sepa que todos necesitamos hacerlo mejor para proteger lo que valoramos.

Ya sea que necesite certificarse en el Nivel 1 o 5 de CMMC, o quizás su organización ni siquiera haga negocios con el DoD, los estándares establecidos por CMMC son una hoja de ruta para que cualquier organización madure su postura de ciberseguridad. Independientemente de su punto de partida, lograr el cumplimiento CMMC supondrá un reto para organizaciones pequeñas y grandes por igual, pero el resultado es la mejora que desesperadamente necesitamos. Asegurar nuestros datos y propiedad intelectual es tanto lógico como absolutamente necesario para mantener una ventaja tecnológica sobre nuestros adversarios. La evaluación continua y la mejora en la práctica de los fundamentos de ciberseguridad son primordiales para alcanzar un nivel de resiliencia digital que nos permita combatir las amenazas modernas.

Wayne Lloyd es director de tecnología federal en RedSeal.