Guía de requisitos para el cumplimiento de CMMC 2.0 nivel 2

La Certificación del Modelo de Madurez en Ciberseguridad (CMMC) es un hito incremental pero importante que los contratistas de defensa deben considerar. El CMMC Nivel 2 se centra en una higiene cibernética avanzada, creando una progresión lógica y necesaria para que las organizaciones avancen del Nivel 1 al Nivel 3. Además de la protección de la información sobre contratos federales (FCI), el Nivel 2 incluye la protección de información no clasificada controlada (CUI). En comparación con el Nivel 1, los conjuntos adicionales de prácticas incluidas en el Nivel 2 posicionan a los proveedores del DoD para defenderse mejor contra amenazas cibernéticas más peligrosas.

El CMMC Nivel 2 también introduce el elemento de madurez de procesos en el modelo. En el CMMC Nivel 2, se espera que una organización realice y documente funciones clave de ciberseguridad. Contar con una hoja de ruta detallada para el cumplimiento del CMMC Nivel 2 es fundamental para cualquier proveedor del DoD que intercambie CUI dentro de la cadena de suministro del DoD.

¿Quién necesita cumplir con CMMC Nivel 2?

Los contratistas y subcontratistas que actualmente trabajan o planean trabajar con el Departamento de Defensa deben demostrar cumplimiento. Si estas empresas procesan, gestionan o manipulan información crítica para la seguridad nacional, necesitarán cumplir con el CMMC Nivel 2. Para lograr el cumplimiento, los contratistas deberán someterse a una evaluación exhaustiva de CMMC Nivel 2 realizada por terceros.

Existen 110 controles para el CMMC Nivel 2 que provienen directamente de NIST 800-171. La certificación CMMC Nivel 2 es necesaria para quienes desean licitar contratos del DoD que gestionan lo siguiente:

• Información no clasificada controlada (CUI)
• Información técnica controlada (CTI)
• Datos controlados por ITAR o exportación

Introducción a CMMC 2.0: Evolución y propósito

CMMC 2.0 representa una evolución significativa del estándar de ciberseguridad del Departamento de Defensa para la Base Industrial de Defensa (DIB). Su objetivo principal es proteger información sensible, específicamente la Información sobre Contratos Federales (FCI) y la Información No Clasificada Controlada (CUI), frente a amenazas cibernéticas.

Los cambios clave respecto al marco original incluyen la simplificación del modelo de cinco a tres niveles, la alineación directa de los requisitos con estándares NIST establecidos (principalmente NIST 800-171 para el Nivel 2), y la posibilidad de autoevaluación para ciertos contratos en el Nivel 1 y algunos en el Nivel 2.

Estos cambios se implementaron tras recibir comentarios del DIB para reducir la complejidad y los costos de cumplimiento, facilitando el acceso a pequeñas y medianas empresas, y al mismo tiempo fortaleciendo la postura general de ciberseguridad.

CMMC 2.0 busca crear un enfoque más colaborativo y menos punitivo, enfocándose en la implementación de buenas prácticas de ciberseguridad en lugar de centrarse únicamente en la puntuación de certificación, mejorando así la resiliencia de seguridad de toda la cadena de suministro de defensa.

¿Cómo saber si tienes CUI?

CUI es un término que abarca una amplia variedad de datos sensibles pero no clasificados. Esto puede incluir información personal identificable (PII), información confidencial de negocios, información de salud protegida (PHI), información crítica sobre infraestructura y ciberseguridad, e información protegida (CJIS) relacionada con operaciones de orden público. El propósito del CUI es asegurar que, aunque los datos no sean clasificados y se consideren no clasificados, sigan estando protegidos y deban pasar por un proceso específico para garantizar su manejo seguro y que el acceso solo se otorgue a quienes lo necesitan. El CUI incluye datos que requieren un alto nivel de seguridad para protegerlos. Es fundamental que quienes gestionan estos datos estén bien formados y sean expertos en la protección del CUI, para evitar accesos no autorizados.

Requisitos de seguridad CMMC para correo electrónico

El cumplimiento de CMMC Nivel 2 se centra en establecer prácticas intermedias de higiene cibernética, incluyendo la seguridad del correo electrónico para proteger el CUI. Una puerta de enlace de protección de correo electrónico (EPG) es fundamental para asegurar las comunicaciones de correo electrónico con CUI, haciendo que los procesos de cifrado sean transparentes para los usuarios finales. Implementar una solución EPG ayuda a las organizaciones a cumplir los requisitos del CMMC Nivel 2 al proporcionar funciones sólidas de seguridad de correo electrónico como filtrado de spam, protección contra phishing, prevención de pérdida de datos y cifrado seguro de correo electrónico. Cumpliendo estos requisitos, las organizaciones pueden proteger su información confidencial, reducir amenazas cibernéticas y mantener el cumplimiento en un entorno de ciberseguridad en constante evolución.

¿Qué nivel CMMC necesita tu organización?

Determinar el nivel CMMC adecuado depende principalmente del tipo de información que tu organización maneja en relación con los contratos del DoD. Si tus contratos solo involucran Información sobre Contratos Federales (FCI), normalmente el Nivel 1 es suficiente.

Sin embargo, si tu organización procesa, almacena o transmite Información No Clasificada Controlada (CUI), casi con certeza necesitarás cumplir con los requisitos del CMMC Nivel 2. Revisa cuidadosamente tus contratos actuales y potenciales; si el lenguaje especifica la necesidad de proteger CUI o hace referencia a DFARS 252.204-7012 o NIST SP 800-171, esto indica claramente un requisito de Nivel 2. Consulta con tu oficial de contratos si tienes dudas.

Un marco de decisión sencillo consiste en preguntar: 1) ¿Manejamos FCI? (Si la respuesta es sí, al menos se requiere Nivel 1). 2) ¿Manejamos CUI? (Si la respuesta es sí, se requiere Nivel 2). Identificar correctamente el nivel necesario es crucial; elegir un nivel superior genera costos innecesarios, mientras que quedarse corto resulta en incumplimiento y posible pérdida de contratos. Comprender los requisitos específicos del cmmc nivel 2 asociados al manejo de CUI es fundamental.

¿Qué se necesita para lograr el cumplimiento de CMMC Nivel 2?

Alcanzar el cumplimiento de CMMC Nivel 2 requiere un enfoque integral de la ciberseguridad. Incluye la implementación de políticas y procedimientos, el uso de controles técnicos y el establecimiento de un sólido canal de formación y capacitación. En cuanto a políticas y procedimientos, el Nivel 2 exige que las organizaciones cuenten con un plan de seguridad del sistema, una política de protección de medios, un plan de contingencia, respuesta a incidentes, gestión de parches y procedimientos de gestión de cuentas.

En la parte de controles técnicos, las organizaciones deben implementar controles para autenticación, etiquetado de medios, monitoreo de sistemas, integridad del sistema, protección contra virus y auditoría. También deben tener un programa de formación y educación aprobado para el personal con las autorizaciones adecuadas, para que comprendan su papel en la protección del entorno. Lograr el cumplimiento de Nivel 2 requiere un enfoque equilibrado de seguridad que combine la implementación de medidas técnicas proactivas, procesos y procedimientos claros, y un programa integral de formación y capacitación.

Preparación para CMMC Nivel 2: Lista de verificación

Prepararse para el cumplimiento de CMMC Nivel 2 implica mejorar sistemáticamente la postura de ciberseguridad de tu organización. Esta lista de verificación de CMMC Nivel 2 puede guiarte en el proceso:

1. Familiarízate con los requisitos de CMMC Nivel 2, incluyendo los 110 requisitos distribuidos en 14 dominios.
2. Realiza un análisis de distancia integral para identificar áreas que necesitan mejoras.
3. Desarrolla un plan de remediación para abordar las brechas identificadas e implementar los controles necesarios.
4. Asigna recursos, como presupuesto y personal, para apoyar los esfuerzos de cumplimiento.
5. Capacita a tu personal sobre los requisitos CMMC y las mejores prácticas de ciberseguridad.
6. Implementa políticas, procedimientos y documentación que respalden las iniciativas de cumplimiento.
7. Revisa y actualiza regularmente tus prácticas de ciberseguridad para mantener el cumplimiento.
8. Colabora con consultores CMMC u Organizaciones Evaluadoras de Terceros (C3PAO) para orientación y apoyo en la evaluación.
9. Realiza una autoevaluación para medir la preparación antes de la evaluación oficial de CMMC.
10. Programa tu evaluación CMMC con una C3PAO acreditada para verificar el cumplimiento.

Requisitos de cumplimiento CMMC 2.0 Nivel 2

Los requisitos de CMMC en el Nivel 2 incluyen 110 controles agrupados en 15 dominios:

Dominio	Número de controles
1. Control de Acceso (AC)	22 controles
2. Auditoría y Responsabilidad (AU)	9 controles
3. Concienciación y Capacitación (AT)	3 controles
4. Gestión de Configuración (CM)	9 controles
5. Identificación y Autenticación (IA)	11 controles
6. Respuesta a Incidentes (IR)	3 controles
7. Mantenimiento (MA)	6 controles
8. Protección de Medios (MP)	9 controles
9. Seguridad de Personal (PS)	2 controles
10. Protección Física (PE)	6 controles
11. Recuperación (RE)	2 controles
12. Gestión de Riesgos (RM)	3 controles
13. Evaluación de Seguridad (CA)	4 controles
14. Protección de Sistemas y Comunicaciones (SC)	16 controles
15. Integridad de Sistemas e Información (SI)	7 controles

Los controles en cada uno de los 15 dominios son los siguientes:

Control de Acceso

Esta familia de requisitos es la más grande. Contiene 22 controles. Bajo Control de Acceso, las organizaciones deben monitorear todos los eventos de acceso en el entorno TI y limitar el acceso a sistemas y datos. Los requisitos incluyen:

• Implementar el principio de menor privilegio
• Autorizar y proteger el acceso inalámbrico mediante cifrado y autenticación
• Separar funciones del personal para prevenir actividades irregulares
• Monitorear y controlar el acceso remoto
• Controlar y restringir el uso de dispositivos móviles
• Controlar el flujo de CUI dentro de la organización y cifrarlo en dispositivos móviles

Auditoría y Responsabilidad

Esta familia consta de nueve controles. Exige que las organizaciones retengan registros de auditoría para usarlos en investigaciones de seguridad y mantener a los usuarios responsables de sus acciones. Se deben recopilar y analizar registros de auditoría para detectar cualquier actividad no autorizada y responder de inmediato. Varias acciones ayudan a implementar estos controles:

• Proteger los sistemas de auditoría contra accesos no autorizados
• Revisar y actualizar los eventos auditados
• Informar sobre fallos en el proceso de auditoría
• Generar informes que permitan análisis bajo demanda y proporcionen evidencia de cumplimiento

Concienciación y Capacitación

Esta familia de controles exige que las empresas aseguren que gerentes, administradores de sistemas y otros usuarios conozcan los riesgos de seguridad asociados a sus actividades. Deben estar familiarizados con las políticas de seguridad de la organización y las prácticas básicas de ciberseguridad para reconocer y responder a amenazas internas y externas.

Gestión de Configuración

En los requisitos de Gestión de Configuración, las empresas deben establecer y mantener configuraciones base, lo que implica controlar y monitorear el software instalado por usuarios y cualquier cambio realizado en los sistemas de la organización. Los requisitos de cumplimiento incluyen:

• Incluir en listas negras el software no autorizado
• Documentar todos los eventos donde se restringió el acceso por cambios en sistemas TI
• Restringir, deshabilitar o prevenir el uso de programas, funciones, protocolos y servicios no esenciales
• Aplicar el principio de menor funcionalidad configurando los sistemas para que solo ofrezcan capacidades esenciales

Identificación y Autenticación

La familia de Identificación y Autenticación asegura que solo los usuarios autenticados puedan acceder a la red o sistemas de la organización. Incluye 11 requisitos que abarcan procedimientos y políticas de contraseñas y autenticación, así como la identificación confiable de usuarios. Los requisitos garantizan la distinción entre cuentas privilegiadas y no privilegiadas en el acceso a la red.

Respuesta a Incidentes

En esta familia, las organizaciones deben contar con una estrategia de respuesta a incidentes que permita actuar rápidamente ante cualquier incidente que pueda resultar en una filtración de datos. Se pueden implementar capacidades para detectar, analizar y responder a incidentes de seguridad, informar a los responsables y probar regularmente el plan de respuesta a incidentes.

Mantenimiento

Un mantenimiento inadecuado del sistema puede provocar la divulgación de CUI, lo que supone una amenaza para la confidencialidad de la información. Las empresas deben realizar mantenimiento regular siguiendo requisitos como:

• Supervisar de cerca a las personas y equipos que realizan actividades de mantenimiento
• Asegurar que los medios con programas de diagnóstico y prueba estén libres de código malicioso
• Garantizar que los equipos retirados para mantenimiento fuera de las instalaciones no contengan datos sensibles

Protección de Medios

La familia de controles de Protección de Medios exige asegurar la protección de los medios del sistema que contienen CUI, incluyendo tanto medios en papel como digitales.

Seguridad de Personal

Esta es una familia pequeña de controles que exige a las empresas monitorear las actividades de los usuarios y asegurar que todos los sistemas con CUI estén protegidos durante y después de acciones de personal, como bajas y traslados.

Protección Física

La Protección Física incluye la protección de hardware, software, redes y datos frente a daños o pérdidas por eventos físicos. Este dominio exige realizar varias acciones para minimizar el riesgo de daños físicos, tales como:

• Controlar los dispositivos de acceso físico
• Limitar el acceso físico a sistemas y equipos solo a usuarios autorizados
• Mantener registros de auditoría de accesos físicos

Recuperación

Bajo Recuperación, las organizaciones deben realizar y probar regularmente copias de seguridad de datos, y proteger la confidencialidad del CUI respaldado en los lugares de almacenamiento.

Gestión de Riesgos

Hay dos requisitos que cubren la realización y análisis de evaluaciones de riesgos periódicas. Las organizaciones deben escanear regularmente los sistemas para detectar vulnerabilidades, manteniendo los dispositivos de red y el software actualizados y seguros. Identificar y reforzar vulnerabilidades de manera continua mejora la seguridad de todo el sistema.

Evaluación de Seguridad

Una organización debe monitorear y evaluar sus controles de seguridad para determinar si son lo suficientemente efectivos para mantener los datos seguros. Se requiere contar con un plan que describa los límites del sistema, las relaciones entre diferentes sistemas y los procedimientos para implementar requisitos de seguridad y actualizar ese plan periódicamente.

Protección de Sistemas y Comunicaciones

Esta es una familia bastante grande de requisitos, con 16 controles para monitorear, controlar y proteger la información transmitida o recibida por los sistemas TI. Incluye actividades como:

• Prevenir la transferencia no autorizada de información
• Implementar mecanismos criptográficos para evitar cualquier divulgación no autorizada de CUI
• Crear subredes para componentes del sistema accesibles públicamente que estén separadas de las redes internas
• Denegar por defecto el tráfico de comunicaciones de red

Integridad de Sistemas e Información

Este grupo de controles exige a las empresas identificar y corregir rápidamente fallos del sistema y proteger los activos críticos contra código malicioso. Incluye tareas como:

• Monitorear y actuar rápidamente ante alertas de seguridad que indiquen uso no autorizado de sistemas TI
• Realizar análisis periódicos de sistemas TI y escanear archivos de fuentes externas al descargarlos o ejecutarlos
• Actualizar los mecanismos de protección contra código malicioso tan pronto como haya nuevas versiones disponibles

Costo del cumplimiento de CMMC

El costo de lograr el cumplimiento de CMMC varía según el tamaño, la complejidad y el nivel de certificación buscado por la organización.

Para pequeñas y medianas empresas (PYMES), el costo de cumplimiento puede ser significativo. Las inversiones iniciales pueden incluir la implementación de controles de seguridad, contratación o capacitación de personal para gestionar la ciberseguridad y adquisición de herramientas para apoyar estos esfuerzos. También puede ser necesario asignar recursos para mantener el cumplimiento, como auditorías de seguridad periódicas, actualizaciones de software y formación de empleados.

El cumplimiento de CMMC Nivel 1, que se centra en prácticas básicas de higiene cibernética, suele requerir una inversión menor que los niveles superiores. A medida que las organizaciones buscan cumplir con CMMC Nivel 2 o Nivel 3, los costos aumentan debido a la necesidad de controles más avanzados, documentación y monitoreo continuo.

Las organizaciones deben realizar una evaluación de riesgos y un análisis de distancia completos para identificar las medidas de seguridad requeridas y estimar los costos asociados. Colaborar con una Organización Evaluadora de Terceros CMMC (C3PAO) o una Organización Proveedora Registrada (RPO) puede ayudar a guiar el proceso y garantizar una transición más fluida hacia el cumplimiento.

¿Cuándo se aplicarán los requisitos de CMMC 2.0?

El Departamento de Defensa está implementando CMMC 2.0 mediante un enfoque de implementación gradual, que comenzará una vez finalizado el proceso oficial de reglamentación.

La Propuesta de Reglamento de CMMC 2.0 se publicó a finales de 2023, seguida de un período de comentarios públicos. Se espera que la Regla Final, que codifica los requisitos de CMMC en el Título 32 del Código de Regulaciones Federales (CFR), se publique a finales de 2024 o principios de 2025.

Una vez finalizada la norma, el DoD planea incluir gradualmente los requisitos de CMMC en las licitaciones durante un período de tres años. La Fase 1 probablemente comenzará poco después de la publicación de la norma, exigiendo el cumplimiento de CMMC Nivel 1 o Nivel 2 para ciertos contratos que gestionan datos sensibles. Se espera la implementación total en todos los contratos aplicables del DoD para el 1 de octubre de 2026.

Las organizaciones que gestionan CUI deben priorizar la preparación para cumplir con los requisitos de cmmc nivel 2 ahora, ya que los plazos de aplicación se acercan y lograr el cumplimiento lleva tiempo.

Para conocer más sobre los plazos de cumplimiento de CMMC, consulta nuestra Hoja de Ruta de CMMC para contratistas del DoD.

¿Cómo debe prepararse mi organización para una evaluación de CMMC Nivel 2?

CMMC Nivel 2 (Avanzado) requiere evaluaciones trienales por terceros para los contratistas del DoD que envían, comparten, reciben y almacenan información crítica para la seguridad nacional. Estas evaluaciones son realizadas por una Organización Evaluadora de Terceros CMMC (C3PAO) autorizada y certificada por el Organismo de Acreditación CMMC (CMMC-AB) para evaluar a contratistas y subcontratistas que buscan la certificación y demostrar cumplimiento con el estándar CMMC.

Para asegurar que el proceso sea exitoso, es importante estar adecuadamente preparado. Se deben seguir los siguientes pasos para una preparación exitosa:

• Comprender el marco de evaluación y los requisitos, incluyendo estándares, criterios y objetivos
• Tener disponibles y actualizados los documentos y evidencias de cumplimiento relevantes
• Planificar adecuadamente la evaluación, programando suficiente tiempo y recursos para cumplir los requisitos
• Asignar personal para facilitar la evaluación, programarla en un lugar adecuado y contar con el equipo y materiales necesarios
• Asegurar que todas las partes interesadas estén debidamente preparadas mediante sesiones de formación integrales

Cómo lograr el cumplimiento de CMMC Nivel 2

Lograr el cumplimiento de CMMC Nivel 2 implica implementar prácticas intermedias de higiene cibernética que protejan la información no clasificada controlada (CUI) y la información sobre contratos federales (FCI). Las organizaciones deben cumplir los 110 requisitos distribuidos en 14 dominios. Los pasos clave incluyen realizar un análisis de distancia exhaustivo, desarrollar un plan de remediación, implementar los controles de seguridad requeridos y capacitar al personal. Colaborar con consultores CMMC u Organizaciones Evaluadoras de Terceros (C3PAO) puede ayudar a las organizaciones a navegar el proceso, asegurar una implementación adecuada y verificar el cumplimiento, fortaleciendo así su postura de ciberseguridad.

¿Quién es responsable de las evaluaciones completas de CMMC?

Las Organizaciones Evaluadoras de Terceros CMMC (C3PAO) son responsables de realizar evaluaciones completas de CMMC. Estas organizaciones están acreditadas por el Organismo de Acreditación CMMC (CMMC-AB) y cuentan con evaluadores certificados que revisan las prácticas y controles de ciberseguridad de una organización según el marco CMMC. Las C3PAO verifican de forma imparcial el cumplimiento de la organización con el nivel CMMC requerido, asegurando que cumpla los estándares de seguridad para proteger información sensible y mantener contratos dentro de la cadena de suministro del Departamento de Defensa (DoD).

Criterios de autoevaluación y sistemas de puntuación CMMC 2.0

CMMC 2.0, una versión actualizada del marco CMMC original, simplifica el cumplimiento permitiendo a las organizaciones realizar autoevaluaciones. Los criterios evalúan la adhesión de la organización a prácticas y controles esenciales de ciberseguridad. Según el grado de implementación, los sistemas de puntuación ofrecen una medida cuantitativa de la madurez en ciberseguridad de la organización. Una puntuación más alta indica una mejor postura de ciberseguridad. Aprovechando plantillas y herramientas de autoevaluación, las organizaciones pueden identificar áreas de mejora, desarrollar un plan para abordar brechas y hacer seguimiento de su avance hacia el cumplimiento deseado de CMMC 2.0.

¿Cómo encaja una C3PAO en el cumplimiento de CMMC 2.0 Nivel 2?

Una C3PAO es clave para lograr el cumplimiento de CMMC 2.0 Nivel 2. Los evaluadores de la C3PAO revisan las políticas, procesos y controles existentes de la organización frente a los requisitos CMMC. Analizan la documentación de seguridad, realizan entrevistas y llevan a cabo inspecciones in situ de sistemas y seguridad física. Tras la evaluación del nivel de cumplimiento actual, la C3PAO entrega un informe con sus hallazgos. Este informe se presenta al Organismo de Acreditación CMMC para su revisión, evaluación y certificación.

Autoevaluación vs. evaluación por terceros: requisitos y diferencias

Bajo CMMC 2.0, el tipo de evaluación requerida para el Nivel 2 depende de la sensibilidad del CUI involucrado en el contrato específico del DoD. Un subconjunto de programas de Nivel 2, aquellos que no involucran información crítica para la seguridad nacional, pueden permitir una autoevaluación anual junto con una declaración de la alta dirección presentada en el Sistema de Riesgo de Desempeño del Proveedor (SPRS) del DoD.

Para las autoevaluaciones, las organizaciones utilizan la Metodología de Evaluación DoD de NIST 800-171, documentando el estado de implementación de cada uno de los 110 controles. Sin embargo, la mayoría de los contratos que requieren cumplimiento de CMMC Nivel 2, especialmente los que gestionan CUI más sensible, exigirán una evaluación trienal por terceros realizada por una Organización Evaluadora de Terceros CMMC acreditada (C3PAO).

Esta evaluación de la C3PAO es un proceso de verificación más riguroso, que conduce a una certificación formal de CMMC Nivel 2 tras su finalización exitosa. Ambos caminos requieren un Plan de Seguridad del Sistema (SSP). Las organizaciones que optan por la autoevaluación pueden utilizar un Plan de Acción e Hitos (POA&M) para controles no implementados (con restricciones de puntuación), mientras que las evaluaciones de C3PAO generalmente requieren la implementación completa de todos los controles en el momento de la evaluación, aunque se puede permitir un uso limitado de POA&M bajo condiciones específicas establecidas en la norma final. Prepararse para cualquiera de las dos vías requiere documentación exhaustiva y recolección de evidencias.

Si buscas cumplir con CMMC Nivel 2, consulta nuestra Guía de Evaluación de CMMC Nivel 2.

Kiteworks acelera el tiempo para lograr el cumplimiento de CMMC 2.0 para proveedores del DoD

La Red de Contenido Privado de Kiteworks cuenta con la autorización FedRAMP para Impacto de Nivel Moderado. Gracias a su certificación FedRAMP, Kiteworks cubre casi el 90% de los requisitos de CMMC 2.0 Nivel 2 de forma predeterminada. Los proveedores tecnológicos sin certificación FedRAMP Authorized no pueden alcanzar este nivel de cumplimiento. Por ello, Kiteworks acelera el tiempo que requieren los proveedores del DoD para lograr el cumplimiento de CMMC Nivel 2. Utilizando un enfoque de confianza cero definida por el contenido, Kiteworks protege las comunicaciones sensibles de contenido CUI y FCI en numerosos canales de comunicación, incluyendo correo electrónico, uso compartido de archivos, transferencia de archivos gestionada, formularios web y APIs.

Solicita una programa una demostración personalizada para ver cómo la Red de Contenido Privado de Kiteworks permite a contratistas y subcontratistas del DoD acelerar y simplificar su proceso de certificación CMMC.

Volver al Glosario de Riesgo y Cumplimiento