Seguridad de la información
CMMC
Cybersecurity Maturity Model Certification (CMMC)
CMMC es el programa del Departamento de Defensa de Estados Unidos que verifica que los contratistas de defensa protejan la información contractual federal y la información controlada no clasificada. Lo llevamos desde la brecha hasta la preparación para la evaluación según el nivel que exijan sus contratos.
Qué es CMMC
CMMC es el programa Cybersecurity Maturity Model Certification gestionado por el Departamento de Defensa de Estados Unidos para las empresas de su cadena de suministro. Exige que los contratistas y subcontratistas que manejan Federal Contract Information (FCI) o Controlled Unclassified Information (CUI) cumplan prácticas de ciberseguridad definidas antes de que se les puedan adjudicar o puedan conservar determinados contratos.
El modelo tiene niveles escalonados. Los requisitos de los niveles inferiores pueden cumplirse mediante una autoevaluación, mientras que los niveles superiores, que se basan en los controles NIST SP 800-171 para la protección de CUI, exigen una evaluación por parte de una organización de evaluación de terceros acreditada, conocida como C3PAO. El nivel requerido lo fija el contrato y el tipo de información involucrada.
La estructura de la norma
Nivel 1 · Fundamental
Cubre la salvaguarda básica de Federal Contract Information mediante un conjunto definido de prácticas que un contratista confirma mediante una autoevaluación anual.
Nivel 2 · Avanzado
Se alinea con el conjunto completo de controles de NIST SP 800-171 para la protección de Controlled Unclassified Information y se cumple mediante autoevaluación o mediante una evaluación C3PAO según el contrato.
Nivel 3 · Experto
Se basa en el Nivel 2 y añade un subconjunto de controles extraídos de NIST SP 800-172, evaluados por el gobierno para los programas más sensibles.
Dominio · Acceso e identidad
Agrupa las prácticas de control de acceso e identificación y autenticación que limitan quién puede alcanzar los sistemas que contienen FCI o CUI.
Dominio · Proteger y detectar
Reúne la protección de sistemas y comunicaciones, la protección de medios y las prácticas de auditoría y rendición de cuentas que resguardan la información y registran lo que le sucede.
Dominio · Operar y responder
Cubre la gestión de la configuración, el mantenimiento, la respuesta a incidentes y las prácticas de evaluación de riesgos y seguridad que mantienen el entorno controlado a lo largo del tiempo.
Dominio · Personas y físico
Aborda la concienciación y la formación, la seguridad del personal y la protección física para que el personal y las instalaciones no se conviertan en el punto débil.
SSP y POA&M · Columna vertebral de evidencia
El System Security Plan describe cómo se cumple cada práctica y los Plans of Action and Milestones hacen seguimiento de las que aún no están implementadas.
Quién lo necesita
- Contratistas y subcontratistas de defensa en la cadena de suministro del Departamento de Defensa de Estados Unidos
- Empresas que manejan Federal Contract Information o Controlled Unclassified Information
- Proveedores cuyos contratos o cláusulas de traslado ahora exigen un nivel CMMC determinado
Qué obtiene
- Una definición del alcance y una evaluación de brechas frente al nivel CMMC requerido
- Un System Security Plan y Plans of Action and Milestones
- Prácticas implementadas con un conjunto de evidencia mapeado
- Una evaluación interna de preparación y apoyo durante la evaluación formal
Los plazos dependen del nivel que exijan sus contratos, de cuánta CUI maneje y del estado de sus controles actuales. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
El programa actual es el finalizado por el Departamento de Defensa de Estados Unidos en su reglamentación de 2024, con la regla central de CMMC entrando en vigor a finales de 2024. Establece el modelo de tres niveles y se introduce mediante un despliegue por fases, de modo que los requisitos de evaluación y certificación aparecen en las licitaciones por etapas en lugar de todos a la vez. Una regla de adquisición complementaria añade después las cláusulas correspondientes a los contratos. Si ya ha trabajado hacia NIST SP 800-171, ese esfuerzo se traslada a la preparación; confirme el nivel y la fase aplicables frente a sus contratos específicos y sus cláusulas de traslado, porque lo que aplica hoy puede diferir de un borrador anterior del programa.
Qué cuesta
Dos costos van uno al lado del otro. tr3labs cobra una tarifa de asesoría e implementación definida, cotizada desde el principio una vez que entendemos su tamaño, el nivel CMMC que exigen sus contratos y cuánta Controlled Unclassified Information maneja. Cuando su nivel requiere una evaluación por parte de una organización de evaluación de terceros acreditada, ese C3PAO cobra por separado según su propia tarifa, y los niveles de autoevaluación siguen conllevando su propio costo interno para prepararse y atestiguar; tr3labs nunca es el evaluador, el C3PAO ni el regulador. Definimos el trabajo con usted en lugar de cotizar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y evaluación de brechas
Confirmamos el nivel CMMC que exigen sus contratos, definimos el alcance de la evaluación y los sistemas que manejan FCI o CUI, y lo medimos frente a las prácticas NIST SP 800-171 para que sepa exactamente qué falta.
Construir los controles
Le ayudamos a implementar las prácticas requeridas, a redactar el System Security Plan y los Plans of Action and Milestones, y a poner en marcha las políticas y los controles técnicos para proteger la información dentro del alcance.
Auditoría interna y evidencia
Realizamos una evaluación interna frente a las prácticas y reunimos la evidencia que esperará un evaluador, de modo que las brechas se cierren antes de que comience cualquier evaluación formal.
Apoyo para la preparación de la evaluación
Lo preparamos para una autoevaluación o para una evaluación por parte de un C3PAO en los niveles superiores, y lo acompañamos hasta el resultado; tr3labs no es un C3PAO y no emite certificaciones CMMC.
CMMC e ISO 27001
Ambas le piden demostrar controles de seguridad a una parte externa, por lo que los equipos a menudo suponen que una satisface a la otra, pero responden ante autoridades diferentes.
| CMMC | ISO 27001 | |
|---|---|---|
| Cubre | FCI y CUI en la cadena de suministro de defensa de Estados Unidos | Un sistema de gestión de seguridad de la información, cualquier sector |
| Quién lo exige | Los contratos del Departamento de Defensa de Estados Unidos | Clientes, socios y licitaciones de todo el mundo |
| Idea central | Cumplir prácticas fijadas de NIST SP 800-171 en un nivel requerido | Operar un SGSI basado en riesgos y mejorarlo con el tiempo |
| Modelo de auditoría | Autoevaluación o evaluación C3PAO según el nivel | Auditoría de certificación por un organismo acreditado |
| Se basa en | NIST SP 800-171 y, en el Nivel 3, SP 800-172 | Los controles del Anexo A y las cláusulas del SGSI |
| A menudo se tiene con | NIST CSF y SOC 2 | SOC 2 y PCI DSS |
Preguntas frecuentes sobre CMMC
- ¿Qué nivel CMMC necesitamos?
- El nivel lo fija su contrato y el tipo de información que maneja, desde Federal Contract Information en el nivel inferior hasta Controlled Unclassified Information en los niveles superiores. Confirmamos el nivel aplicable durante la definición del alcance.
- ¿Cómo se relaciona CMMC con NIST SP 800-171?
- Los niveles CMMC superiores se basan en los controles NIST SP 800-171 para la protección de Controlled Unclassified Information. Si ya ha trabajado hacia 800-171, gran parte de ese esfuerzo se traslada directamente a la preparación de CMMC.
- ¿Puede tr3labs certificarnos para CMMC?
- No. En los niveles superiores, la certificación la realiza una organización de evaluación de terceros acreditada, un C3PAO. tr3labs lo prepara, construye los controles y la evidencia, y lo acompaña durante la evaluación; no somos un C3PAO.
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura