Cómo prepararse para una evaluación CMMC Level 2 si ya aplica SP 800-53

CMMC Level 2 se está incorporando ya a los contratos de defensa de EE. UU., y muchos contratistas que se enfrentan a ello ya aplican controles NIST SP 800-53, para trabajos federales, FedRAMP o simplemente como su biblioteca de controles. Es un buen punto de partida: cada práctica de CMMC Level 2 se corresponde con SP 800-53 a través de la propia correspondencia de NIST, como muestra nuestro análisis del Apéndice D.

De los 110 prácticas de CMMC, 109 (99%) se corresponden con algo en 800-53, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

ASí que los controles están en gran medida implementados. Lo que no es automático es el alcance, la documentación y la propia evaluación.

Paso 1: definir el alcance del entorno CUI

CMMC se aplica a los sistemas que procesan, almacenan o transmiten Información No Clasificada Controlada (CUI), y a los activos que los protegen. Identifique por dónde entra la CUI, dónde reside y quién accede a ella. Un límite bien definido y documentado (a menudo un enclave) reduce el número de activos que el evaluador debe examinar. El límite de autorización de 800-53 para un sistema federal rara vez coincide con su límite de CUI.

Paso 2: redactar el Plan de Seguridad del Sistema (SSP) para ese límite

El SSP (CA.L2-3.12.4) describe el límite, el entorno y cómo se implementa cada uno de los 110 requisitos. Reutilice sus descripciones de controles 800-53, pero reescríbalas para el entorno CUI y use los identificadores de práctica de CMMC; los evaluadores trabajan práctica por práctica.

Paso 3: revisar la redacción de Rev 2

CMMC está vinculado a SP 800-171 Revisión 2. Cuando su implementación de 800-53 es más amplia, normalmente satisface la práctica; cuando Rev 2 es específica (criptografía validada FIPS para CUI, bloqueos de sesión, contenido específico de auditoría), revise el detalle.

Paso 4: asignar evidencias a los objetivos de evaluación

Los evaluadores comprueban cada práctica frente a objetivos de evaluación, examinando documentos, entrevistando al personal y probando los mecanismos. Para cada práctica, liste las evidencias que ya produce para los controles 800-53 correspondientes y cubra los huecos. Nuestras páginas de requisitos muestran los controles 800-53 de los que procede cada práctica.

Paso 5: autoevaluarse con honestidad y puntuar

Ejecute usted mismo primero la metodología de evaluación del DoD y calcule la puntuación. Corrija lo que falle. Se permiten planes de acción limitados para algunos requisitos, pero deben cerrarse en un plazo de 180 días, y algunos requisitos no pueden aplazarse en absoluto.

Evidencias que esperan los evaluadores

Para cada práctica, los evaluadores buscan tres tipos de evidencia: documentos (políticas, procedimientos, el SSP), entrevistas con las personas que realizan la práctica y pruebas o demostraciones de los mecanismos. Las solicitudes habituales incluyen:

• listas de cuentas y aprobaciones de acceso a los sistemas CUI (AC.L2-3.1.1, 3.1.2);
• configuración de MFA para el acceso privilegiado y de red (IA.L2-3.5.3);
• configuración de registros de auditoría, retención y registros de revisión (AU.L2-3.3.1, 3.3.2);
• configuraciones base y registros de cambios (CM.L2-3.4.1 a 3.4.3);
• resultados de escaneos de vulnerabilidades y su remediación (RA.L2-3.11.2, 3.11.3);
• plan de respuesta a incidentes y registros de pruebas (IR.L2-3.6.1, 3.6.3);
• configuraciones de cifrado que muestren módulos validados FIPS donde se protege la CUI (SC.L2-3.13.11).

La mayoría de estas ya existen en un entorno 800-53; el trabajo consiste en recopilarlas para el límite CUI y etiquetarlas por práctica. Cada página de práctica, por ejemplo AC.L2-3.1.1, enumera los controles 800-53 cuya evidencia puede reutilizarse.

Puntos clave

• Una línea base 800-53 le proporciona la mayor parte del contenido de CMMC Level 2.
• El trabajo consiste en delimitar la CUI, redactar el SSP y asignar evidencias a cada práctica.
• Autoevalúese con honestidad frente a la metodología del DoD antes de la evaluación real.

Errores habituales

• Expansión del alcance: la CUI se extiende al correo electrónico, a los recursos compartidos de archivos y a portátiles fuera del enclave.
• Servicios compartidos: la identidad, el registro y las herramientas de gestión que tocan el entorno CUI también están en el alcance.
• Proveedores de servicios externos: los servicios en la nube que manejan CUI deben cumplir los requisitos federales aplicables, normalmente FedRAMP Moderate o equivalente.
• Reclamaciones de herencia sin evidencia: si un control se hereda de un proveedor, conserve su documentación.

La comparativa CMMC vs SP 800-53 enumera cada práctica con sus controles de origen, y el análisis de brechas la exporta como un seguimiento.

Preguntas

¿Quién evalúa CMMC Level 2?

Según el contrato, puede ser el propio contratista (autoevaluación) o una Organización de Evaluación Externa de Terceros (C3PAO) autorizada por CMMC. La mayoría de los contratos que implican CUI exigen la evaluación de certificación por terceros.

¿Qué es un Plan de Seguridad del Sistema?

Documento que describe el límite del sistema, el entorno y cómo se implementa cada requisito de seguridad. Lo exige SP 800-171 (práctica CMMC CA.L2-3.12.4) y es lo primero que leen los evaluadores.

¿Puede la autorización FedRAMP de un proveedor de nube cubrir las prácticas de CMMC?

Puede cubrir las prácticas que el proveedor implementa por usted, como controles heredados, siempre que el proveedor cumpla la línea base requerida y usted conserve su documentación. Usted sigue siendo responsable de su propia configuración, usuarios y datos dentro del servicio.