Marco
CMMC Level 2
Qué es
El Modelo de Madurez de Certificación de Ciberseguridad del Departamento de Defensa de EE. UU. Nivel 2 comprende los 110 requisitos de seguridad de NIST SP 800-171 Rev 2 para la protección de la Información No Clasificada Controlada (CUI). La norma del programa entró en vigor en diciembre de 2024, y los requisitos contractuales se están implantando de forma progresiva a partir de noviembre de 2025.
Quién lo necesita
Contratistas y subcontratistas del Departamento de Defensa que procesan, almacenan o transmiten CUI.
Cómo se evalúa
Una autoevaluación o, para la mayoría de los contratos con CUI, una evaluación de certificación realizada por un evaluador externo acreditado (C3PAO), cada tres años con una declaración anual de conformidad. Se permite un plan de acción e hitos limitado para algunos requisitos, que debe cerrarse en un plazo de 180 días.
110
Prácticas
109
Con correspondencia con otro marco
78%
Temas cubiertos (39/50)
Comparativas
Requisitos
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
| ID | Requisito | Temas | Con correspondencia en |
|---|---|---|---|
| AC Access Control · 22 | |||
| AC.L2-3.1.1 | Authorized Access Control | Control de acceso, Confianza cero | 11 de 13 |
| AC.L2-3.1.2 | Transaction & Function Control | Control de acceso | 11 de 13 |
| AC.L2-3.1.3 | Control CUI Flow | DLP | 7 de 13 |
| AC.L2-3.1.4 | Separation of Duties | — | 1 de 13 |
| AC.L2-3.1.5 | Least Privilege | Acceso privilegiado | 10 de 13 |
| AC.L2-3.1.6 | Non-Privileged Account Use | Acceso privilegiado | 10 de 13 |
| AC.L2-3.1.7 | Privileged Functions | Acceso privilegiado | 10 de 13 |
| AC.L2-3.1.8 | Unsuccessful Logon Attempts | — | 1 de 13 |
| AC.L2-3.1.9 | Privacy & Security Notices | — | 1 de 13 |
| AC.L2-3.1.10 | Session Lock | — | 1 de 13 |
| AC.L2-3.1.11 | Session Termination | — | 1 de 13 |
| AC.L2-3.1.12 | Control Remote Access | — | 1 de 13 |
| AC.L2-3.1.13 | Remote Access Confidentiality | Cifrado | 10 de 13 |
| AC.L2-3.1.14 | Remote Access Routing | — | 1 de 13 |
| AC.L2-3.1.15 | Privileged Remote Access | — | 1 de 13 |
| AC.L2-3.1.16 | Wireless Access Authorization | — | 1 de 13 |
| AC.L2-3.1.17 | Wireless Access Protection | — | 1 de 13 |
| AC.L2-3.1.18 | Mobile Device Connection | Seguridad móvil | 7 de 13 |
| AC.L2-3.1.19 | Encrypt CUI on Mobile | Cifrado, Seguridad móvil | 11 de 13 |
| AC.L2-3.1.20 | External Connections | Seguridad en la nube | 11 de 13 |
| AC.L2-3.1.21 | Portable Storage Use | — | 1 de 13 |
| AC.L2-3.1.22 | Control Public Information | — | 1 de 13 |
| AT Awareness and Training · 3 | |||
| AT.L2-3.2.1 | Role-Based Risk Awareness | Concienciación y formación | 10 de 13 |
| AT.L2-3.2.2 | Role-Based Training | Concienciación y formación | 10 de 13 |
| AT.L2-3.2.3 | Insider Threat Awareness | Concienciación y formación, Amenaza interna | 10 de 13 |
| AU Audit and Accountability · 9 | |||
| AU.L2-3.3.1 | System Auditing | Registro y auditoría | 10 de 13 |
| AU.L2-3.3.2 | User Accountability | Registro y auditoría, Amenaza interna | 11 de 13 |
| AU.L2-3.3.3 | Event Review | — | 1 de 13 |
| AU.L2-3.3.4 | Audit Failure Alerting | — | 1 de 13 |
| AU.L2-3.3.5 | Audit Correlation | SIEM / SOC | 10 de 13 |
| AU.L2-3.3.6 | Reduction & Reporting | Análisis forense | 7 de 13 |
| AU.L2-3.3.7 | Authoritative Time Source | Registro y auditoría | 10 de 13 |
| AU.L2-3.3.8 | Audit Protection | — | 1 de 13 |
| AU.L2-3.3.9 | Audit Management | — | 1 de 13 |
| CA Security Assessment · 4 | |||
| CA.L2-3.12.1 | Security Control Assessment | Cumplimiento | 10 de 13 |
| CA.L2-3.12.2 | Plan of Action | — | 1 de 13 |
| CA.L2-3.12.3 | Security Control Monitoring | — | 1 de 13 |
| CA.L2-3.12.4 | System Security Plan | — | 1 de 13 |
| CM Configuration Management · 9 | |||
| CM.L2-3.4.1 | System Baselining | Gestión de activos, Configuración segura | 13 de 13 |
| CM.L2-3.4.2 | Security Configuration Enforcement | Configuración segura | 9 de 13 |
| CM.L2-3.4.3 | System Change Management | — | 1 de 13 |
| CM.L2-3.4.4 | Security Impact Analysis | — | 1 de 13 |
| CM.L2-3.4.5 | Access Restrictions for Change | — | 1 de 13 |
| CM.L2-3.4.6 | Least Functionality | Configuración segura | 9 de 13 |
| CM.L2-3.4.7 | Nonessential Functionality | Configuración segura | 9 de 13 |
| CM.L2-3.4.8 | Application Execution Policy | — | 1 de 13 |
| CM.L2-3.4.9 | User-Installed Software | — | 1 de 13 |
| IA Identification and Authentication · 11 | |||
| IA.L2-3.5.1 | Identification | — | 1 de 13 |
| IA.L2-3.5.2 | Authentication | — | 1 de 13 |
| IA.L2-3.5.3 | Multifactor Authentication | Autenticación multifactor | 10 de 13 |
| IA.L2-3.5.4 | Replay-Resistant Authentication | — | 1 de 13 |
| IA.L2-3.5.5 | Identifier Reuse | — | 1 de 13 |
| IA.L2-3.5.6 | Identifier Handling | — | 1 de 13 |
| IA.L2-3.5.7 | Password Complexity | — | 1 de 13 |
| IA.L2-3.5.8 | Password Reuse | — | 1 de 13 |
| IA.L2-3.5.9 | Temporary Passwords | — | 1 de 13 |
| IA.L2-3.5.10 | Cryptographically-Protected Passwords | — | 1 de 13 |
| IA.L2-3.5.11 | Obscure Feedback | — | 1 de 13 |
| IR Incident Response · 3 | |||
| IR.L2-3.6.1 | Incident Handling | Respuesta a incidentes, Mitigación, Lecciones aprendidas | 12 de 13 |
| IR.L2-3.6.2 | Incident Reporting | Comunicación, Notificación, Comunicaciones y restauración | 12 de 13 |
| IR.L2-3.6.3 | Incident Response Testing | Respuesta a incidentes | 12 de 13 |
| MA Maintenance · 6 | |||
| MA.L2-3.7.1 | Perform Maintenance | — | 1 de 13 |
| MA.L2-3.7.2 | System Maintenance Control | — | 1 de 13 |
| MA.L2-3.7.3 | Equipment Sanitization | — | 1 de 13 |
| MA.L2-3.7.4 | Media Inspection | — | 1 de 13 |
| MA.L2-3.7.5 | Nonlocal Maintenance | — | 1 de 13 |
| MA.L2-3.7.6 | Maintenance Personnel | — | 1 de 13 |
| MP Media Protection · 9 | |||
| MP.L2-3.8.1 | Media Protection | — | 1 de 13 |
| MP.L2-3.8.2 | Media Access | — | 1 de 13 |
| MP.L2-3.8.3 | Media Disposal | Protección de datos | 11 de 13 |
| MP.L2-3.8.4 | Media Markings | Clasificación de datos | 9 de 13 |
| MP.L2-3.8.5 | Media Accountability | — | 1 de 13 |
| MP.L2-3.8.6 | Portable Storage Encryption | Cifrado | 10 de 13 |
| MP.L2-3.8.7 | Removable Media | — | 1 de 13 |
| MP.L2-3.8.8 | Shared Media | — | 1 de 13 |
| MP.L2-3.8.9 | Protect Backups | Copias de seguridad y recuperación | 11 de 13 |
| PE Physical Protection · 6 | |||
| PE.L2-3.10.1 | Limit Physical Access | Seguridad física | 8 de 13 |
| PE.L2-3.10.2 | Monitor Facility | Seguridad física | 8 de 13 |
| PE.L2-3.10.3 | Escort Visitors | Seguridad física | 8 de 13 |
| PE.L2-3.10.4 | Physical Access Logs | Seguridad física | 8 de 13 |
| PE.L2-3.10.5 | Manage Physical Access | Seguridad física | 8 de 13 |
| PE.L2-3.10.6 | Alternative Work Sites | Seguridad física | 8 de 13 |
| PS Personnel Security · 2 | |||
| PS.L2-3.9.1 | Screen Individuals | Amenaza interna | 8 de 13 |
| PS.L2-3.9.2 | Personnel Actions | — | 1 de 13 |
| RA Risk Assessment · 3 | |||
| RA.L2-3.11.1 | Risk Assessments | Gestión de riesgos, Evaluación de riesgos | 10 de 13 |
| RA.L2-3.11.2 | Vulnerability Scan | Gestión de vulnerabilidades | 13 de 13 |
| RA.L2-3.11.3 | Vulnerability Remediation | Gestión de vulnerabilidades | 13 de 13 |
| SC System and Communications Protection · 16 | |||
| SC.L2-3.13.1 | Boundary Protection | Cortafuegos / Segmentación de red, Seguridad web, Confianza cero | 9 de 13 |
| SC.L2-3.13.2 | Security Engineering | Desarrollo seguro | 8 de 13 |
| SC.L2-3.13.3 | Role Separation | — | 1 de 13 |
| SC.L2-3.13.4 | Shared Resource Control | — | 1 de 13 |
| SC.L2-3.13.5 | Public-Access System Separation | Cortafuegos / Segmentación de red | 9 de 13 |
| SC.L2-3.13.6 | Network Communication by Exception | Cortafuegos / Segmentación de red, Confianza cero | 9 de 13 |
| SC.L2-3.13.7 | Split Tunneling | — | 1 de 13 |
| SC.L2-3.13.8 | Data in Transit | Cifrado | 10 de 13 |
| SC.L2-3.13.9 | Connections Termination | — | 1 de 13 |
| SC.L2-3.13.10 | Key Management | Cifrado | 10 de 13 |
| SC.L2-3.13.11 | CUI Encryption | Cifrado | 10 de 13 |
| SC.L2-3.13.12 | Collaborative Device Control | — | 1 de 13 |
| SC.L2-3.13.13 | Mobile Code | — | 1 de 13 |
| SC.L2-3.13.14 | Voice over Internet Protocol | — | ninguno |
| SC.L2-3.13.15 | Communications Authenticity | — | 1 de 13 |
| SC.L2-3.13.16 | Data at Rest | Cifrado, Protección de datos | 11 de 13 |
| SI System and Information Integrity · 7 | |||
| SI.L2-3.14.1 | Flaw Remediation | Gestión de parches | 10 de 13 |
| SI.L2-3.14.2 | Malicious Code Protection | Protección de endpoints, Seguridad del correo electrónico | 10 de 13 |
| SI.L2-3.14.3 | Security Alerts & Advisories | Inteligencia de amenazas | 6 de 13 |
| SI.L2-3.14.4 | Update Malicious Code Protection | Protección de endpoints | 10 de 13 |
| SI.L2-3.14.5 | System & File Scanning | — | 1 de 13 |
| SI.L2-3.14.6 | Monitor Communications for Attacks | Monitoreo cont., Detección de intrusiones | 11 de 13 |
| SI.L2-3.14.7 | Identify Unauthorized Use | Monitoreo cont., Detección de anomalías | 10 de 13 |
Cobertura del tema
Temas con requisitos de CMMC asignados (39):
Concienciación y formaciónGestión de riesgosCumplimientoGestión de activosEvaluación de riesgosClasificación de datosGestión de vulnerabilidadesInteligencia de amenazasControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad en la nubeDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseComunicaciónMitigaciónNotificaciónLecciones aprendidasComunicaciones y restauraciónAmenaza internaSeguridad física
Sin correspondencia en nuestros datos Ningún requisito de CMMC (11):