Este sitio utiliza cookies para ofrecerle un servicio más ágil y personalizado. Al utilizar este sitio, acepta el uso que hacemos de las cookies. Puede obtener más información sobre el uso que hacemos de las cookies y tecnologías similares y sobre sus opciones consultando nuestra Política de privacidad. Al hacer clic en "Acepto", acepta nuestro uso de cookies y tecnologías similares.
Se acerca el 10 de noviembre: ¿Su reloj CMMC está en marcha?
El Departamento de Defensa (DoD) ha finalizado sus normas de Certificación del Modelo de Madurez de Ciberseguridad (CMMC), que cambian las reglas del juego, marcando el comienzo de una nueva era de responsabilidad para la Base Industrial de Defensa. El plazo es ahora muy corto: estos nuevos requisitos entran en vigor el 10 de noviembre. Si su empresa o sus subcontratistas manejan datos confidenciales del gobierno, ya sea información de contratos federales (FCI) o información no clasificada controlada (CUI), no tiene más remedio que actuar, y actuar con rapidez.
Lo que debe saber sobre el CMMC, ahora mismo
El Departamento de Defensa no pierde el tiempo. A partir de este mes de noviembre, los responsables de contratación tienen autoridad para incluir el cumplimiento de las CMMC como condición para la adjudicación de nuevos contratos y para el ejercicio de periodos de opción en los ya existentes. No se trata de un aumento gradual que se pueda aplazar; es la nueva realidad de la elegibilidad de los contratos.
Las nuevas normas CMMC establecen un marco escalonado determinado por el Gobierno, basado en la sensibilidad de la información de que se trate:
- Nivel 1 (FCI): Requiere una autoevaluación anual de la higiene básica de ciberseguridad.
- Nivel 2 (CUI): El nivel más común, que requiere una autoevaluación anual, o una evaluación externa más rigurosa por parte de una organización evaluadora tercera parte certificada (C3PAO) cada tres años, dependiendo del perfil de riesgo del contrato.
- Nivel 3 (CUI de alto valor): Reservado para los contratos más sensibles, requiere todo lo establecido en el Nivel 2 (con controles adicionales), además de una evaluación realizada por el Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC) cada tres años.
Para los contratistas principales, las responsabilidades no se limitan a sus propias redes. Ahora se exige explícitamente a los contratistas principales que transmitan los requisitos CMMC a sus subcontratistas y que verifiquen su estado de cumplimiento antes de que puedan empezar a trabajar.
Los riesgos ocultos del incumplimiento de las normas del CMMC
Es de vital importancia comprender el nuevo énfasis en el cumplimiento continuo. Su estado de cumplimiento sólo es "actual" si no se han producido cambios que afecten a su postura de seguridad desde su última evaluación. Esto crea un riesgo significativo, ya que no mantener el cumplimiento continuo podría dar lugar a disputas contractuales y graves acciones de aplicación, incluida la responsabilidad de la Ley de Reclamaciones Falsas.
Aunque un Plan de Acción e Hitos (POA&M) puede concederle temporalmente un estatus Condicional de Nivel 2 o 3, sólo dispone de 180 días para cerrar esas brechas de cumplimiento. Este breve plazo significa que no puede permitirse retrasos.
Su próximo paso: no se audite primero a sí mismo
La sabiduría convencional dicta que los contratistas y subcontratistas deben actuar ahora, pero hacerlo con inteligencia. Antes de programar una evaluación oficial o llevar a cabo una autoevaluación interna que podría exponer riesgos no mitigados, considere una revisión de preparación privilegiada.
Trabajar con un experto externo puede permitirle someter sus sistemas a pruebas de presión e identificar lagunas bajo el privilegio abogado-cliente. De este modo, podría ocultar hallazgos delicados mientras corrige rápidamente los problemas, garantizando que cuando finalmente certifique el cumplimiento o se enfrente a una evaluación oficial, su organización esté segura, su documentación sea impecable y sus riesgos de responsabilidad se reduzcan al mínimo.
La conclusión es sencilla: La elegibilidad depende ahora del cumplimiento demostrado. Asociarse con profesionales experimentados, como Guidepost Solutions, garantiza la identificación de riesgos, la eliminación de lagunas y el cumplimiento de la normativa con total confianza. Asegure sus sistemas, valide su documentación y prepárese para avanzar cuando las nuevas licitaciones entren en vigor en noviembre.
MSU Institutional Assessment + RAMAGELLAN MonitorshipEmpire/Liberty Review