Pregunte a la mayoría de los contratistas de defensa cuánto tiempoCMMCSe necesitará preparación y te darán un número demasiado pequeño. No porque sean descuidados, sino porque el alcance del proceso no es evidente desde fuera. Los controles parecen manejables en una lista de verificación.
Los requisitos de documentación parecen sencillos hasta que se profundiza en ellos. La capacitación del personal parece simple hasta que te das cuenta de cuántas personas la necesitan y cuán exhaustivamente debe impartirse.
El resultado es un patrón que se repite repetidamente en toda la base industrial de defensa. Un contratista decide buscar la certificación CMMC con lo que parece un tiempo adecuado antes de la fecha límite, descubre a la mitad que el proceso está tardando mucho más de lo esperado y termina apresurando las etapas finales o incumpliendo la fecha prevista por completo.
Comprender por qué la preparación del CMMC lleva tanto tiempo no es desalentador. Es la información que le permite crear un cronograma realista, evitar los obstáculos que frenan a la mayoría de las organizaciones y llegar a su evaluación formal completamente preparado, en lugar de hacerlo parcialmente.
Resumen rápido
- La mayoría de los contratistas que se preparan para la certificación de Nivel 2 necesitan de seis a doce meses, y algunos necesitan más tiempo.
- Los mayores retrasos en el cronograma provienen de brechas en la definición del alcance, el desarrollo de la documentación y la implementación del control que no se identificaron con la suficiente antelación.
- Los cuellos de botella externos, incluida la programación de C3PAO y la disponibilidad de los evaluadores, añaden tiempo que está fuera de su control.
- Comenzar temprano es la única forma confiable de proteger la elegibilidad de su contrato contra excesos en los plazos.
Tabla de contenido
- La brecha entre el tiempo de preparación estimado y real
- Por qué la definición del alcance lleva más tiempo de lo esperado
- El desafío de la documentación que la mayoría de los contratistas subestiman
- Implementación del control: donde las buenas intenciones se encuentran con la complejidad real
- El cuello de botella del que nadie te advierte
- Cómo la preparación apresurada crea riesgos en la evaluación
- Creación de un cronograma realista de preparación del CMMC
- Cómo Mindcore Technologies mantiene su cronograma encaminado
- El costo de empezar tarde
La brecha entre el tiempo de preparación estimado y real
Las directrices de la industria citan sistemáticamente entre seis y doce meses como el tiempo promedio necesario para prepararse para una evaluación de certificación CMMC Nivel 2. Ese rango supone una organización que parte de una postura de cumplimiento promedio, es decir, una que ha hecho algún esfuerzo hacia la ciberseguridad pero aún no ha implementado todos los controles requeridos por NIST SP 800-171.
En la práctica, muchas organizaciones tardan más. Las organizaciones que no han operado previamente bajo requisitos formales de cumplimiento de ciberseguridad a menudo descubren durante su análisis inicial de brechas que su postura inicial es más débil de lo que asumieron. Cada brecha adicional agrega tiempo de remediación, trabajo de documentación y, en muchos casos, capacitación del personal que no estaba en el plan original.
Los contratistas que llegan al final del proceso dentro de su cronograma estimado son casi siempre los que comenzaron con un análisis exhaustivo de brechas, construyeron su cronograma en torno a los hallazgos reales en lugar de una estimación general, y contrataron orientación experimentada con suficiente antelación para evitar los desvíos que extienden el proceso para otros.
Por qué la definición del alcance lleva más tiempo de lo esperado
El primer paso sustancial en la preparación del CMMC es definir exactamente qué sistemas, redes, usuarios y flujos de datos se encuentran dentro del alcance de su evaluación. Este paso da forma a cada decisión posterior, desde qué controles debe implementar hasta qué personal necesita capacitación y qué proveedores deben ser evaluados.
La mayoría de los contratistas suponen que este paso llevará unos días. Para organizaciones con entornos de TI sencillos, eso puede ser cierto. Sin embargo, para la mayoría de los contratistas de defensa, el panorama real es más complejo de lo que parece desde la superficie.
Los datos gubernamentales tienden a fluir a través de más sistemas de lo que las organizaciones creen inicialmente. Un sistema de gestión de contratos, una plataforma de correo electrónico, un servicio de almacenamiento en la nube utilizado para compartir archivos, una herramienta de colaboración utilizada para coordinar con el jefe, una computadora portátil que un empleado lleva a casa y que a veces trabaja de forma remota: cada uno de estos puede estar dentro del alcance dependiendo de si los datos del gobierno pasan a través de él. Mapear ese flujo de datos con precisión lleva tiempo, y hacerlo mal crea problemas que se agravan en cada etapa posterior de preparación.
Las organizaciones que se apresuran a definir el alcance o lo definen de manera demasiado estricta a menudo descubren el error en una etapa avanzada del proceso, cuando agregar sistemas al alcance significa revisar la documentación, implementar controles adicionales y potencialmente repetir partes de la revisión de preparación interna. El costo de obtener el alcance desde el principio es siempre menor que el costo de corregirlo más adelante.
El desafío de la documentación que la mayoría de los contratistas subestiman
La documentación es el área donde los cronogramas de preparación del CMMC se repiten de manera más consistente. El Plan de seguridad del sistema por sí solo requiere una descripción exhaustiva y precisa de su entorno, cada control en su nivel de certificación aplicable, cómo se implementa cada control y quién es responsable de mantenerlo. Para una certificación de Nivel 2, eso significa abordar 110 controles con suficiente detalle para satisfacer a un evaluador independiente.
Escribir documentación que refleje con precisión un entorno real es fundamentalmente diferente de escribir documentación que describa un entorno ideal. Las políticas deben describir lo que realmente hace su organización, no lo que una plantilla dice que se debe hacer. El SSP debe coincidir con el alcance de los sistemas, los controles de acceso actualmente implementados y las prácticas de monitoreo que se siguen actualmente.
Esa alineación requiere iteración. Se revisan los borradores, se identifican las brechas entre la documentación y la realidad, se realizan actualizaciones y el proceso se repite hasta que la documentación sea precisa y completa. Las organizaciones que nunca han creado un paquete de documentación de cumplimiento desde cero rutinariamente subestiman cuántas rondas de revisión y revisión requiere ese proceso.
Más allá del SSP, es necesario desarrollar políticas y procedimientos para cada dominio de control requerido. Para las organizaciones que no cuentan con marcos de políticas formales, crear esos documentos desde cero agrega semanas al cronograma. Para las organizaciones con políticas existentes, el trabajo de revisarlas y actualizarlas para reflejar los requisitos y las prácticas actuales lleva casi tanto tiempo como empezar de nuevo.
Implementación del control: donde las buenas intenciones se encuentran con la complejidad real
La mayoría de las organizaciones que comienzan a prepararse para CMMC ya cuentan con algunos controles de ciberseguridad. El análisis de brechas identifica qué controles faltan o se implementan solo parcialmente, y el plan de remediación aborda esas brechas. En teoría, la fase de implementación es simplemente una cuestión de implementar las herramientas y configuraciones adecuadas.
En la práctica, la implementación es donde los plazos se alargan de manera más inesperada. Los controles técnicos que parecen simples en un documento de requisitos a menudo tienen dependencias que no son visibles hasta que se encuentra en medio de su implementación. La autenticación multifactor debe configurarse de manera consistente en todos los sistemas y grupos de usuarios dentro del alcance, y las excepciones que antes eran aceptables se convierten en hallazgos si persisten en la evaluación. Las políticas de control de acceso deben aplicarse técnicamente, no sólo documentarse, lo que puede requerir cambios en las configuraciones del directorio, permisos del sistema y procesos administrativos que afectan las operaciones diarias.
Cada una de estas tareas de implementación requiere pruebas para confirmar que el control está funcionando según lo previsto. Las pruebas revelan problemas adicionales. Esos problemas requieren soluciones. Las correcciones requieren volver a probarse. El ciclo es normal y esperado en cualquier programa de cumplimiento serio, y lleva un tiempo que los contratistas que construyeron su cronograma en torno a los mejores escenarios no han presupuestado.
El cuello de botella del que nadie te advierte
Existe una limitación de tiempo que está completamente fuera del control de su organización, y la mayoría de los contratistas de defensa no la descubren hasta que están listos para programar su evaluación formal. Las organizaciones de evaluación de terceros certificadas son limitadas en relación con la cantidad de contratistas que buscan la certificación.
A medida que los requisitos de CMMC se han ampliado a lo largo de la cadena de suministro de defensa, la demanda de evaluaciones C3PAO ha aumentado significativamente. Los tiempos de espera para la programación de la evaluación se han extendido y los contratistas que se acercan para programar su evaluación después de completar su preparación interna a menudo descubren que faltan meses para las fechas disponibles.
Este cuello de botella tiene un efecto agravante. Un contratista que finaliza su preparación interna y luego espera tres o cuatro meses para obtener un puesto de evaluación puede descubrir que parte de su documentación debe actualizarse para reflejar los cambios en su entorno durante la espera. Es posible que sea necesario revalidar los controles que estaban vigentes en el momento de la revisión interna. El retraso entre la finalización de la preparación y la evaluación genera un trabajo de mantenimiento que mantiene ocupado al equipo de cumplimiento mientras avanza el calendario.
La lección práctica de este cuello de botella es involucrar a los evaluadores potenciales antes de lo que se considere necesario, idealmente mientras aún se completan las etapas posteriores de su preparación interna, de modo que la fecha de evaluación formal se programe antes de que realmente la necesite.
Cómo la preparación apresurada crea riesgos en la evaluación
Cuando los contratistas descubren que su preparación de CMMC está retrasada, el instinto es acelerar el trabajo restante para cumplir con el plazo original. Ese instinto crea su propia categoría de riesgo.
La documentación apresurada es documentación inconsistente. Las inconsistencias entre su SSP, sus políticas y su entorno técnico real se encuentran entre las primeras cosas que identifican los evaluadores. Una regla de firewall que contradice una política de control de acceso, un registro de capacitación que muestra las fechas de finalización antes de que existiera el programa de capacitación o un registro de monitoreo que cubre un período de retención más corto que el que requiere su política son todos hallazgos que la documentación apresurada produce de manera confiable.
Los controles que se implementan rápidamente sin pruebas adecuadas son controles que pueden no funcionar como se esperaba bajo el escrutinio de la evaluación. Una implementación de MFA que cubra la mayoría de los sistemas requeridos, pero no todos, o un proceso de revisión de acceso que se completó una vez para prepararse para la evaluación pero que no tiene evidencia de operación continua, crea exactamente el tipo de hallazgo que conduce a una certificación condicional en lugar de una certificación completa.
El costo de una evaluación reprobada o condicional es casi siempre mayor que el costo de tomarse el tiempo adicional para prepararse correctamente. La remediación según un cronograma de POA&M, un segundo compromiso de evaluación y la incertidumbre actual sobre la elegibilidad del contrato generan un precio que una preparación adecuada habría evitado.
Creación de un cronograma realista de preparación del CMMC
Un cronograma realista de preparación de CMMC se construye en torno a los hallazgos reales del análisis de brechas, no en torno a un promedio de la industria. He aquí un marco para pensar en las fases y sus duraciones realistas.
Definición del alcance y análisis de brechas:De dos a seis semanas, dependiendo de la complejidad de su entorno y de la minuciosidad de la revisión. Este paso no se puede apresurar sin comprometer la precisión de todo lo que sigue.
Desarrollo de documentación:De seis a dieciséis semanas, dependiendo de la madurez de su marco de políticas existente y la cantidad de controles que requieren documentación nueva o actualizada. Las organizaciones sin documentación formal existente deben planificar para el extremo más largo de este rango.
Implementación y pruebas de control:De ocho a veinte semanas, dependiendo del número y la complejidad de las brechas identificadas en el análisis de brechas. Los controles técnicos con dependencias o impactos operativos tardan más en implementarse y validarse.
Capacitación del personal:De dos a cuatro semanas para la entrega inicial, con gestión de documentación y registros continua durante todo el período de preparación.
Revisión de preparación interna:De dos a cuatro semanas para realizar una evaluación simulada exhaustiva que ponga de manifiesto las deficiencias restantes mientras todavía hay tiempo para abordarlas.
Programación y evaluación de C3PAO:Agregue el tiempo de espera actual para la disponibilidad del evaluador, que puede variar de semanas a meses dependiendo de la demanda en el momento de comenzar a programar.
La suma de estas fases produce honestamente un cronograma total que sorprende a la mayoría de los contratistas que asumieron que el proceso tomaría tres o cuatro meses. Los contratistas que elaboran sus planes de preparación en torno a duraciones de fases realistas son los que llegan a su evaluación formal más preparados que esperanzados.
Cómo Mindcore Technologies mantiene su cronograma encaminado
Una de las formas más consistentes en que trabajar con un socio experimentado acelera la preparación de CMMC es la eliminación de desvíos que extienden los plazos para las organizaciones que trabajan solas. Los errores de definición del alcance, las inconsistencias en la documentación, las brechas en la implementación de controles y los descuidos de la revisión interna de la preparación tardan más en descubrirse y corregirse sin la guía de un equipo que haya pasado por el proceso anteriormente.
Tecnologías mentalestrae más de30 años de experiencia en ciberseguridad y TIa los contratistas de defensa que navegan por la preparación del CMMC. Bajo el liderazgo deMatt Rosenthal, director ejecutivo de Mindcore Technologies, el equipo ha ayudado a organizaciones de industrias reguladas a crear programas de cumplimiento de manera eficiente y precisa, evitando las extensiones de cronograma que surgen al descubrir problemas en una etapa avanzada del proceso.
Mindcore trabaja con los contratistas desde el análisis inicial de las deficiencias hasta la revisión interna de la preparación, manteniendo la preparación encaminada, identificando los problemas con suficiente antelación para abordarlos sin afectar el cronograma y garantizando que cada fase del proceso se complete con precisión antes de pasar a la siguiente.
El costo de empezar tarde
Cada semana de retraso en el inicio de la preparación de CMMC es una semana agregada al riesgo de que su certificación no esté vigente cuando su próximo contrato lo requiera. Las renovaciones de contratos, las nuevas licitaciones y las demandas de los contratistas principales no esperan plazos de preparación que sean más largos de lo esperado.
Los contratistas que protegen de manera más confiable su elegibilidad para el contrato son los que inician el proceso de preparación mucho antes de lo que creen necesario, construyen su cronograma en torno a hallazgos reales sobre brechas en lugar de estimaciones optimistas, y trabajan con socios que saben cómo mantener el proceso en marcha de manera eficiente.
Una consulta gratuita con Mindcore Technologies es la forma más rápida de comprender dónde se encuentra realmente su organización y cuánto tiempo debe durar un cronograma de preparación realista para su entorno específico.
Conclusión
La preparación del CMMC lleva más tiempo de lo que la mayoría de los contratistas esperan porque el proceso es más exhaustivo, más detallado y más dependiente de realizar cada fase correctamente antes de pasar a la siguiente de lo que parece desde fuera. Ésa no es razón para sentirse desanimado. Es una razón para comenzar antes, planificar con mayor precisión y trabajar con socios que sepan dónde están los riesgos en el cronograma antes de que se conviertan en problemas.
Con Mindcore Technologies y más de 30 años de experiencia en ciberseguridad y TI detrás de su preparación, su cronograma no tiene por qué convertirse en su responsabilidad.
