Certificación de modelo de madurez en ciberseguridad de EE. UU. (CMMC)

El programa CMMC tiene tres niveles:

Nivel 1: Protección básica de información sobre contratos federales

• Objetivo: proteger la información sobre contratos federales (por ejemplo, información básica como números de contrato y calendarios de entrega). Este nivel se ha diseñado para que las organizaciones más pequeñas puedan cumplirlo más fácilmente, siempre que no vayan a gestionar información crítica para la seguridad nacional. 
• Requisitos: 15 prácticas básicas de ciberseguridad, como cambiar las contraseñas con frecuencia y usar software antivirus.
• Evaluación: autoevaluación anual.
• Aplicabilidad: obligatorio para todos los contratistas que gestionen FCI en cualquier capacidad. Este es el nivel más habitual.

Nivel 2: Protección general de la información sin clasificar controlada (CUI)

• Objetivo: proteger la información sin clasificar controlada (por ejemplo, datos sensibles sujetos a controles de divulgación o protección). Este nivel está diseñado para proteger la información crítica para la seguridad nacional.
• Requisitos: 110 requisitos de seguridad que se ajustan a la norma NIST SP 800-171 r2. Por ejemplo, mantener un plan de seguridad del sistema (SSP), identificar, registrar y monitorizar los recursos de CUI, e implementar un programa de análisis de vulnerabilidades para identificar y solucionar los puntos débiles de seguridad.
• Evaluación: definida en el contrato. Algunos contratos pueden requerir una autoevaluación, mientras que otros pueden requerir una evaluación externa por parte de una organización de evaluación externa del CMMC (C3PAO).
• Aplicabilidad: obligatorio para los contratistas que gestionan CUI.

Nivel 3: protección de alto nivel de la información confidencial de identificación de clientes frente a amenazas persistentes avanzadas

• Objetivo: proteger la CUI muy sensible en programas críticos. Se centra en las medidas de seguridad adicionales para protegerte frente a las amenazas persistentes avanzadas (APTs).
• Requisitos: todos los requisitos del nivel 2, además de prácticas adicionales del documento NIST SP 800-172 para mejorar la seguridad, como desarrollar un plan integral de respuesta a incidentes, implementar un programa integral de monitorización continua y evaluar y gestionar el riesgo de seguridad de la cadena de suministro.
• Evaluación: evaluación dirigida por el gobierno por parte del Centro de Evaluación de Ciberseguridad de la Base Industrial de Defensa (DIBCAC) de EE. UU.
• Aplicabilidad: obligatorio para los contratistas que trabajan en los proyectos gubernamentales más sensibles. Este es el nivel menos habitual.
• Requisito previo: Antes de que un contratista pueda obtener el nivel 3 del CMMC, debe tener el nivel 2.

En esencia, cuanto mayor sea el nivel del CMMC, más sensibles serán los datos que se gestionen y más estrictos serán los requisitos de ciberseguridad.

Puedes usar Google Cloud y Google Workspace para cumplir los requisitos de cumplimiento de CMMC de tu organización en todos los niveles, ya que se basan en los servicios autorizados por FedRAMP High de Google. Google Cloud y Google Workspace mantienen la autoridad para operar (ATO) de nivel alto de FedRAMP en los servicios incluidos.

Google proporciona la siguiente documentación de orientación para ayudarte a cumplir los requisitos de cumplimiento del CMMC:

• Guía de implementación de CMMC de Google Workspace
• Guía de implementación de CMMC de Google Cloud

Además, Google proporciona las siguientes cartas de certificación elaboradas por una organización de evaluación externa independiente:

• Carta de atestación de CMMC de C3PAO de Google Workspace (se espera que Google Cloud la obtenga para agosto del 2025)
• Carta de atestación de cumplimiento de NIST SP 800-171 para Google Cloud y Google Workspace

En el caso de Google Cloud, debes usar el límite de datos de Assured Workloads para FedRAMP High y utilizar la matriz de responsabilidad del cliente (CRM) de CMMC al configurar los sistemas para que cumplan los requisitos de CMMC. Ponte en contacto con el equipo de Ventas de Google o con tu representante de Google Cloud para obtener la documentación mencionada anteriormente, como el CRM.

En el caso de Google Workspace, debes usar servicios autorizados por FedRAMP High para cumplir el CMMC, así como Assured Controls Plus para habilitar el almacenamiento de datos exclusivamente en Estados Unidos. Si es necesario, los clientes pueden desactivar un servicio que aún no esté autorizado por FedRAMP.

• Carta de certificación de CMMC de C3PAO de Google Cloud
• Carta de atestación de CMMC de C3PAO de Google Workspace
• Guía de implementación de CMMC en Google Cloud
• Guía de implementación de CMMC de Google Workspace
• CMMC del Departamento de Defensa
• Regla definitiva del programa CMMC
• Guía de evaluación de la CMMC para el CIO del Departamento de Defensa de EE. UU.