CMMC y NIST SP 800-171 – Prepararse para los mercados estadounidenses de defensa

El NIST SP 800-171 define los requisitos de seguridad destinados a proteger la Controlled Unclassified Information (CUI) presente en los sistemas de organizaciones no federales. Su revisión 3 estructura los requisitos aplicables a los sistemas que procesan, almacenan o transmiten esta información.

El CMMC traslada los requisitos de ciberseguridad del Department of Defense estadounidense a un mecanismo de evaluación y de cumplimiento contractual. En conjunto, CMMC y NIST SP 800-171 son especialmente importantes para las empresas canadienses que desean integrarse en las cadenas de suministro estadounidenses de defensa, directamente o como subcontratistas.

El enfoque exige en particular conocer con precisión por dónde circula la CUI, delimitar el alcance técnico, controlar los accesos, reforzar la autenticación, asegurar las configuraciones, conservar los registros necesarios y demostrar la eficacia de los controles. El NIST también proporciona el SP 800-171A para la evaluación formal de estos requisitos.

Esfuerzo indicativo: para una organización que apunta a un entorno CUI bien delimitado, generalmente de 6 a 12 meses, aproximadamente de 200 a 500 horas-persona internas y de 250 a 650 horas Quantum Beyond. Una arquitectura compleja o un alcance CUI mal controlado puede exigir más.

Quantum Beyond puede acompañar la definición del alcance, el gap assessment, la arquitectura, la documentación, la remediación, la recopilación de evidencias y la preparación para la evaluación.

Para una empresa canadiense, esta preparación aporta un doble beneficio: reforzar sustancialmente su ciberseguridad y preservar su elegibilidad para determinados mercados de defensa estadounidenses y cadenas de suministro transfronterizas.