Olvidar un plazo de reevaluación, copiar mal el nivel exigido a un subcontratista, contar el plazo de un incidente cibernético desde la fecha equivocada: errores habituales para una empresa sujeta al programa CMMC en sus contratos federales de defensa en Estados Unidos. Esta aplicación reúne el calendario de plazos, el seguimiento de subcontratistas, los incidentes y el plan de seguridad del sistema.
A quién va dirigida la aplicación
Para los responsables de ciberseguridad, los equipos de informática y los responsables de contratos de una empresa con contratos federales de defensa en Estados Unidos, sujeta al programa CMMC y a la norma NIST SP 800-171.
Qué hace la aplicación
- Describe un alcance de evaluación con su nivel objetivo, sus identificadores y la fecha a partir de la cual corren los plazos.
- Mantiene el inventario de los activos que tratan, almacenan o transmiten la información cubierta por el contrato, y el catálogo de requisitos incluido como datos.
- Registra una respuesta por requisito (cumplido, no cumplido, no aplicable) con su evidencia, calcula la puntuación, y mantiene el plan de acción e hitos con su plazo de cierre.
- Establece el calendario de plazos de reevaluación, afirmación anual, cierre del plan de acción y conservación de pruebas, cada uno fechado a partir del alcance, con un aviso automático al acercarse cada uno.
- Calcula el nivel mínimo exigido a un subcontratista a partir de lo que trata y del nivel de tu contrato principal, en lugar de copiarlo directamente, y recoge su estado declarado mediante un registro manual.
- Mantiene el registro de incidentes cibernéticos con dos plazos distintos —uno desde el descubrimiento, otro desde la presentación del informe— y recopila un plan de seguridad del sistema fechado, con versiones y listo para imprimir.
En el día a día
- Describe tu alcance de evaluación y su fecha de estado, e inventaría después los activos correspondientes.
- Responde a cada requisito del catálogo con su evidencia, y deja que se calcule la puntuación.
- Genera el calendario de plazos y deja que los avisos automáticos adviertan al acercarse cada uno.
- Para cada subcontratista, indica qué trata y deja que la aplicación calcule el nivel mínimo que se le exige, y recoge después su estado declarado.
- Ante un incidente cibernético, registra la fecha de descubrimiento y después la de presentación del informe, y mantén actualizado el plan de seguridad del sistema.
Lo que la aplicación no hace
- No presenta nada ante el Departamento de Defensa de Estados Unidos en tu lugar: la presentación y la afirmación anual siguen siendo un gesto que haces tú mismo, y que te compromete personalmente.
- Nunca dice que estás en cumplimiento, que hay que descartar a un proveedor, ni que puedes afirmar tu estado: constata fechas y desviaciones, no sacas conclusiones en tu lugar.
- No redacta los apartados propios del plan de seguridad del sistema: solo tú conoces tu propio entorno informático.
- No se conecta a ningún sistema federal para consultar o presentar un estado: ese sistema no ofrece ese acceso público, por lo que el estado de un subcontratista se sigue registrando a mano.
- Según su editor, aún no se ha probado en producción: ningún plazo que genera se ha presentado a un responsable de contrato real, y ningún export se ha copiado todavía en el sistema federal de referencia. Las normas del programa CMMC cambian y no sustituyen a tu evaluador ni a tu responsable de contrato.
Edición gratuita y edición completa
La edición gratuita ya incluye el alcance de evaluación, el inventario de activos, el catálogo de requisitos, las evaluaciones con sus evidencias y su puntuación, y el plan de acción e hitos. La edición completa se instala encima sin perder nada, y añade el calendario de plazos con sus avisos, el seguimiento de subcontratistas, el registro de incidentes cibernéticos, el plan de seguridad del sistema listo para imprimir y una exportación de la puntuación lista para copiar.
Para empezar
Describe tu alcance de evaluación con su nivel objetivo y su fecha de estado, inventaría los activos correspondientes, y responde después a los requisitos del catálogo, comprobando siempre con tu evaluador o tu responsable de contrato las normas aplicables a tu contrato, ya que estas normas cambian con regularidad.
Para ir más lejos
Para saber si esta aplicación encaja con tu actividad y cómo activarla, compara los planes o escríbenos.