Panorama de CMMC Nivel 2 y NIST SP 800-171

Acerca de este curso

Lo que podrá hacer

• Explicar los roles de DFARS 252.204-7012, 252.204-7021 y 252.204-7025, de las cláusulas de evaluación del DoD antes numeradas 7019 y 7020, y de 32 CFR Part 170, y describir los tres niveles CMMC y la implementación por fases.
• Distinguir la autoevaluación de Nivel 2 de la certificación por un C3PAO y enunciar las reglas del estado condicional y final, el umbral de 88 puntos, la elegibilidad para el plan de acción y el cierre a 180 días.
• Clasificar los activos en las 5 categorías de alcance de CMMC, explicar cómo un enclave limita el alcance y enunciar qué deben demostrar los servicios en la nube y los proveedores externos.
• Resumir lo que exige cada una de las 14 familias de NIST SP 800-171 Rev 2 y nombrar la evidencia que un evaluador espera para cada una.
• Describir el contenido de un plan de seguridad del sistema y de un plan de acción e hitos, y calcular una puntuación de la Metodología de Evaluación del DoD incluidos los casos parciales de autenticación multifactor y FIPS.
• Esbozar cómo se planifica y se realiza una evaluación por un C3PAO usando los objetivos de NIST SP 800-171A y los métodos de examen, entrevista y prueba.
• Identificar los fallos comunes que dejan a una empresa sin estado y trazar un programa de 12 meses con roles, políticas y responsabilidades de los empleados.

Contenido del curso

1. 1

   El panorama: cláusulas DFARS, CMMC 2.0 y el estado de Nivel 2

   DFARS 252.204-7012, 7021 y 7025, las cláusulas de evaluación del DoD antes numeradas 7019 y 7020, la regla del programa CMMC en 32 CFR Part 170, la implementación por fases y su suspensión en 2026, autoevaluación frente a certificación por un C3PAO, estado condicional frente a final, afirmación anual y el Nivel 3 en resumen.

   Unos 30 minutos, seguidos de un cuestionario del módulo

2. 2

   Alcance: activos, enclaves y proveedores externos

   Las 5 categorías de activos de la Guía de Alcance de CMMC Nivel 2, cómo un enclave reduce la evaluación, y qué deben demostrar los proveedores de servicios externos y los servicios en la nube.

   Unos 28 minutos, seguidos de un cuestionario del módulo

3. 3

   Las 14 familias, parte 1: de Control de Acceso a Mantenimiento

   Control de Acceso, Toma de Conciencia y Capacitación, Auditoría y Rendición de Cuentas, Gestión de la Configuración, Identificación y Autenticación, Respuesta a Incidentes y Mantenimiento: qué pide cada familia en lenguaje sencillo y la evidencia que espera un evaluador.

   Unos 35 minutos, seguidos de un cuestionario del módulo

4. 4

   Las 14 familias, parte 2: de Protección de Medios a Integridad de Sistemas e Información

   Protección de Medios, Seguridad del Personal, Protección Física, Evaluación de Riesgos, Evaluación de Seguridad, Protección de Sistemas y Comunicaciones e Integridad de Sistemas e Información: qué pide cada una y la evidencia que debe conservar.

   Unos 35 minutos, seguidos de un cuestionario del módulo

5. 5

   El SSP, el POA&M, la puntuación y cómo se desarrolla una evaluación

   Qué contiene el plan de seguridad del sistema y el plan de acción e hitos, cómo funciona la puntuación de SPRS, los objetivos de evaluación de NIST SP 800-171A, los tres tipos de evidencia y qué ocurre durante una evaluación por un C3PAO.

   Unos 32 minutos, seguidos de un cuestionario del módulo

6. 6

   Construir un programa que apruebe

   Roles, el conjunto de políticas, lo que cada empleado tiene a su cargo, los fallos que con mayor frecuencia no producen ningún estado, una hoja de ruta de 12 meses, mantener el estado después de la evaluación y el camino hacia el Nivel 3.

   Unos 30 minutos, seguidos de un cuestionario del módulo

7. Examen final y certificado

   20 preguntas tomadas del banco del curso. Obtenga 70% o más para recibir su Certificado de Finalización.