O que é CMMC? Guia de Certificação & Conformidade em Cibersegurança

O que é CMMC?

A Cybersecurity Maturity Model Certification (CMMC) é um framework criado pelo Departamento de Defesa dos EUA (DoD) para melhorar a postura de segurança cibernética das empresas dentro da Base Industrial de Defesa (DIB). Estabelece requisitos de segurança que os contratados devem cumprir para proteger Informações Não Classificadas Controladas (CUI) e Informações de Contrato Federal (FCI) contra ameaças cibernéticas.

O framework CMMC integra padrões de segurança de NIST SP 800-171, NIST SP 800-53, ISO 27001, DFARS 252.204-7012 e outras regulamentações em um modelo em camadas para garantir que os contratados de defesa cumpram com as práticas de cibersegurança necessárias antes de trabalharem com o DoD.

Por que o CMMC foi criado

O CMMC foi introduzido para abordar vulnerabilidades de cibersegurança na cadeia de suprimentos de defesa e garantir que todos os contratados que manuseiam dados sensíveis do DoD sigam protocolos rigorosos de cibersegurança. Principais razões para sua introdução incluem:

• A necessidade de fortalecer a cibersegurança em toda a DIB contra ameaças cibernéticas crescentes
• Falha das organizações em implementar adequadamente o NIST SP 800-171, levando a lacunas de segurança
• Desejo de maior responsabilização por meio da verificação de prontidão em cibersegurança por terceiros

Papel do DoD na Conformidade de Cibersegurança

O DoD desempenha um papel central na conformidade com a cibersegurança por meio de:

• Definindo padrões de cibersegurança — O DoD estabelece políticas como CMMC, NIST SP 800-171 e DFARS (Suplemento de Regulamentação Federal de Aquisição de Defesa).
• Garantindo conformidade — O DoD exige que todos os contratados de defesa atendam aos requisitos de cibersegurança antes que possam ser contemplados com contratos.
• Realizando auditorias e avaliações — O Departamento de Defesa dos EUA trabalha em parceria com organizações de avaliação de terceiros do CMMC (C3PAOs) para avaliar a prontidão de cibersegurança dos contratados.
• Fornecendo orientação e recursos — O DoD emite diretrizes de cibersegurança e financia programas para ajudar pequenas e médias empresas a cumprirem os padrões CMMC.
• Monitoramento & resposta a ameaças cibernéticas — O DoD coordena com agências como a NSA, CISA e FBI para mitigar ameaças à cadeia de suprimentos de defesa.

A Evolução do CMMC: Do Conceito ao CMMC 2.0

Antes do CMMC, os contratados da defesa eram obrigados a seguir os controles de segurança NIST SP 800-171. No entanto, não havia uma verificação independente para confirmar se as medidas de cibersegurança estavam sendo implementadas corretamente; os contratados simplesmente tinham que autoatestar sua conformidade. Como resultado, muitos contratados não implementaram completamente os controles de segurança exigidos, e as violações cibernéticas na cadeia de suprimentos da defesa continuaram a aumentar.

Para abordar essas questões, o DoD introduziu o CMMC em 2019. O objetivo era proteger melhor os dados sensíveis da defesa padronizando as práticas de cibersegurança em todos os contratados do DoD e melhorar a responsabilidade exigindo a verificação independente da conformidade.

Principais Mudanças no CMMC 2.0

Em novembro de 2021, o DoD revisou o CMMC original para simplificar a conformidade e torná-lo mais acessível. As principais mudanças no CMMC 2.0 incluem:

• Redução de 5 níveis de maturidade para 3— Os três 0 níveis são Nível 1 (Fundamental), Nível 2 (Avançado) e Nível 3 (Especialista).
• Reintrodução de autoavaliações — Algumas organizações de Nível 1 e Nível 2 agora podem se autoavaliar anualmente em vez de exigir certificação de terceiros. No entanto, contratados que lidam com CUI de alta prioridade ainda precisam de avaliações de terceiros.
• Flexibilidade na remediação — Ao contrário do CMMC 1.0, o CMMC 2.0 permite que as organizações submetam Planos de Ação & Marcos (POA&Ms), concedendo-lhes tempo para corrigir deficiências enquanto ainda são elegíveis para contratos.
• Eliminação de práticas únicas do CMMC — O CMMC 1.0 incluía requisitos extras de cibersegurança além do NIST SP 800-171. O CMMC 2.0 os elimina e se alinha com os padrões federais existentes.
• Maior custo-efetividade e escalabilidade — A abordagem simplificada reduz custos para pequenas e médias empresas. As companhias agora têm diretrizes mais claras sobre o que precisam implementar.

Estrutura e Framework do CMMC

Como o CMMC se alinha com os padrões de cibersegurança do NIST

O CMMC está estreitamente alinhado com as diretrizes de cibersegurança existentes do National Institute of Standards and Technology (NIST), particularmente:

• NIST Special Publication (SP) 800-171 — Um conjunto de 110 controles de segurança que definem as melhores práticas para proteger CUI
• NIST SP 800-172 — Requisitos de segurança aprimorados para proteção de CUI em ambientes de alto risco
• NIST Cybersecurity Framework (CSF) — Um framework mais abrangente para melhorar a gestão de riscos de cibersegurança em diversos setores

O alinhamento garante que as organizações que já seguem o NIST 800-171 terão uma transição mais suave para a conformidade com o CMMC.

Visão geral dos três níveis de maturidade CMMC

CMMC 2.0 define três níveis de maturidade em cibersegurança:

• O Nível 1 (Fundamental) concentra-se em práticas básicas de higiene cibernética.
• O Nível 2 (Avançado) protege CUI exigindo práticas de segurança mais avançadas.
• Nível 3 (Especialista) é destinado a contratados que lidam com as informações controladas não classificadas mais sensíveis.

Níveis de Maturidade CMMC e Seus Requisitos

Nível 1: Cibersegurança Fundamental

O CMMC Nível 1 (Fundacional) serve como ponto de entrada para os contratados do DoD. Projetado para organizações que lidam com FCI, mas não processam, armazenam ou transmitem CUI, impõe o nível mais básico de requisitos de cibersegurança e exige apenas autoavaliação anual (sem necessidade de certificação por terceiros).

Requisitos de Segurança

As práticas do Nível 1 do CMMC são derivadas do Regulamento Federal de Aquisições (FAR) 52.204-21 (Proteção Básica dos Sistemas de Informação de Contratantes Cobertos). As 17 práticas de segurança estão divididas em 6 domínios, cada um com seus próprios subdomínios:

Quem precisa cumprir o Nível 1 do CMMC?

• Organizações que lidam com FCI, mas não com CUI
• Organizações que atuam como subcontratadas na DIB, mas não lidam com dados governamentais sensíveis
• Organizações que fornecem bens ou serviços não críticos ao DoD

Requisitos de Avaliação

• As organizações realizam uma autoavaliação anual e submetem os resultados ao DoD.
• Não é necessária certificação de terceiros, mas a conformidade deve ser documentada.
• Se escolhidas para uma auditoria, as organizações devem fornecer evidências de implementação das 17 práticas de segurança.

Nível 2: Proteção Avançada para Informação Controlada Não Classificada

O CMMC Nível 2 (Avançado) é projetado para estabelecer uma postura de cibersegurança robusta para prevenir o acesso não autorizado ao CUI. É necessário para organizações que lidam, processam, armazenam ou transmitem CUI.

Requisitos de Segurança

Os 110 controles de segurança do Nível 2 são divididos em 14 domínios com vários subdomínios:

Quem precisa cumprir o CMMC Nível 2?

• Organizações que lidam, processam ou armazenam CUI sob contratos do DoD
• Organizações que fazem parte da cadeia de suprimentos DIB
• Organizações que precisam cumprir os requisitos de segurança NIST SP 800-171

Requisitos de Avaliação

O nível 2 do CMMC exige que os contratados completem um dos dois tipos de avaliação:

• Avaliação de terceiros a cada 3 anos é necessária para contratados que lidam com CUI crítico; a certificação é exigida para ser elegível para contratos do DoD.
• Autoavaliação (anual) é permitida para contratados não priorizados com menores riscos de segurança. Os resultados devem ser relatados ao Supplier Performance Risk System (SPRS).

Nível 3: Segurança Cibernética de Nível Avançado para Contratantes de Alto Risco

O CMMC Nível 3 (Expert) representa o nível mais alto de maturidade em cibersegurança no quadro CMMC 2.0. É destinado a contratados que lidam com as informações controladas não classificadas (CUI) mais sensíveis em ambientes de alto risco.

Requisitos de Segurança

O CMMC Nível 3 se baseia no Nível 2 (NIST SP 800-171) ao introduzir controles de segurança adicionais do NIST SP 800-172. Esses controles fortalecem a capacidade de uma organização de detectar, responder e se recuperar de ameaças cibernéticas sofisticadas, incluindo ameaças persistentes avançadas (APTs).

Os domínios de segurança aprimorados no CMMC Nível 3 são fornecidos abaixo:

Quem precisa cumprir o nível 3 do CMMC?

• Organizações que lidam com CUI crítico para a segurança nacional
• Organizações que trabalham em contratos de alto valor do DoD exigindo proteção máxima contra ameaças de estados-nação
• Organizações que apoiam programas de defesa críticos para a missão

Requisitos de Avaliação

Ao contrário dos Níveis 1 e 2, que envolvem autoavaliações ou avaliações de terceiros, o CMMC Nível 3 exige uma avaliação liderada pelo governo a cada três anos. Realizada pelo Centro de Avaliação de Cibersegurança da Base Industrial de Defesa do DoD (DIBCAC), ela requer extensa documentação de controles de segurança e inclui testes de penetração e cenários simulados de ameaças cibernéticas.

Conformidade CMMC: O que significa para os contratados

Para contratados, a conformidade com o CMMC é um pré-requisito para fazer negócios com o DoD. Em outras palavras, a falha em atender ao nível de maturidade de cibersegurança exigido pode resultar em inelegibilidade para contratos governamentais.

Informações de Contrato Federal vs. Informações Controladas Não Classificadas

Compreender a diferença entre FCI e CUI é essencial para determinar o nível de conformidade CMMC necessário.

Processo de Avaliação CMMC e Requisitos de Certificação

O processo de certificação CMMC verifica se as organizações estão em conformidade com os padrões de cibersegurança antes de trabalharem com o DoD. A certificação é necessária para poder concorrer a contratos do DoD.

O tipo de avaliação depende do nível de maturidade CMMC exigido para o contrato:

Organizações de Avaliação de Terceiros Certificadas

Papel dos C3PAOs

Os C3PAOs são acreditados pelo Cybersecurity Maturity Model Certification Accreditation Body (CMMC-AB) para realizar avaliações formais de cibersegurança para empresas que buscam a certificação de Nível 2 do CMMC. Eles avaliam a conformidade com os requisitos de segurança do CMMC, incluindo controles técnicos, políticas e documentação. Após completar uma avaliação, os C3PAOs submetem os achados e recomendações ao CMMC-AB para revisão final. Se uma empresa atender aos requisitos, o CMMC-AB concede a certificação, que é válida por três anos.

Requisitos para C3PAOs

Para evitar conflitos de interesse, C3PAOs não podem atuar como consultores e avaliadores para a mesma empresa. C3PAOs passam por revisões e auditorias regulares para manter sua acreditação pelo CMMC-AB. Eles devem cumprir com padrões rigorosos de cibersegurança, incluindo os requisitos do Programa de Gestão de Risco e Autorização Federal (FedRAMP) se eles manuseiam CUI.

Selecionando um C3PAO

Empresas que buscam a certificação CMMC Nível 2 devem contratar um C3PAO aprovado do CMMC Marketplace, um diretório de organizações de avaliação acreditadas.

Cronograma para Implementação do CMMC e Prazos de Conformidade

The DoD released the Final Rule for CMMC in October 2024, setting the foundation for implementation and compliance in federal contracts. The final CMMC program rule officially became law on December 16, 2024.

Para dar aos contratados tempo para se adaptarem e obterem as certificações necessárias antes da aplicação total do CMMC, o lançamento ocorrerá em 4 fases ao longo de 3 anos:

Alcançando a Certificação CMMC

O que é a certificação CMMC?

Etapas para se tornar certificado CMMC

Papel das Organizações de Avaliação de Terceiros Certificadas (C3PAOs)

Cronograma para implementação do CMMC e prazos de conformidade

Preparando-se para uma Avaliação CMMC

Preparar-se para uma avaliação CMMC é crucial para organizações que desejam licitar ou trabalhar com o DoD. Aqui está um resumo dos requisitos principais, desafios comuns e ferramentas/recursos que podem ajudar na sua preparação.

Principais Requisitos a Cumprir Antes de uma Auditoria

Antes de passar por uma avaliação CMMC, as organizações devem tomar as seguintes medidas:

Processo de Certificação CMMC

1. Determine o nível de CMMC necessário.Se você lida com FCI (mas não com CUI), é o Nível 1; se você lida com CUI, é o Nível 2 ou 3.
2. Realize uma análise de lacunas. Compare suas políticas de cibersegurança atuais com os requisitos do CMMC para o seu nível exigido. Identifique controles ausentes e crie um plano de remediação. Desenvolva documentação para políticas de segurança, resposta a incidentes e gestão de riscos.
3. Desenvolva um Plano de Segurança do Sistema (SSP). Documente como suas políticas, procedimentos e controles de cibersegurança satisfazem os controles exigidos.
4. Crie um Plano de Ação e Marcos (POA&M). Se lacunas forem identificadas, elabore um plano de remediação estruturado com cronogramas para alcançar a conformidade total.
5. Implemente os controles de segurança necessários. Aplique controles de acesso, criptografia, MFA, monitoramento contínuo e outras medidas de segurança com base nos requisitos do seu nível CMMC.
6. Realize uma autoavaliação. Utilize o Guia de Avaliação CMMC do DoD para verificar se todos os controles necessários estão implementados corretamente.
7. Garanta que a documentação de conformidade esteja completa. Mantenha registros detalhados de todas as políticas, procedimentos e configurações de sistema de cibersegurança para fornecer evidências de conformidade durante a auditoria.
8. Treine os funcionários nas melhores práticas de cibersegurança. Garanta que todos os membros da equipe entendam suas políticas de segurança e obrigações de conformidade sob o CMMC.

Desafios Comuns de Conformidade e Como Superá-los

Alcançar a conformidade com o CMMC pode ser desafiador, especialmente para pequenos e médios contratados. Abaixo estão obstáculos comuns e soluções.

• Documentação incompleta — Certifique-se de criar um SSP abrangente detalhando os controles de segurança implementados e um plano de resposta a incidentes que descreva como sua organização irá identificar, responder e se recuperar de incidentes cibernéticos.
• Controles de acesso insuficientes — Reforce o princípio do menor privilégio usando RBAC e implemente MFA como parte de uma estrutura de Zero Trust. Certifique-se de implementar protocolos de criptografia apropriados.
• Falta de monitoramento contínuo — Fique atento a ameaças em tempo real usando ferramentas de monitoramento automatizado e SIEM.
• Vulnerabilidades de segurança na cadeia de suprimentos — Garanta que todos os seus fornecedores e subcontratados atendam aos requisitos do CMMC. Inclua cláusulas de cibersegurança nos contratos deles.
• Restrições orçamentárias — Para implementar os controles de segurança necessários com um orçamento apertado, aproveite ferramentas de conformidade acessíveis, solicite bolsas ou assistência financeira do DoD e priorize as lacunas de segurança de alto risco.

Ferramentas e Recursos para Preparação CMMC

Os seguintes recursos podem ajudá-lo com tarefas importantes enquanto você se prepara para a avaliação CMMC:

• Obtenha um entendimento mais profundo do CMMC — workshops e programas de treinamento do CMMC
• Avalie a prontidão da sua organização — Ferramentas de autoavaliação do CMMC Accreditation Body
• Implemente os controles necessários para o manuseio de CUI — NIST SP 800-171 Toolkit
• Obtenha ajuda completa — Consultores acreditados pela CMMC podem ajudá-lo a navegar pelo processo de conformidade, realizar uma análise de lacunas e preparar-se para a auditoria.

Quando estiver pronto para implementar controles de segurança específicos, considere ferramentas como as seguintes:

• Gestão de conformidade (acompanhar o progresso, implementar medidas de segurança e gerar a documentação necessária) — Vanta, Drata, CyberStrong
• Monitoramento em tempo real, alertas e relatórios — Sumo Logic, Splunk
• Avaliação e mitigação de riscos — RiskWatch
• Detecção de fraquezas de segurança — Tenable, Qualys, Nessus
• Autenticação forte — Okta, Microsoft Entra ID

Impacto do CMMC na Base Industrial de Defesa

Fortalecendo a Cibersegurança em Toda a Cadeia de Suprimentos de Defesa

A DIB é composta por milhares de contratados que lidam com informações sensíveis do DoD. Uma cibersegurança fraca em uma única empresa pode criar vulnerabilidades para toda a cadeia de suprimentos.

O CMMC exige práticas de cibersegurança fortes e consistentes em todos os fornecedores do DoD, o que ajuda a reduzir o risco de data breaches, espionagem e roubo de propriedade intelectual. Organizações com posturas de cibersegurança mais fracas, como pequenas empresas, podem precisar atualizar suas medidas de segurança para atender aos requisitos do CMMC.

A conformidade torna-se um requisito para contratos do DoD

A certificação CMMC está sendo integrada aos contratos do DoD até 2026 e eventualmente se tornará obrigatória para qualquer empresa que faça negócios com o DoD. Isso terá vários efeitos sobre o DIB:

• Os contratantes devem investir em conformidade ou arriscar perder contratos do DoD.
• Empresas com certificação CMMC obtêm uma vantagem competitiva na obtenção de contratos.

Impacto Financeiro e Operacional nos Contratantes de Defesa

A obtenção da certificação CMMC geralmente envolve uma variedade de despesas, incluindo as seguintes:

• Consultores de cibersegurança para ajudar a projetar e implementar controles de segurança
• Investimentos em tecnologia, como criptografia, MFA e ferramentas de monitoramento
• Aumento da carga de trabalho de TI para desenvolver, documentar e gerenciar políticas e controles de segurança
• Treinamento para todo o pessoal
• Avaliações: As avaliações de Nível 2 e Nível 3 realizadas por C3PAOs podem variar de $10.000 a mais de $100.000, dependendo do tamanho e da complexidade da empresa, e são necessárias a cada três anos; a autoavaliação de Nível 1 (anual) pode ser alcançada a um custo menor, mas ainda exige documentação.
• Multas por não conformidade
• Receita perdida por perder contratos

Os principais impactos no DIB provavelmente incluirão o seguinte:

• Grandes empreiteiros se adaptarão rapidamente enquanto pequenas empresas podem ter dificuldades para obter a certificação.
• A demanda por profissionais de cibersegurança e consultores CMMC vai crescer.
• Os custos de conformidade podem levar a uma maior consolidação.

Segurança mais rigorosa da Cadeia de Suprimentos & Gestão de Fornecedores

Sob o CMMC, os contratantes principais devem garantir que todos os subcontratados atendam aos requisitos de nível CMMC necessários — as empresas devem avaliar a segurança do fornecedor antes de formar parcerias.

A maior demanda por fornecedores compatíveis com CMMC proporcionará às empresas conformes uma vantagem competitiva. No entanto, a possível redução no número de subcontratados elegíveis pode prejudicar a flexibilidade da cadeia de suprimentos.

Vantagem Competitiva para os Primeiros Adotantes

As empresas que obtiverem a certificação CMMC antecipadamente terão uma vantagem estratégica sobre os concorrentes na obtenção de contratos e parcerias do DoD. De fato, os primeiros adotantes provavelmente dominarão as oportunidades de contratos do DoD.

Futuro do CMMC e Conformidade com a Cibersegurança

O CMMC continuará a evoluir. Versões futuras do CMMC poderão introduzir:

• Mais requisitos em torno da automação e monitoramento contínuo
• Mandatos para adotar os princípios de segurança Zero Trust
• Requisitos para usar provedores de serviços em nuvem seguros (por exemplo, FedRAMP High)
• Aplicabilidade a setores governamentais além do DoD

Para se manterem à frente, as organizações devem:

• Monitore atualizações do Office of the CIO e Cyber AB do DoD.
• Participe de grupos de trabalho, compareça a dias da indústria e participe de webinars.
• Mantenha programas de cibersegurança flexíveis que possam se adaptar a novos requisitos.

Pense além do DoD: Posicione-se para futuras regulamentações

Modelos de maturidade em cibersegurança como o CMMC estão ganhando relevância rapidamente muito além do DoD. Aqui está alguma informação sobre o porquê e onde esses modelos estão se expandindo, e o que isso significa para os negócios.

Expansão do Cenário Regulatório

Embora o CMMC tenha começado como uma iniciativa do DoD, outras agências federais e setores estão começando a adotar modelos semelhantes para gerenciar o risco cibernético em suas cadeias de suprimentos. Agências que agora estão referenciando o NIST SP 800-171 ou investigando frameworks alinhados ao CMMC em seus próprios contratos incluem:

• GSA (Administração de Serviços Gerais)
• DHS (Departamento de Segurança Interna)
• DOE (Departamento de Energia)
• NASA (Administração Nacional da Aeronáutica e Espaço)

O Setor Comercial Está Prestando Atenção

Indústrias como finanças, saúde, energia e manufatura estão sob crescente pressão para proteger seus ecossistemas digitais. Os fatores que impulsionam essa mudança incluem os seguintes:

• Os ataques de ransomware e ataques à cadeia de suprimentos estão em ascensão.
• Clientes, investidores e seguradoras estão exigindo evidências de maturidade cibernética.
• Órgãos reguladores como SEC, HIPAA e NERC estão reforçando as regras de segurança e de relatórios.

Maturidade Cibernética como uma Vantagem Competitiva

Organizações que adotam modelos de maturidade estruturados podem:

• Ganhe mais contratos comprovando que são seguros e estão em conformidade
• Negocie prêmios de seguro cibernético melhores
• Construa confiança com parceiros e clientes
• Responda mais rapidamente a auditorias, incidentes e mudanças regulatórias

Implicações de Seguros e Jurídicas

Provedores de seguros cibernéticos e equipes jurídicas estão utilizando cada vez mais os níveis de maturidade cibernética para:

• Defina as taxas de política
• Avalie a responsabilidade e a exposição ao risco
• Lide com a resposta a violações e litígios

Empresas com documentação clara, controles testados e um modelo de maturidade estabelecido são muito mais defensáveis no caso de um incidente cibernético.

Rumo a Padrões Globais

O alinhamento internacional também está crescendo. Países e alianças como a OTAN estão explorando ou adotando modelos ao estilo do CMMC para garantir a segurança de suas próprias cadeias de suprimentos de defesa e infraestrutura crítica.

Movimentos notáveis incluem:

• Cyber Essentials Plus do Reino Unido
• Diretiva NIS2 da UE
• Integrações de maturidade ISO/IEC 27001
• Empresas multinacionais estão adotando frameworks NIST globalmente

Conclusão

O CMMC é um framework vital porque estabelece uma abordagem padronizada e aplicável para proteger dados sensíveis do governo em toda a cadeia de suprimentos da defesa. Ele transforma a cibersegurança de uma função de TI reativa para uma responsabilidade proativa em toda a organização.

A conformidade com o CMMC deixou de ser opcional — tornou-se uma necessidade competitiva. Organizações de ambos os setores público e privado que adotarem uma postura proativa agora não apenas atenderão aos requisitos do DoD, mas também se posicionarão como parceiros confiáveis e resilientes.

FAQ

O que o CMMC faz?

CMMC é a sigla para Certificação do Modelo de Maturidade em Cibersegurança. Define práticas específicas de cibersegurança e níveis de maturidade que os contratados do DoD devem atender, com base na sensibilidade dos dados que manuseiam. Proteger adequadamente a Informação Não Classificada Controlada (CUI) e a Informação de Contrato Federal (FCI) aumenta a segurança da Base Industrial de Defesa (DIB).

Qual é a diferença entre CMMC e NIST?

Embora o CMMC e o National Institute of Standards and Technology (NIST) estejam intimamente relacionados no mundo da cibersegurança — especialmente para contratados da defesa — eles servem a propósitos diferentes. Aqui estão as principais diferenças.

Quais são os 3 níveis do CMMC?

Os três níveis de maturidade definidos no CMMC 2.0 são:

Consulte a seção Desmembramento dos Níveis e Requisitos do CMMC para uma discussão detalhada dos três níveis.

Como uma organização pode obter a certificação CMMC?

Obter a certificação CMMC envolve um processo estruturado para avaliar e validar as práticas de cibersegurança da sua organização:

1. Determine qual nível (1, 2 ou 3) seus contratos ou trabalho esperado exigem.
2. Compare sua postura atual de cibersegurança com os requisitos para o seu nível alvo para identificar controles ausentes, lacunas na documentação e problemas de processo.
3. Desenvolva um Plano de Segurança do Sistema (SSP) e um Plano de Ação e Marcos (POA&M).
4. Implemente os controles de segurança necessários.
5. Contrate um C3PAO (para avaliações de Nível 2).
6. Submeta-se à avaliação.

Veja as seções Processo de Avaliação CMMC e Requisitos de Certificação e Preparação para uma Avaliação CMMC para detalhes.

A certificação CMMC vale a pena?

Sim, a certificação CMMC é absolutamente valiosa para muitas organizações, especialmente aquelas que trabalham ou buscam trabalhar com o Departamento de Defesa dos EUA (DoD) e outras agências federais. As principais razões incluem o seguinte:

• CMMC é necessário para licitar e ganhar muitos contratos do DoD.
• O CMMC ajuda você a identificar e fechar lacunas na sua segurança. Como resultado, você pode reduzir o risco de violações de dados e tempo de inatividade por causas como ransomware, phishing e ataques à cadeia de suprimentos.
• Ser certificado destaca você dos concorrentes que não estão em conformidade — mesmo no setor privado.
• O CMMC está alinhado com os padrões NIST que estão sendo adotados além do DoD. Portanto, ao se tornar compatível com o CMMC, você estará melhor posicionado para futuras regulamentações federais, estaduais e do setor.