La decisión del Departamento de Guerra de revisar los requisitos de evaluación de la fase 2 del CMMC refleja una tensión real en el núcleo de la contratación en materia de defensa: los marcos de ciberseguridad deben reforzar la base industrial de defensa, no excluir a los proveedores más pequeños por motivos de precio. Esa tensión es legítima. La capacidad de evaluación de terceros, las barreras económicas y la complejidad de la implementación han frenado la participación. La revisión estaba justificada.

La revisión modifica el calendario de cumplimiento, pero no el panorama de amenazas. Los adversarios siguen dirigiendo sus ataques contra las redes de los contratistas de defensa, las comunicaciones de los directivos y los flujos de trabajo móviles. La información controlada (CUI) y la información de carácter sensible (FCI) siguen estando expuestas siempre que los contratistas utilicen herramientas no gestionadas, canales no seguros o plataformas de mensajería comerciales que nunca se diseñaron para casos de uso relacionados con la seguridad nacional.

Para las empresas contratistas del sector de la defensa, la cuestión inmediata no es si la certificación CMMC está vigente en una fecha concreta, sino si la organización podría demostrar un nivel de seguridad documentado y justificable en caso de ser sometida a un escrutinio hoy mismo. Ese nivel de seguridad depende de lo que ocurra en tiempo real en todos los dispositivos y canales que utiliza la plantilla.

Qué significa realmente la suspensión del CMMC para los contratistas del sector de la defensa

La revisión de la Fase 2 del CMMC por parte del Departamento de Defensa (DoW) no suprime las obligaciones existentes. Los contratistas siguen estando sujetos a la norma DFARS 252.204–7012, que exige medidas de seguridad adecuadas para la información de defensa protegida. La norma NIST SP 800–171 sigue siendo la referencia. Lo que cambia es el calendario de la certificación por parte de terceros, no la obligación de proteger la información sensible.

Las organizaciones que interpretan esta pausa como una autorización para posponer las inversiones en seguridad pueden verse expuestas a riesgos operativos y contractuales cuando se reanude el marco. Además, siguen siendo vulnerables en estos momentos ante los adversarios contra los que se diseñó el CMMC.

La base industrial de defensa es un objetivo de gran valor. Los actores estatales y las organizaciones sofisticadas de ciberdelincuentes exploran habitualmente las redes de los contratistas en busca de acceso a datos confidenciales de los programas, información sobre la cadena de suministro y comunicaciones relacionadas con las misiones.

Dónde es más vulnerable la información confidencial

Los marcos de seguridad suelen centrarse en los perímetros de red y en la infraestructura informática. Ese enfoque es necesario, pero no suficiente. La información sensible en materia de defensa circula a través de cadenas de correo electrónico, aplicaciones de mensajería móvil, llamadas de voz, plataformas para compartir archivos y herramientas de colaboración distribuidas.

Es aquí donde el riesgo suele ser mayor. Las plataformas de mensajería comercial, como WhatsApp, Telegram y los SMS convencionales, carecen de un control centralizado de las políticas, de una verificación continua de la identidad y de protección de los metadatos para las comunicaciones de importancia crítica.

Los metadatos suponen un riesgo que a menudo se subestima. Aunque el contenido de los mensajes esté cifrado, las marcas de tiempo, los registros de llamadas, las identidades de los participantes y los patrones de comportamiento pueden revelar información operativa sensible. Para los contratistas del sector de la defensa que colaboran con organismos gubernamentales, esa exposición es importante.

Las comunicaciones diseñadas para ser seguras, certificadas según normas de nivel gubernamental e implementadas con pleno control por parte de la organización, abordan estas vulnerabilidades de forma directa.

Cómo es una postura de seguridad sólida durante la pausa

Para contar con una estrategia de seguridad sólida no es necesario disponer ya de la certificación CMMC. Lo que sí se requiere son prácticas de seguridad documentadas, medidas de protección eficaces en todos los flujos de trabajo operativos y herramientas de comunicación que reduzcan el riesgo en lugar de generarlo.

En el caso de las empresas del sector de la defensa, la situación actual debería evaluarse desde varias perspectivas.

Verificación de identidad: Todos los participantes en una comunicación confidencial deben estar expresamente autorizados y ser objeto de una verificación continua. Las aplicaciones para consumidores autentican a los usuarios mediante su número de teléfono, no mediante su identidad organizativa.

Comunicaciones cifradas en todos los canales: el cifrado de extremo a extremo para llamadas, mensajes y el intercambio de archivos es un requisito mínimo para cualquier herramienta que maneje información clasificada (CUI) o información de seguridad (FCI). Un cifrado que solo cubra una parte de la cadena de comunicación deja brechas que los adversarios acabarán por detectar.

Exposición cero de metadatos: Una plataforma de comunicaciones segura debe proteger los metadatos, impidiendo que los adversarios puedan analizar el comportamiento de la organización, las relaciones entre el personal y los patrones operativos.

Control centralizado de las políticas y visibilidad del cumplimiento normativo: A diferencia de las alternativas destinadas al mercado de consumo, una plataforma de comunicaciones seguras de nivel gubernamental ofrece a los equipos de seguridad una supervisión centralizada, una retención de datos configurable y registros auditables. Estas capacidades permiten realizar autoevaluaciones fundamentadas y reducen la carga que supone la documentación de cumplimiento normativo.

Flexibilidad de implementación: No todos los entornos de los contratistas son iguales. Algunos requieren soluciones alojadas en la nube. Otros necesitan una implementación local o entornos aislados sin conexión con el exterior y sin infraestructura externa. La compatibilidad con múltiples modelos de implementación ayuda a los contratistas a adaptar la seguridad de las comunicaciones a sus requisitos operativos y contractuales.

Por qué las comunicaciones seguras deberían formar parte de los requisitos básicos del CMMC

La revisión del CMMC ofrece a los responsables políticos y a los contratistas la oportunidad de hacer que los requisitos de ciberseguridad sean más viables. Un marco que, por su coste, excluya a los proveedores más pequeños de la base industrial de defensa frustra su propio objetivo. Sin embargo, la viabilidad no puede suponer una menor seguridad. Debe dar lugar a controles que sean más fáciles de implementar, más fáciles de verificar y más difíciles de eludir para los adversarios.

Las comunicaciones seguras cumplen ese requisito. Una solución de comunicaciones certificada y cifrada ofrece a los contratistas un entorno regulado para mantener conversaciones confidenciales, intercambiar archivos y llevar a cabo actividades de coordinación a través de canales que cumplen con los estándares de seguridad de nivel gubernamental.

Ese es el tipo de control práctico y escalable que necesita la base industrial de defensa. BlackBerry® Secure Communications favorece un enfoque basado en el riesgo para proteger las comunicaciones de alto valor sin añadir obstáculos innecesarios a las operaciones diarias. La seguridad para los casos de uso relacionados con la seguridad nacional debe ser lo suficientemente sólida como para inspirar confianza y lo suficientemente sencilla como para que la adopten plantillas numerosas, heterogéneas y móviles.

Certificada y validada según las normas FIPS, Criterios Comunes, FedRAMP Clase D (Alta) y las normas restringidas de la OTAN, BlackBerry Secure Communications ofrece el nivel de garantía que requieren los entornos sensibles en materia de defensa. Los contratistas que trabajan tanto en ámbitos clasificados como no clasificados, o que se coordinan con múltiples organismos y subcontratistas, necesitan una solución diseñada específicamente para esa complejidad.

La implicación más amplia: la seguridad de la cadena de suministro depende del eslabón más débil

La seguridad de las cadenas de suministro del sector de la defensa depende del participante más vulnerable. Es posible que los grandes contratistas principales cuenten con programas de seguridad bien consolidados. Los subcontratistas más pequeños y los proveedores no tradicionales, en cambio, a menudo carecen de ellos, aunque con frecuencia intercambian información sensible con los contratistas principales y los organismos gubernamentales.

Esa vulnerabilidad es precisamente para lo que se diseñó el CMMC, y no desaparece durante el periodo de revisión. Los atacantes saben que los contratistas más pequeños pueden estar menos protegidos. También saben que los canales de comunicación entre los contratistas y los clientes gubernamentales son objetivos valiosos.

Proteger esos canales requiere algo más que seguridad perimetral. Requiere comunicaciones seguras desde su diseño que funcionen más allá de los límites de la organización, que faciliten la interoperabilidad entre organismos y contratistas, y que mantengan unos estándares de seguridad coherentes independientemente de quién inicie la conversación.

Una solución que cifra las comunicaciones de extremo a extremo, verifica la identidad de cada participante, protege los metadatos y admite configuraciones de implementación que van desde la nube hasta entornos totalmente aislados físicamente cumple este requisito a nivel de la cadena de suministro, y no solo a nivel de cada contratista individual.

Convertir la pausa en progreso

Durante la evaluación del CMMC, todo contratista del sector de la defensa debería ser capaz de responder a una pregunta: ¿cuál es nuestra situación actual en materia de seguridad, independientemente de cuáles sean los requisitos de certificación que estén formalmente en vigor?

Las organizaciones que aprovechen este periodo para reforzar la seguridad operativa, documentar sus prácticas e implementar medidas de protección prácticas estarán mejor preparadas cuando se reanuden los requisitos de la Fase 2. Las organizaciones que consideren esta pausa como una excusa para esperar se verán obligadas a ponerse al día en materia de seguridad y cumplimiento normativo al mismo tiempo, bajo una mayor presión de tiempo y en un entorno de amenazas que no ha dejado de evolucionar.

El marco CMMC, en esencia, existe porque la amenaza es real. Esta revisión es una señal de que el camino hacia el cumplimiento debe ser más factible. Los contratistas del sector de la defensa deberían tomarse en serio esta señal: reforzar la seguridad ahora mismo y participar en el proceso de cumplimiento a medida que este evoluciona.

Las comunicaciones seguras son un buen punto de partida. Abordan una vulnerabilidad operativa real, son aplicables en diversos entornos de contratistas y se ajustan a las prácticas de seguridad documentadas que exige una autoevaluación defendible.