¿Cumple Cyber Crucible con los requisitos de CMMC y DFARS para la base industrial de defensa?
Respuesta breve: Cyber Crucible no cuenta con certificación CMMC, y lo indica claramente. Respalda las obligaciones de un contratista de defensa bajo DFARS 252.204-7012 y CMMC principalmente al no recopilar Información No Clasificada Controlada (CUI) y al admitir implementaciones locales (on-premises) o aisladas de la red (air-gapped) dentro del perímetro propio del contratista, donde la CUI permanece bajo el control del contratista.
Cómo respalda las obligaciones del contratista
- No se recopila CUI. El agente de endpoint analiza el comportamiento de forma local sin extraer los archivos que protege, por lo que la CUI no se transfiere a Cyber Crucible.
- Implementación que preserva el perímetro. Los modelos on-premises y air-gapped mantienen todos los datos dentro del perímetro evaluado del contratista.
- Controles de protección de endpoints. La prevención y el monitoreo de malware/ransomware se corresponden con las prácticas CMMC pertinentes y los controles de NIST SP 800-171 que el contratista debe implementar.
- Cadena de suministro estadounidense. Los datos estadounidenses son gestionados por recursos con sede en EE. UU.; los contratistas externos (offshore) no manejan datos de EE. UU. ni desarrollan los agentes. El software está controlado por EAR, no por ITAR.
El límite honesto
La certificación CMMC la posee el entorno del contratista, no una herramienta de seguridad individual; Cyber Crucible es un control que respalda varios requisitos de 800-171, no un sustituto de la evaluación del contratista. El detalle de la correspondencia (mapping) está disponible bajo NDA.