Evidencia continua de CMMC nivel 2 y NIST 800-171
Por qué los contratistas de defensa abandonan la autoevaluación anual
01Su puntuación solo es cierta el día en que la calcula. Todo lo que viene después es una suposición.
Continuo, no anual
Los controles se evalúan cada día frente a telemetría en vivo, en lugar de reconstruirse una vez al año para el evaluador.
CUI localizada en todo momento
La información no clasificada controlada (CUI) se identifica y etiqueta dentro de la capa de datos, de modo que siempre sabe dónde reside y quién la ha tocado.
Evidencia que se demuestra a sí misma
Cada estado de control está respaldado por un evento de sistema firmado, no por una captura de pantalla tomada la semana antes de que llegue el C3PAO.
Un motor, muchos marcos
El mismo evento satisface las obligaciones de CMMC, FedRAMP y NIST CSF sin un segundo programa de evidencia.
Lo que sus equipos de defensa y cumplimiento pueden automatizar
02Un motor para todo el ciclo de reporte al DoD: desde la sanitización de la CUI hasta la evaluación continua de CMMC y la gestión del POA&M.
Cumplimiento continuo de CMMC 2.0
Asigne la telemetría de red en vivo directamente a los controles de NIST 800-171 y CMMC nivel 2/3 en tiempo real, superando las autoevaluaciones anuales y estáticas.
Rastreo de datos CUI y FCI
Identifique, etiquete y supervise la información no clasificada controlada en toda su infraestructura a medida que fluye por la capa de datos.
Generación automatizada del SSP
Redacte y actualice su plan de seguridad del sistema (SSP) de forma dinámica a partir de la configuración real y los datos de eventos de su entorno en tiempo real.
Gestión del POA&M en tiempo real
Genere y rastree automáticamente las tareas del plan de acción e hitos (POA&M) en el milisegundo en que se detecta el fallo de un control técnico.
Supervisión del enclave seguro
Ingiera y valide de forma continua los registros de protección perimetral para garantizar el aislamiento total de sus entornos de datos federales.
Preparación para el reporte de incidentes
Detecte amenazas avanzadas mediante clasificación con IA y redacte automáticamente el informe de incidente cibernético que el DoD exige en 72 horas, con el análisis forense requerido.
Verificación de acceso e identidad
Correlacione los registros de autenticación y los eventos de acceso en todo el pipeline para garantizar la aplicación estricta del "mínimo privilegio" en el acceso a la CUI.
Integración del riesgo de la cadena de suministro
Supervise e ingiera el estado de cumplimiento de sus subcontratistas para garantizar que los requisitos de CMMC se transmiten a toda su base de proveedores.
Mapeo multimarco
Cumpla simultáneamente los requisitos de CMMC, FedRAMP y NIST CSF orquestando un único evento de seguridad en varios dominios de cumplimiento federal.
Autoevaluación anual frente a un motor federal continuo
03La mayoría de las herramientas de preparación producen una puntuación una vez al año. Despliegue cualquier fila para ver qué produce la diferencia.
Un taller anual produce una puntuación SPRS que empieza a desviarse al día siguiente de presentarse.
Artefacto habitual Puntuación en hoja de cálculo sin trazabilidad de eventos que la respalde.
La telemetría en vivo se asigna a cada práctica de NIST 800-171 a medida que llegan los eventos, de modo que el estado de los controles está siempre actualizado.
Prueba producida
- Cronología por práctica de cada evento superado y fallido
- Alertas de desviación con marca de tiempo y el evento de sistema que las activó
Los escaneos de descubrimiento localizan la CUI cuando ya se ha propagado a recursos compartidos, buzones y copias de seguridad fuera del enclave.
Artefacto habitual Ticket de remediación con la lista de archivos expuestos.
La CUI y la FCI se identifican y etiquetan en el flujo, de modo que los datos controlados se rastrean desde el momento en que aparecen.
Prueba producida
- Registro de etiquetado por flujo de datos con la política de tratamiento aplicada
- Mapa de límites de los sistemas demostrablemente fuera del enclave
Un documento escrito una vez y editado a mano que describe una arquitectura que ya ha cambiado.
Artefacto habitual Documento de Word estático con una fecha de revisión obsoleta.
El SSP se genera a partir de la configuración y los datos de eventos reales, por lo que describe el entorno tal como funciona hoy.
Prueba producida
- SSP versionado con la fuente de configuración de cada afirmación
- Registro de cambios que vincula cada revisión con el evento que la provocó
Las brechas se descubren durante la preparación de la evaluación, semanas o meses después de que el control fallara realmente.
Artefacto habitual Lista POA&M elaborada justo antes de la auditoría.
Un elemento del POA&M se abre, se asigna y se rastrea en el momento en que falla un control técnico, con la evidencia del fallo adjunta.
Prueba producida
- Entradas del POA&M con marca de tiempo de detección e historial de remediación
- Evidencia de cierre que muestra el control superado de nuevo
Cada marco se gestiona como un programa independiente, con sus propios responsables, cuestionarios y recopilación de evidencia.
Artefacto habitual Evidencia duplicada por cada marco.
Un evento se asigna a todos los marcos que satisface, de modo que CMMC, FedRAMP y NIST CSF avanzan juntos.
Prueba producida
- Mapa de cobertura entre marcos por evento de control
- Informe de brechas que muestra solo los requisitos realmente no cubiertos
Cómo funciona el motor
04Cuatro etapas que se ejecutan de forma continua a lo largo del ciclo de reporte al DoD.
Ingerir
Los registros del perímetro del enclave, los eventos de identidad, la telemetría de endpoints y las certificaciones de los subcontratistas fluyen hacia un único pipeline gobernado.
Clasificar
La CUI y la FCI se identifican y etiquetan en tránsito, de modo que los datos controlados se rastrean allá donde se muevan.
Evaluar
Cada evento se puntúa frente a las prácticas de NIST 800-171 y CMMC nivel 2/3, abriendo elementos del POA&M en el instante en que falla un control.
Demostrar
El SSP, el POA&M y los informes de incidentes se generan a partir de esa evidencia y se mantienen listos para la auditoría de su C3PAO.
Los controles CMMC que DECIMA ejecuta
059 prácticas de NIST 800-171 evidenciadas de forma continua en todo el enclave, para que su puntuación sea cierta cualquier día.
- AC.L2-3.1.1Acceso al sistema limitado a usuarios y dispositivos autorizados7 fuentesAutomatizado
- AC.L2-3.1.5Mínimo privilegio revisado frente al uso real4 fuentesDecisión humana
- IA.L2-3.5.3Autenticación multifactor para cuentas privilegiadas5 fuentesAutomatizado
06Experimente DECIMA en acción
Cargue la evidencia, observe cómo DECIMA evalúa cada control automáticamente y cómo las decisiones de cumplimiento se sellan paso a paso.
Consola de evidenciaEjecución en vivo
CMMC 2.0 Nivel 2
Información no clasificada controlada bajo DFARS 252.204-7012: plan del sistema, POA&M y control de acceso.
- Documentos
- 3
- Controles
- 4
- Marcos
- 1
Su decisión
CMMC AC.L2 — Revisión de accesos con privilegios mínimos
Marcado para remediación. Se notifica al responsable del control y la brecha permanece visible en el paquete.
- Hash de la evidencia
- a41f9c07e2b5…d38e
- Sellado
- 31 de octubre de 2026
- Firmado por
- Responsable de cumplimiento
Puntaje SPRS y afirmación
El paquete sellado se convierte en el puntaje que ve el Departamento de Defensa y en la afirmación que firma su directivo de alto nivel.
- PuntuarPuntaje calculado sobre las 110 prácticas, un elemento abierto en el plan de acciónCompletado
- AfirmarAfirmación de Nivel 2 redactada para el directivo de alto nivelCompletado
- EnviarPuntaje y fecha de evaluación publicados en SPRSCompletado
- SellarHash del paquete calculado y adjuntado al envíoCompletado
- Puntaje SPRS
- 107 de 110
- Afirmación
- Nivel 2, pendiente de firma
Envío de demostración — nada se publica en SPRS desde esta página.
Esto es exactamente lo que recibe el auditor — la misma ejecución, los mismos artefactos, las mismas decisiones.
Preguntas sobre CMMC, respondidas
07Lo que preguntan los contratistas de defensa antes de pasar a la evidencia continua.
Deje de prepararse para la evaluación. Manténgase preparado para ella.
Tráiganos un enclave y le mostraremos la evidencia CMMC que un motor continuo produce a partir de él.
Reserve una sesión de trabajo