Preparación para CMMC: Level 1 y Level 2

Su contrato tiene una cláusula DFARS. ¿Quién la cumple?

Hasta ahora, nadie, y hasta la renovación eso no cambiaba nada. Ahora una oferta sin nivel confirmado ni siquiera se admite a revisión. El requisito está en las condiciones de la licitación, no en la buena voluntad de nadie, y no se quita hablando con el cliente.

Cuanto más estrecho el alcance, más barato

Primero estrechamos el alcance: vemos qué sistemas tocan realmente la información del cliente y dejamos fuera todo lo demás. Cuantos menos sistemas dentro, menos requisitos y más barato sale todo el programa.

El Level 1 se cierra al pie de la letra: quince requisitos, los papeles redactados, la autoevaluación presentada y un firmante al que acompañamos hasta la firma. El alcance es igual para todos, así que el precio se sabe de antemano, no al terminar.

El Level 2 son ciento diez requisitos, un sitio aparte para la información del cliente, un plan de trabajo y una puntuación en el registro estatal. En la evaluación estamos sentados a su lado.

Qué incluye el programa

incluido: Alcance de los sistemas: cuáles tocan la información del cliente
incluido: Qué falta frente a los requisitos de su nivel y el plan
incluido: Políticas y procedimientos por escrito y los papeles redactados
incluido: Cálculo de la puntuación y su carga en el registro estatal SPRS
incluido: Preparación y presentación de la autoevaluación, acompañamiento del firmante
incluido: Acompañamiento en la evaluación y respuestas al evaluador
incluido: La confirmación anual y la vigilancia de los sistemas
se paga al proveedor: Los honorarios del evaluador independiente C3PAO y las licencias, según factura

Su precio

Level 1

$3,360 pago único

Treinta horas: los quince requisitos de la norma.

Qué incluye el nivel

incluido: El alcance, quince requisitos, la autoevaluación y el firmante
incluido: Renovación de la confirmación: $895 al año

Level 2

desde $15,300 por la preparación

Ciento diez requisitos y una puntuación en el registro.

Qué incluye el nivel

incluido: Qué falta de los ciento diez requisitos y un sitio aparte
incluido: Plan de trabajo, puntuación en SPRS y acompañamiento en la evaluación C3PAO
incluido: Vigilancia de los sistemas: $1,230 al mes

Servicios adicionales

no incluido: Pentest externo para el requisito del evaluadordesde $4,480
no incluido: Vigilamos los ataques las 24 horas$18 por equipo al mes
no incluido: Director de seguridad a tiempo parcialdesde $2,500 al mes
no incluido: Preparación SOC 2 y mantener el Type 2desde $2,250
no incluido: Cuestionarios que le ha enviado el cliente$1,350 por cuestionario
no incluido: Si le atacan, lo resolvemos, mes a mes$670 al mes
no incluido: Copias de seguridad y comprobación de que se restauran$1,340 por sede
no incluido: Preparación para renovar el ciberseguro$2,250 pago único

Preguntas

¿Qué nivel necesitamos exactamente?

Mire el contrato: allí figuran la cláusula y el tipo de información. Si solo se trata de información sobre el propio contrato, es Level 1. Si aparece información protegida del cliente, es Level 2. Leemos el contrato antes de facturar.

¿Hacen el nivel 3?

Lo asumimos, pero no damos precio de inmediato. En el tercer nivel evalúa un organismo del Estado, no un evaluador comercial, y el volumen de trabajo depende por completo del alcance de los sistemas. Primero fijamos el alcance, luego calculamos.

¿Cuánto se tarda en estar listos para la evaluación?

El Level 1 se resuelve en semanas, porque la norma fija los requisitos al pie de la letra. El Level 2 se mide en trimestres y depende de una sola cosa: de lo estrecho que logramos dejar el alcance en el primer paso.

¿Perdemos el contrato si no llegamos a tiempo?

Sí. Una oferta sin nivel confirmado no se admite a revisión: es una condición de la licitación, no una opinión nuestra. Por eso planificamos hacia atrás desde la fecha de presentación, y usted recibe el primer plan de trabajo antes de pagar, no después.

Preparación para CMMC