Evaluador CMMC

Pregunta de muestra 1

Usted es el Evaluador Certificado Líder de CMMC (Lead CCA) en Bellwood Assurance Group, una Organización de Evaluación de Terceros de CMMC (C3PAO), y está delimitando el alcance de una evaluación de certificación de Nivel 2 de Tanager Precision Machining, una Organización que Busca la Certificación (OSC) que fabrica herramental bajo un contrato del Departamento de Defensa (DoD) y procesa Información No Clasificada Controlada (CUI) en su sistema de planeación de recursos empresariales (ERP). El director de tecnologías de la información de Tanager le comenta que la empresa completó su propia revisión interna de preparación el trimestre pasado, la cual cubrió el mismo límite de sistema y los mismos requisitos que Bellwood está contratada para evaluar, y le pregunta si Bellwood puede tratar esa revisión como el cumplimiento de la fase de planeación y preparación, de modo que el trabajo de campo pueda comenzar la próxima semana sin que Bellwood produzca su propio entregable por separado. ¿Cuál de las siguientes opciones establece correctamente lo que la fase de planeación y preparación todavía exige de Bellwood?

1. A.Bellwood puede adoptar la revisión interna de preparación de Tanager como su entregable de planeación y preparación, registrarla en el expediente de evaluación y llevarla a la revisión de evidencia y las entrevistas de la fase de ejecución, ya que ambos documentos cubren el mismo límite de sistema y los mismos requisitos.
2. B.Bellwood todavía tiene que confirmar independientemente el alcance y la preparación, completar su propio Pre-Assessment Form, obtener una revisión de calidad y cargar el formulario en CMMC eMASS antes de que empiece el trabajo de campo. La revisión interna de preparación de Tanager puede servir de insumo para ese trabajo, pero no sustituye estos pasos exclusivos de la C3PAO, con los que concluye la fase de planeación y preparación.
3. C.Debido a que la revisión interna de preparación de Tanager ya validó el límite de sistema, Bellwood puede limitar su fase a confirmar horarios de entrevistas, gestionar el acceso al sitio y asignar al equipo, ya que la validación de alcance es un paso que la OSC ya completó y que el equipo de evaluación no necesita repetir.
4. D.Bellwood debe dejar que el trabajo de campo comience la próxima semana como pide Tanager, armar el plan de evaluación a partir de las notas y el calendario de entrevistas que el equipo genere durante la revisión de evidencia, obtener después su revisión de calidad y cargarlo antes de que inicie la fase de informe, ya que el proceso de evaluación no fija el orden de esos pasos.

Pregunta de muestra 2

Usted es un Evaluador Certificado de CMMC (CCA) que realiza la revisión de evidencia para una evaluación de certificación de Nivel 2 de Driftwood Avionics, una Organización que Busca la Certificación (OSC) que diseña componentes de motor bajo un contrato del Departamento de Defensa (DoD) y almacena Información No Clasificada Controlada (CUI) en su sistema de gestión de documentos de ingeniería. Para el requisito que cubre la revisión de logs de auditoría, usted examina el plan de seguridad del sistema (SSP) de Driftwood, el cual establece que los administradores revisan los logs de auditoría semanalmente en busca de actividad anómala. Para corroborar esa afirmación, usted solicita los registros de visto bueno completados que documentan la revisión de cada semana durante las últimas ocho semanas; solo dos de las ocho semanas tienen un visto bueno completado. La Profesional Certificada de CMMC (CCP) que trabaja con usted redacta una observación que dice: 'Requisito satisfecho: los logs de auditoría se revisan semanalmente conforme a la política', citando el texto del plan de seguridad del sistema (SSP) como suficiente, y pregunta si está lista para avanzar. ¿Cuál de las siguientes es la instrucción correcta que se le debe dar?

1. A.Modificar la observación para citar tanto la afirmación del plan de seguridad del sistema (SSP) como los dos vistos buenos completados, y registrar el requisito como satisfecho, ya que el documento rector establece la práctica semanal y los registros completados confirman que los administradores llevan a cabo el procedimiento de revisión que describe.
2. B.Descartar de la observación la descripción del plan de seguridad del sistema (SSP) y registrar únicamente la brecha de vistos buenos encontrada en los registros muestreados, dejando la determinación pendiente, ya que los registros de lo que realmente se hizo pesan más que una afirmación de política escrita, y la descripción del plan ya no necesita aparecer una vez que surge una contradicción.
3. C.Pedirle al administrador responsable de la revisión de logs que explique las seis semanas que carecen de un visto bueno completado, y si la explicación resulta creíble, registrar la observación como satisfecha con base en ese relato de entrevista, ya que una explicación de primera mano de la persona que ejecuta el control puede resolver una brecha encontrada en la documentación muestreada.
4. D.Reescribir la observación para registrar lo que muestran ambas fuentes: el plan de seguridad del sistema (SSP) establece que los logs de auditoría se revisan semanalmente, y los registros de visto bueno muestreados muestran revisiones completadas para dos de las ocho semanas, sin visto bueno para el resto. La observación debe capturar esa discrepancia, dejando la determinación pendiente hasta que se resuelva.

Pregunta de muestra 3

Usted es un Evaluador Certificado de CMMC (CCA) que determina el resultado para el requisito que cubre la autorización del acceso inalámbrico durante una evaluación de certificación de Nivel 2 de Cascade Thermal Systems, una Organización que Busca la Certificación (OSC) que fabrica intercambiadores de calor bajo un contrato del Departamento de Defensa (DoD) y procesa Información No Clasificada Controlada (CUI) en su sistema de ejecución de manufactura. Su hoja de trabajo de objetivos de evaluación para este requisito enumera dos objetivos: los puntos de acceso inalámbrico están identificados, y el acceso inalámbrico se autoriza antes de permitirse. Un recorrido de la instalación, una revisión de los diagramas de arquitectura de red y un levantamiento de sitio inalámbrico confirman que Cascade no tiene ningún punto de acceso inalámbrico en ninguna parte del entorno de CUI ni ninguna interfaz de red inalámbrica habilitada en algún sistema dentro del alcance; el personal entrevistado confirma que la instalación nunca ha implementado infraestructura inalámbrica. ¿Cuál de las siguientes opciones establece correctamente la determinación que usted debe hacer y documentar?

1. A.Documentar una determinación NOT APPLICABLE ("no aplica") para el requisito, citando ambos objetivos y la evidencia del recorrido, la revisión de diagramas de red y el levantamiento de sitio, que no muestran puntos de acceso inalámbrico ni interfaces inalámbricas habilitadas en el entorno de CUI. El requisito aborda una tecnología que no existe aquí, así que ambos objetivos se registran como no aplicables.
2. B.Documentar una determinación NOT MET ("no cumple") para el requisito, citando la ausencia de cualquier registro de autorización para el acceso inalámbrico. Dado que ninguna evidencia muestra a Cascade autorizando conexiones inalámbricas antes de permitirlas, el objetivo que aborda la autorización no ha quedado evidenciado como satisfecho, sin importar si existen puntos de acceso inalámbrico en alguna parte del entorno.
3. C.Documentar una determinación MET ("cumple") para el requisito, citando el recorrido de la instalación, la revisión de diagramas de red y el levantamiento de sitio como evidencia. Un entorno sin ningún punto de acceso inalámbrico no presenta ninguna oportunidad de conexiones inalámbricas no autorizadas, de modo que el resultado que ambos objetivos existen para asegurar ya se logra por completo en este entorno.
4. D.Documentar una determinación mixta: MET para el objetivo que aborda la identificación de puntos de acceso inalámbrico, ya que una lista de cero puntos de acceso es completa y precisa, y NOT APPLICABLE para el objetivo que aborda la autorización, ya que no hay nada que autorizar cuando no se ha desplegado ningún punto de acceso inalámbrico.