Profesional de preparación CMMC

Pregunta de muestra 1

Usted es un profesional con credencial Registered Practitioner (RP) de Cyber AB que reúne el cuerpo de evidencia para la próxima afirmación de Nivel 2 (Self) de Meridian Cable Assembly bajo el programa de Certificación del Modelo de Madurez de Ciberseguridad (CMMC) del Departamento de Defensa (DoD). Al revisar la carpeta de evidencia del requisito 3.11.2 de NIST SP 800-171 Revisión 2, el escaneo periódico de vulnerabilidades de los sistemas y aplicaciones de la organización, usted encuentra un informe de escaneo de vulnerabilidades fechado hace catorce meses, generado antes de que la empresa retirara su puerta de enlace de escritorio remoto y la sustituyera, hace seis meses, por un nuevo concentrador VPN. En la carpeta no existe ningún escaneo de la configuración actual de la VPN, y los ensayos de entrevistas todavía no han comenzado. La revisión de la afirmación está programada para dentro de tres semanas. ¿Qué debe hacer usted?

1. A.Incluir el escaneo de catorce meses en la carpeta de evidencia tal como está, ya que es el informe de escaneo más reciente que la empresa tiene registrado y un informe de escaneo satisface el requisito sin importar cuándo cambió el entorno por última vez.
2. B.Retirar el escaneo desactualizado de la carpeta de evidencia sin solicitar un reemplazo, ya que un informe anterior al concentrador VPN actual no respalda realmente el requisito, y una carpeta vacía es más honesta que una con evidencia obsoleta.
3. C.Decirle a la empresa que el escaneo registrado es anterior al entorno actual, y pedirle que ejecute y documente un escaneo del nuevo concentrador VPN, de modo que la carpeta de evidencia refleje el entorno antes de la fecha de revisión.
4. D.Anotar en su expediente de trabajo la brecha entre la fecha del escaneo y el reemplazo de la VPN, y dejar la carpeta de evidencia y el calendario de revisión tal como están, ya que las tres semanas dan tiempo suficiente para que el ciclo rutinario de escaneo de la empresa produzca un informe actual.

Pregunta de muestra 2

Marcus Webb, el director de operaciones de Corrigan Fabrication, sin formación técnica, lo llama a usted, el profesional con credencial Registered Practitioner (RP) de Cyber AB que asesoró a la empresa durante la afirmación de Nivel 2 (Self) del año pasado. Esa afirmación y su plan de seguridad del sistema (SSP) describen un límite acotado al enclave de contabilidad que maneja Información No Clasificada Controlada (CUI) para el contrato actual de Corrigan. Webb quiere presentar una oferta para una nueva licitación que también exige un estatus vigente de Nivel 2 (Self), y le dice que está bien enviar la oferta citando la afirmación del año pasado, ya que la empresa ya figura en Nivel 2. El trabajo del nuevo contrato pondría CUI en el sistema de ejecución de manufactura de Corrigan, el cual queda fuera del límite descrito en el SSP afirmado. ¿Qué debe decirle usted a Webb?

1. A.Decirle a Webb que la afirmación del año pasado cubre el límite descrito en el SSP vigente, así que el sistema de ejecución de manufactura necesita su propia evaluación y su propia afirmación antes de que Corrigan pueda apoyarse en el estatus de Nivel 2 para ese sistema.
2. B.Decirle a Webb que la afirmación existente basta para presentar la oferta, ya que la puntuación de Corrigan en el Sistema de Riesgo de Desempeño del Proveedor (SPRS) ya muestra a la empresa en Nivel 2, y una sola puntuación ampara a la empresa en su conjunto, más allá del sistema que maneje la información del contrato.
3. C.Decirle a Webb que incorporar el sistema de ejecución de manufactura al límite es un trámite opcional que puede esperar hasta después de la adjudicación del contrato, ya que la afirmación del año pasado ya establece la elegibilidad de Corrigan para las licitaciones que exijan estatus de Nivel 2.
4. D.Decirle a Webb que la afirmación del año pasado no puede respaldar esta oferta, así que Corrigan necesita repetir primero la autoevaluación del enclave de contabilidad y publicar una nueva afirmación, ya que una afirmación deja de contar cuando la empresa busca un contrato distinto de aquel para el que se hizo.

Pregunta de muestra 3

Usted es un Practicante Registrado (RP) de Cyber AB en Thornhall Advisory Group, una Organización de Proveedor Registrado (RPO). El líder de mercadotecnia le envía un borrador de texto para una campaña en redes sociales dirigida a prospectos de clientes proveedores de defensa, y le pide su visto bueno antes de publicarlo. El borrador dice: 'Como Organización de Proveedor Registrado de Cyber AB, la metodología de preparación de Thornhall ha sido revisada y aprobada por el Cyber AB, y a los clientes que completan nuestro programa se les garantiza aprobar su evaluación de certificación.' El estatus de registro de Thornhall ante el Cyber AB está vigente y es correcto. ¿Qué debe decirle usted al líder de mercadotecnia?

1. A.Decirle al líder de mercadotecnia que publique el texto tal como está, ya que el estatus de registro de Thornhall es correcto y describir el propio programa de la firma en un lenguaje de mercadotecnia confiado es una manera normal en que una firma registrada compite por clientes.
2. B.Decirle al líder de mercadotecnia que la frase sobre revisión y aprobación es correcta, ya que completar el proceso de registro del Cyber AB para una Organización de Proveedor Registrado ya constituye, en sí mismo, una forma de revisión y aprobación de la metodología de la firma, así que solo debe quitarse el lenguaje que garantiza el resultado.
3. C.Decirle al líder de mercadotecnia que mantenga ambas afirmaciones, pero que matice cada una en una nota al pie, una que explique que la revisión del Cyber AB se refiere al proceso de registro y otra que condicione la garantía a que los clientes completen cada paso del programa, ya que una afirmación matizada ya no induce a error.
4. D.Decirle al líder de mercadotecnia que retire tanto la afirmación de que el Cyber AB revisó y aprobó la metodología de Thornhall como la garantía de que los clientes aprobarán, ya que el registro no equivale a un aval del Cyber AB, y ninguna RPO puede prometer el resultado de una evaluación.