Guide CMMC : ce qu’exige réellement la norme CMMC 2.0
Si vous vendez au ministère de la Défense, ou si vous vendez à quelqu’un qui vend au ministère de la Défense, c’est probablement à cause du CMMC que vous lisez cette page. Voici un résumé succinct, sans la multitude d’acronymes.
La CMMC — certification du modèle de maturité en matière de cybersécurité — est le moyen utilisé par le Département de la Défense (DoD) pour vérifier que les sous-traitants protègent effectivement les informations sensibles qui leur sont confiées, au lieu de se contenter de le promettre. Elle s’applique aux informations relatives aux contrats fédéraux (FCI) et, aux niveaux supérieurs, aux informations non classifiées mais contrôlées (CUI) — ces catégories de données non classifiées mais néanmoins sensibles qui circulent au sein de la chaîne d’approvisionnement de la défense. La CMMC 2.0 comporte trois niveaux. Le niveau 1 correspond aux mesures élémentaires de cybersécurité pour les sous-traitants traitant uniquement des FCI — il s’agit d’un ensemble modeste de pratiques faisant l’objet d’une auto-évaluation. Le niveau 2 est le plus important pour la plupart des sous-traitants : il correspond aux 110 contrôles de la norme NIST SP 800-171 et, selon le contrat, nécessite soit une auto-évaluation, soit une évaluation par un tiers effectuée par un évaluateur certifié (un C3PAO). Le niveau 3 ajoute une couche supplémentaire pour les informations présentant le risque le plus élevé et implique une évaluation menée par le gouvernement. C’est votre contrat, et non vos préférences, qui détermine le niveau qui s’applique à vous.
Les points sur lesquels les entreprises se heurtent réellement à des difficultés
Le problème réside rarement dans le fait que « nous n’avons aucune sécurité ». Il s’agit généralement d’une sécurité qui existe, mais qui n’est pas documentée de la manière dont un évaluateur a besoin de la voir : absence de plan de sécurité du système, pas de plan d’action ni d’étapes clés pour combler les lacunes dont vous avez connaissance, des politiques qui n’existent que dans l’esprit de quelqu’un plutôt que sur papier, ou encore un périmètre de couverture des informations classifiées (CUI) qui n’a jamais été clairement défini, si bien qu’aujourd’hui, la moitié de votre réseau est techniquement concernée. Ces problèmes peuvent être résolus, mais cela prend du temps, et il est bien moins coûteux de les régler avant l’arrivée d’un évaluateur que par la suite.
Comment je m'y prendrais pour vous préparer
Je commence par recenser les informations classées CUI ou FCI qui concernent réellement votre environnement et par définir une périmètre défendable — se tromper sur ce point est l’erreur la plus coûteuse que les entreprises puissent commettre, car cela entraîne l’inclusion dans le périmètre de systèmes qui n’auraient jamais dû y figurer. À partir de là, il s’agit de procéder à une évaluation honnête des lacunes par rapport aux 110 mesures de contrôle, d’élaborer un plan de remédiation hiérarchisé qui corrige en priorité les éléments les plus importants, et de constituer la documentation — Plan de sécurité du système, POA&M — qui transforme le « nous faisons cela » en quelque chose qu’un évaluateur peut vérifier. Je vous dirai sans détours où vous en êtes et ce qu’il faudra faire, et non ce qu’il est agréable d’entendre.
Les délais de la chaîne d’approvisionnement de la défense ne s’adaptent pas au calendrier interne de quiconque. Si une clause contractuelle vous oblige à vous conformer à une exigence de la norme CMMC, contactez-nous afin que nous évaluions ensemble où vous en êtes réellement.