CMMC (Certification du modèle de maturité en cybersécurité)
Le CMMC a été mis en place parce que le ministère américain de la Défense (DoD) en avait assez de se contenter des déclarations des sous-traitants. Pendant des années, les fournisseurs du secteur de la défense ont certifié eux-mêmes leur conformité aux exigences de sécurité prévues par le DFARS, et les résultats ont été inégaux : certains ont pris ces exigences au sérieux, beaucoup d’autres non, et des informations sensibles ont continué à fuiter par le maillon le plus faible de la chaîne d’approvisionnement. Le CMMC 2.0 remplace ce système fondé sur la confiance par une vérification effective, liée aux contrôles de la norme NIST SP 800-171, au niveau couvrant la plupart des sous-traitants (niveau 2), avec un niveau allégé pour les entreprises qui ne traitent que des informations relatives aux contrats fédéraux (niveau 1) et un niveau évalué par le gouvernement pour les travaux les plus sensibles (niveau 3).
Si votre contrat exige la certification CMMC, celle-ci n’est ni facultative ni négociable avec votre client : il s’agit d’une condition d’attribution du marché. La question pratique n’est pas de savoir s’il faut s’y conformer, mais comment y parvenir sans dépasser votre budget ni votre calendrier, et sans certifier un périmètre plus large que nécessaire.
Ce que je fais concrètement
La majeure partie du travail est peu prestigieuse, mais c’est précisément là que se cache le risque. J’évalue votre environnement par rapport à l’ensemble de contrôles pertinents, en toute honnêteté — il ne s’agit pas d’une simple liste à cocher qui vous dit ce que vous souhaitez entendre, mais d’un examen réel permettant de déterminer dans quelle mesure vos pratiques actuelles répondent aux exigences et dans quelle mesure elles en sont éloignées. Je vous aide à définir correctement le périmètre, ce qui représente généralement le plus gros potentiel d’économies : de nombreuses entreprises définissent par défaut un périmètre trop large pour leurs informations classifiées (CUI) et finissent par tenter de sécuriser des systèmes qui n’ont jamais eu besoin de traiter des données sensibles. Vient ensuite un plan de remédiation établi en fonction de ce qui réduit réellement les risques et permet d’obtenir la certification le plus rapidement possible, ainsi que le plan de sécurité du système, le plan d’action et les étapes clés qui transforment vos pratiques en un ensemble que l’évaluateur C3PAO — ou votre propre auto-évaluation — pourra valider.
Je ne gère pas la certification en moi-même ; c’est le rôle de l’évaluateur agréé. Mon rôle consiste à m’assurer que, lorsque vous vous présenterez devant lui, vous n’aurez aucune mauvaise surprise.
À qui s'adresse ce document ?
Les responsables et sous-traitants à tous les niveaux de la chaîne d’approvisionnement de la défense qui sont confrontés à une clause CMMC et ont besoin de savoir, concrètement, ce qu’il faudra faire pour s’y conformer — que vous partiez d’un programme de sécurité solide ne nécessitant que de la documentation et une discipline de délimitation du périmètre, ou que vous partiez pratiquement de zéro.
Si un donneur d’ordre ou un contractant principal vous interroge sur votre statut CMMC, contactez-moi afin que nous discutions ensemble de votre situation actuelle et de la marche à suivre.