NIST SP 800-171
La norme NIST SP 800-171 constitue l’ensemble de contrôles destinés à protéger les informations non classifiées contrôlées (CUI) lorsqu’elles se trouvent sur un système non fédéral — c’est-à-dire sur vos systèmes, et non sur ceux du gouvernement. Il s'agit du fondement technique du niveau 2 du CMMC, et il est exigé par la clause DFARS 252.204-7012 pour les sous-traitants du secteur de la défense, mais son champ d'application s'étend bien au-delà de ce secteur, partout où une agence fédérale partage des CUI avec un sous-traitant ou un bénéficiaire de subvention.
La norme définit 110 contrôles répartis en 14 familles : contrôle d’accès, réponse aux incidents, gestion de la configuration, protection des supports, etc. Rien de tout cela n’a de particulier ; il s’agit de bonnes pratiques de sécurité bien connues. Ce qui rend cette norme exigeante, c’est son ampleur et la charge administrative qu’elle implique : vous devez démontrer, et non pas simplement affirmer, que chaque mesure de contrôle est en place, ce qui implique généralement un plan de sécurité du système décrivant votre mise en œuvre, ainsi qu’un plan d’action et un calendrier des étapes (POA&M) pour tout ce qui n’est pas encore conforme.
C’est là que le bât blesse
Les deux points sur lesquels je constate que les entreprises perdent le plus de temps sont les suivants : ne pas savoir exactement où se trouvent les informations classées (CUI) dans leur environnement, ce qui fait que le champ d’application de la norme « ce qui doit être conforme à la norme 800-171 » s’élargit de manière disproportionnée pour inclure des systèmes qui n’auraient jamais dû en faire partie ; et le fait de disposer de pratiques de sécurité réelles qui n’ont jamais été consignées par écrit d’une manière qui corresponde clairement au langage des contrôles qu’un évaluateur ou un responsable des marchés s’attend à voir. Ces deux problèmes peuvent être résolus, et il est bien moins coûteux de les corriger de manière proactive que lors d’un examen de contrat.
Comment j’aborderais la question
Commencez par identifier et délimiter précisément les flux réels d’informations classées (CUI) — cette décision relative à la portée détermine pratiquement tout ce qui en découle. Procédez ensuite à une évaluation honnête des lacunes, contrôle par contrôle, sans vous faire de fausses illusions, puis élaborez un plan de remédiation qui s’attaque en priorité aux lacunes présentant le plus grand risque, plutôt qu’à celles qui sont les plus faciles à cocher. Je vous aiderai à élaborer le plan de sécurité du système et le POA&M qui documentent votre situation actuelle, rédigés de manière à résister à un examen minutieux plutôt que de simplement donner l’impression d’être complets.
Si vous traitez des informations classées « CUI » et que vous souhaitez connaître votre niveau réel de conformité à la norme 800-171 — qu’il s’agisse de votre première évaluation ou d’une mise à jour avant le renouvellement d’un contrat —, contactez-moi.