Top 6 questions sur le CMMC : guide pour les fabricants

Ce que les fabricants doivent savoir

La cybersécurité n'est pas un nouveau sujet dans la fabrication. Au moment où les équipements connectés, les logiciels innovants et les systèmes de robotique avancée ont commencé à faire leur entrée sur le plancher d'usine, la cybersécurité faisait partie de la conversation. La cybersécurité a fait les gros titres aux côtés des articles sur l'Industrie 4.0, mais le buzz des nouvelles technologies tape-à-l'œil a dominé la conversation.

Les fabricants ont tendance à mettre la cybersécurité sur le second plan. Ce n'est plus une option pour beaucoup. L'industrie manufacturière s'est constamment classée dans le top 5 des industries les plus vulnérables et ciblées pour les cyberattaques. Les secteurs de la Santé, des Services Financiers et des Agences Gouvernementales ont tous été tenus à un standard plus élevé en matière de conformité sécurité et de gestion des risques. L'industrie manufacturière n'a pas encore été tenue à un standard plus élevé et est donc encore plus vulnérable à la cybercriminalité.

La Certification du Modèle de Maturité en Cybersécurité (CMMC) s'impose à l'industrie et voici les 6 questions critiques que les fabricants doivent se poser.

Qu'est-ce que le CMMC ?

CMMC signifie Cybersecurity Maturity Model Certification. Cette certification adopte une approche unique pour garantir que la propriété intellectuelle critique reste sécurisée. Au départ, le CMMC ne sera requis que pour les fabricants et fournisseurs qui gèrent des Informations Non Classifiées Contrôlées (CUI) pour le Département de la Défense (DoD).

La Certification du Modèle de Maturité en Cybersécurité (CMMC) est la méthode pour certifier que les niveaux appropriés de processus et de protections en cybersécurité sont en place pour les environ 300 000 sous-traitants et entrepreneurs dans la chaîne d'approvisionnement du DoD. Le processus CMMC exigera maintenant une Organisation d'Évaluation Tierce Partie CMMC (C3PAO) pour certifier que les entreprises sont conformes et que les CUI sont sécurisées.

Il y a 5 niveaux de maturité faisant partie du CMMC qui vont de « Hygiène de base en cybersécurité » à « Avancé/Progressif ». À mesure que le niveau de maturité augmente, les règles et directives qu'une entreprise doit suivre pour devenir certifiée et rester conforme augmentent également.

Pourquoi le CMMC est-il créé ?

Le Département de la Défense a reconnu les cyberattaques comme une menace significative, en particulier pour les sous-traitants de petite à moyenne taille soutenant les grands entrepreneurs principaux. Les acteurs malveillants ont reconnu que les entrepreneurs principaux dépensaient plus de ressources pour prévenir les attaques et que leur chaîne d'approvisionnement était une cible plus facile. Les exigences de cybersécurité de la Publication Spéciale (SP) 800-171 du National Institute of Standards and Technology (NIST) ont été développées pour protéger les informations sensibles pour les entrepreneurs travaillant avec le Département de la Défense (DoD) afin de se conformer à la clause 252.204-7012 du Defense Federal Acquisition Regulation Supplement (DFARS). Lorsque le DoD a estimé qu'un faible pourcentage de la chaîne d'approvisionnement se conformait à ces directives, la Certification du Modèle de Maturité en Cybersécurité (CMMC) a été créée.

Les cyberattaques sont une occurrence quotidienne, malheureusement. « Avec plus de 80 % des informations de défense nationale vivant sur les réseaux des partenaires, ce n'est plus une conversation sur ce que vous faites, ou ce que je fais ; c'est plus important ce que nous faisons collectivement pour protéger la défense nationale », a déclaré Katie Arrington, assistante spéciale du Secrétaire adjoint à la Défense pour l'Acquisition pour le Cyber, et l'une des principales promotrices du CMMC.

En décembre 2018, des pirates chinois auraient volé des informations auprès de sous-traitants de la Marine, y compris des données de maintenance de navires et des plans de missiles. Ces actions sont une menace directe pour la sécurité nationale. Même si un grand fournisseur DoD comme Lockheed Martin a un programme de cybersécurité de premier niveau en place, chaque sous-traitant et fournisseur dans la chaîne d'approvisionnement DoD doit se protéger aussi, sinon ils deviennent un point d'entrée pour les cybercriminels. Un seul maillon faible dans la chaîne d'approvisionnement DoD peut mettre tout le pays en danger.

Mon entreprise a-t-elle besoin du CMMC ?

Chaque entreprise devrait investir dans le renforcement de sa cybersécurité. Selon l'enquête Radware, le coût estimé par cyberattaque est de 4,6 millions de dollars. 13 % des participants à l'enquête ont subi une cyberattaque qui a coûté à leur entreprise 10 millions de dollars ou plus, un chiffre qui a doublé en seulement un an entre 2018 et 2019. Les experts en cybersécurité du New Jersey Manufacturing Extension Program (NJMEP) suggèrent que chaque fabricant bénéficierait d'atteindre l'équivalent d'« Hygiène Cybernétique Intermédiaire », ou Niveau 2 du CMMC comme meilleure pratique. Pour les entrepreneurs DoD, le niveau de maturité dépendra de l'endroit où une entreprise se situe dans la chaîne d'approvisionnement DoD.

Identifier lequel des cinq niveaux de maturité CMMC un fournisseur DoD, sous-traitant ou fabricant doit respecter sera soit déterminé par l'entrepreneur principal DoD, soit découvert par une analyse d'écart CMMC. Tous les fournisseurs, sous-traitants ou fabricants qui effectuent un travail, aussi minime soit-il, avec le DoD auront besoin de quelque niveau de CMMC mais le niveau de maturité différera selon l'information que l'entreprise gère et le travail effectué.

Si une entreprise de la Base Industrielle de Défense (DIB) ne possède pas d'Informations Non Classifiées Contrôlées (CUI) mais possède des Informations Contractuelles Fédérales (FCI), elle est tenue de respecter la clause FAR 52.204-21 et doit être certifiée au minimum au niveau CMMC 1.

Quand dois-je commencer le processus de certification ?

Maintenant. Les fournisseurs DoD, sous-traitants et fabricants devraient commencer le processus de certification CMMC dès que possible pour éviter le risque de perdre des contrats DoD critiques. Du début à la fin, le processus pourrait prendre plus d'un an. En juin 2020, le CMMC a commencé à apparaître sur les RFI. Les entreprises peuvent s'attendre à ce que les RFP mentionnent le CMMC à partir de septembre 2020 et les évaluations commenceront à l'automne 2020.

Agir maintenant et travailler avec un consultant intimement familier avec le CMMC et le cadre dont le CMMC est issu, NIST 800-171, sera vital. La certification commence par une évaluation pour identifier où dans le niveau de maturité CMMC une organisation réside actuellement. L'étape suivante serait d'effectuer une analyse d'écart approfondie, puis de passer à la remédiation complète. Chaque niveau de maturité CMMC prend un temps et un effort différents. Cependant, commencer dès que possible allégera la charge sur l'entreprise, la direction et la main-d'œuvre.

Que se passe-t-il si je ne deviens pas certifié ?

Pour les entrepreneurs DoD, sous-traitants, fournisseurs ou fabricants…

Atteindre le niveau de maturité CMMC nécessaire pourrait signifier la différence entre obtenir ce prochain contrat DoD ou non. Les entrepreneurs principaux DoD commenceront à exiger que tous les sous-traitants se conforment à ces nouvelles règles critiques. Tout fabricant qui ne respecte pas ces directives et n'atteint pas le niveau de maturité CMMC approprié ne pourra pas continuer à faire des affaires avec le DoD.

Pour les fabricants non-DoD…

À ce jour, les entrepreneurs DoD sont les seuls à risquer de perdre du travail DoD s'ils n'obtiennent pas le CMMC. Cependant, les fabricants de petite et moyenne taille sont toujours à risque d'une cyberattaque paralysant complètement leur entreprise, parfois au point où ils ne pourront jamais se rétablir financièrement. Cette certification fournit aux fabricants non-DoD une excellente base de cybersécurité et des meilleures pratiques. Selon les résultats d'une évaluation de cybersécurité, une entreprise peut déterminer quel niveau de maturité conviendrait le mieux.

Qui peut répondre à toutes mes autres questions sur le CMMC ?

Obtenir le CMMC peut être un défi, surtout sans le bon soutien. La certification est encore dans sa phase initiale ce qui crée un environnement difficile pour les fabricants qui naviguent seuls. Explorer des sites web comme acq.osd.mil/cmmc/faq.html ou travailler aux côtés de consultants comme NJMEP sont les meilleures façons de commencer et aideront à transformer un processus intimidant en un ajout de valeur rationalisé pour toute entreprise.

Comprendre le CMMC, quelles entreprises seront impactées, quand agir et identifier le niveau de maturité nécessaire peut être intimidant. Ne le faites pas seul. La cybersécurité est essentielle mais peut être complexe. Travailler avec la bonne équipe et avoir accès aux bonnes informations s'avérera inestimable.

Soyez prudent

Il y a eu tant de questions autour de ce sujet et tant de développements pendant son déploiement. Au début, il y avait de nombreuses entreprises prétendant pouvoir aider et facturant des montants significatifs, même quand la version finale des directives n'avait même pas été décidée ou communiquée. Il y a d'innombrables entreprises vendant des solutions ou services pour aider et il peut être difficile de déterminer en qui avoir confiance. Ce n'est pas quelque chose qui peut simplement être externalisé à un Fournisseur de Services Gérés (MSP) prétendant être familier avec les exigences.

1. https://www.radware.com/newsevents/pressreleases/c-suite-2019