Certification CMMC : Points clés pour les sous-traitants de la défense

Alors que la certification CMMC (Cybersecurity Maturity Model Certification) approche de sa mise en œuvre complète, les organisations concernées s'activent pour s'assurer de réussir le processus de certification.

L'objectif est simple : les organisations doivent respecter des normes minimales de cybersécurité, contribuant ainsi à renforcer la sécurité nationale. Les enjeux sont extraordinairement élevés pour les quelque 300 000 organisations de la base industrielle de défense (DIB) qui devront bientôt être certifiées à l'un des cinq niveaux CMMC pour être éligibles à l'attribution de marchés fédéraux. En clair : pas de certification, pas de contrat. Du point de vue du gouvernement américain et du Département de la Défense, les enjeux ont toujours été majeurs car la DIB joue un rôle critique dans la défense de la nation. La seule façon de garantir la protection de nos données et l'intégrité de la chaîne d'approvisionnement est d'imposer aux industriels un niveau d'exigence supérieur.

Comment en sommes-nous arrivés là ?

L'activité adverse d'acteurs étatiques et non étatiques ne cesse d'augmenter, avec des coûts économiques vertigineux — 5 000 milliards de dollars à l'échelle mondiale selon certaines estimations. D'autres estimations situent le coût pour l'économie américaine entre 57 et 109 milliards de dollars en 2016. Mais le besoin de CMMC ne concerne pas seulement les intérêts économiques, il s'agit de se défendre collectivement. Entreprises grandes et petites contribuent au succès du combattant américain et toutes seront tenues au même niveau de responsabilité avec CMMC.

Dans le secteur fédéral, il suffit de jeter un œil à un certain avion de chasse pour comprendre l'importance de sécuriser les organisations qui, in fine, sécurisent et défendent notre pays. Dans le secteur commercial, la violation de Target a montré comment des partenaires commerciaux peuvent être le maillon faible facilitant une attaque. En rendant la DIB plus responsable, nous répondons non seulement à une nouvelle exigence commerciale, mais nous satisfaisons un impératif stratégique : être plus résilients face aux attaques. Les temps ont changé, tout comme notre façon de faire des affaires. Que cela plaise ou non, nous évoluons sur un champ de bataille moderne où les mots « guerre », « espionnage » et « criminalité » sont préfixés par « cyber », ce qui signifie que les entités privées et publiques doivent être préparées avec une réponse moderne.

Qu'est-ce que le CMMC ?

Le CMMC comprend cinq niveaux de contrôles techniques et procéduraux visant à protéger les informations non classifiées contrôlées (CUI) et les informations contractuelles fédérales (FCI) pour les sous-traitants du DoD. Pour atteindre le niveau 5 CMMC, les organisations doivent mettre en œuvre et faire évaluer 171 contrôles techniques et procéduraux. La plupart des professionnels de la cybersécurité dans le secteur fédéral trouveront que la majeure partie des contrôles CMMC leur est familière. En effet, pour atteindre le niveau 3 CMMC, presque tous les contrôles se trouvent dans la publication NIST SP 800-171. Les organisations qui devront bientôt être certifiées CMMC sont déjà tenues de respecter les contrôles de la NIST SP 800-171 depuis 2016. La différence clé est que les organisations ne peuvent plus s'auto-certifier et soumettre un plan d'actions et d'étapes (POA&M) pour combler les lacunes. Les organisations cherchant la certification doivent être formellement évaluées par une organisation d'évaluation tierce CMMC (C3PAO) ou un évaluateur certifié par le CMMC Accreditation Body, une organisation à but non lucratif chargée de certifier la préparation des évaluateurs. Bien qu'aucune date n'ait été fixée pour le début des évaluations, la formation a récemment commencé pour le premier groupe d'évaluateurs CMMC.

Que faire maintenant ?

La préparation au CMMC est un exercice d'implémentation des fondamentaux de la cybersécurité et d'amélioration continue pour atteindre une plus grande résilience. Les niveaux CMMC sont cumulatifs et progressifs : un niveau s'appuie sur le précédent, donc pour atteindre le niveau 4, vous devez être pleinement conforme au niveau 3. Chaque niveau correspond à la sophistication de vos pratiques de sécurité, allant de l'hygiène de base à des mesures plus avancées et proactives comme la chasse aux menaces (threat hunting) au niveau 5. Avec 171 contrôles de complexité croissante, par où commencer ?

• Éduquez-vous : Comprenez les contrôles techniques et les politiques décrits par le CMMC.
  • Voici la version 1 du CMMC.
  • Voici la FAQ du CMMC.
• Déterminez le niveau qui vous convient : Les organisations devront décider quel niveau de certification elles visent. Celles ne stockant que des FCI peuvent se contenter du niveau 1 CMMC ; celles stockant et traitant des CUI ou contribuant à des efforts plus sensibles viseront probablement le niveau 3 ou supérieur. Le DoD indiquera le niveau CMMC requis dans les appels d'offres.
• Connaissez-vous : Comprenez et documentez votre environnement, de votre réseau interne à vos partenaires commerciaux. On dit souvent que « vous ne pouvez pas défendre ce que vous ne connaissez pas », et c'est vrai. Vous devez comprendre votre segmentation, vos systèmes et votre surface d'attaque avant de pouvoir espérer les défendre.
• Auto-évaluez-vous : Déterminez où vous en êtes par rapport aux contrôles du niveau de certification visé. Identifiez les contrôles non encore satisfaits, planifiez leur résolution, et réévaluez. Pour une flexibilité future, identifiez ce qu'il faudrait pour atteindre le niveau supérieur.
• Adhérez : Nous ne sommes aussi forts que notre maillon le plus faible ; comprenez que le CMMC est conçu pour atténuer les risques de faire des affaires dans le secteur de la défense. Certains contrôles seront simples ou déjà en place, d'autres nécessiteront le soutien de diverses parties de votre organisation. Vous pourriez avoir besoin d'approbations, d'un budget accru, ou d'un parrainage exécutif. Certains contrôles peuvent représenter un effort technique considérable. L'ensemble de l'organisation doit adhérer, être pragmatique et faire sa part pour soutenir et protéger la mission.
• Soyez flexible : Le CMMC est nouveau et crée des ponts entre les grandes entités complexes du DoD et de la DIB. Ce sont d'énormes organisations, il reste des inconnues avec le CMMC, et ce qui était connu il y a un mois peut changer. Soyez flexible, patient, et sachez que nous devons tous faire mieux pour protéger ce que nous valorisons.

Que vous ayez besoin d'être certifié au niveau 1 ou 5 CMMC, ou que votre organisation ne fasse même pas affaire avec le DoD, les normes établies par le CMMC constituent une feuille de route pour toute organisation souhaitant faire mûrir sa posture de cybersécurité. Quel que soit votre point de départ, atteindre la conformité CMMC posera un défi aux petites comme aux grandes organisations, mais le résultat est l'amélioration dont nous avons désespérément besoin. Sécuriser nos données et notre propriété intellectuelle est à la fois logique et absolument nécessaire pour maintenir un avantage technologique sur nos adversaires. L'évaluation continue et l'amélioration dans la pratique des fondamentaux de la cybersécurité sont primordiales pour atteindre un niveau de résilience numérique qui nous permettra de combattre les menaces modernes.

Wayne Lloyd est directeur technique fédéral chez RedSeal.