Sécurité de l'information
CMMC
Cybersecurity Maturity Model Certification (CMMC)
CMMC est le programme du Département de la Défense des États-Unis qui vérifie que les sous-traitants de la défense protègent les informations contractuelles fédérales et les informations non classifiées contrôlées. Nous vous accompagnons de l'écart jusqu'à la préparation à l'évaluation au niveau exigé par vos contrats.
Ce qu'est CMMC
CMMC est le programme Cybersecurity Maturity Model Certification géré par le Département de la Défense des États-Unis pour les entreprises de sa chaîne d'approvisionnement. Il exige que les sous-traitants et les sous-traitants de rang inférieur qui traitent des Federal Contract Information (FCI) ou des Controlled Unclassified Information (CUI) respectent des pratiques de cybersécurité définies avant de pouvoir se voir attribuer ou conserver certains contrats.
Le modèle comporte des niveaux échelonnés. Les exigences des niveaux inférieurs peuvent être satisfaites par une auto-évaluation, tandis que les niveaux supérieurs, qui reposent sur les contrôles NIST SP 800-171 pour la protection des CUI, exigent une évaluation par un organisme d'évaluation tiers accrédité, appelé C3PAO. Le niveau requis est fixé par le contrat et le type d'informations concernées.
La structure de la norme
Niveau 1 · Fondamental
Couvre la protection de base des Federal Contract Information par un ensemble défini de pratiques qu'un sous-traitant confirme par une auto-évaluation annuelle.
Niveau 2 · Avancé
S'aligne sur l'ensemble complet des contrôles de NIST SP 800-171 pour la protection des Controlled Unclassified Information et est satisfait par auto-évaluation ou par une évaluation C3PAO selon le contrat.
Niveau 3 · Expert
Repose sur le niveau 2 et ajoute un sous-ensemble de contrôles tirés de NIST SP 800-172, évalués par le gouvernement pour les programmes les plus sensibles.
Domaine · Accès et identité
Regroupe les pratiques de contrôle d'accès, d'identification et d'authentification qui limitent qui peut atteindre les systèmes contenant des FCI ou des CUI.
Domaine · Protéger et détecter
Réunit la protection des systèmes et des communications, la protection des supports, ainsi que les pratiques d'audit et de responsabilité qui gardent les informations et consignent ce qui leur arrive.
Domaine · Exploiter et répondre
Couvre la gestion de la configuration, la maintenance, la réponse aux incidents, ainsi que les pratiques d'évaluation des risques et de la sécurité qui maintiennent l'environnement sous contrôle dans le temps.
Domaine · Personnes et physique
Traite la sensibilisation et la formation, la sécurité du personnel et la protection physique afin que le personnel et les installations ne deviennent pas le point faible.
SSP et POA&M · Colonne vertébrale des preuves
Le System Security Plan décrit comment chaque pratique est satisfaite et les Plans of Action and Milestones suivent toutes celles qui ne sont pas encore en place.
Qui en a besoin
- Les sous-traitants de la défense et les sous-traitants de rang inférieur dans la chaîne d'approvisionnement du Département de la Défense des États-Unis
- Les entreprises qui traitent des Federal Contract Information ou des Controlled Unclassified Information
- Les fournisseurs dont les contrats ou les clauses de répercussion exigent désormais un niveau CMMC donné
Ce que vous obtenez
- Une définition du périmètre et une évaluation des écarts au regard du niveau CMMC requis
- Un System Security Plan et des Plans of Action and Milestones
- Des pratiques mises en œuvre avec un ensemble de preuves cartographié
- Une évaluation interne de préparation et un accompagnement tout au long de l'évaluation formelle
Les délais dépendent du niveau exigé par vos contrats, de la quantité de CUI que vous traitez et de l'état de vos contrôles actuels. Nous définissons le périmètre honnêtement dès le départ plutôt que de promettre un nombre fixe de semaines.
Version actuelle
Le programme actuel est celui finalisé par le Département de la Défense des États-Unis dans sa réglementation de 2024, la règle CMMC centrale entrant en vigueur fin 2024. Il établit le modèle à trois niveaux et est introduit par un déploiement progressif, de sorte que les exigences d'évaluation et de certification apparaissent dans les appels d'offres par étapes plutôt que toutes à la fois. Une règle d'acquisition associée ajoute ensuite les clauses correspondantes aux contrats. Si vous avez déjà travaillé vers NIST SP 800-171, cet effort se reporte sur la préparation ; confirmez le niveau et la phase applicables au regard de vos contrats spécifiques et de vos clauses de répercussion, car ce qui s'applique aujourd'hui peut différer d'une version antérieure du programme.
Ce que cela coûte
Deux coûts coexistent. tr3labs facture des honoraires de conseil et de mise en œuvre définis, proposés dès le départ une fois que nous avons compris votre taille, le niveau CMMC exigé par vos contrats et la quantité de Controlled Unclassified Information que vous traitez. Lorsque votre niveau requiert une évaluation par un organisme d'évaluation tiers accrédité, ce C3PAO facture séparément selon son propre barème, et les niveaux d'auto-évaluation entraînent tout de même votre propre coût interne pour vous préparer et attester ; tr3labs n'est jamais l'évaluateur, le C3PAO ou le régulateur. Nous définissons le travail avec vous plutôt que de proposer un devis à l'aveugle.
Comment tr3labs vous y amène
Périmètre et évaluation des écarts
Nous confirmons le niveau CMMC exigé par vos contrats, définissons le périmètre de l'évaluation et les systèmes qui traitent des FCI ou des CUI, et vous mesurons au regard des pratiques NIST SP 800-171 afin que vous sachiez exactement ce qui manque.
Construire les contrôles
Nous vous aidons à mettre en œuvre les pratiques requises, à rédiger le System Security Plan et les Plans of Action and Milestones, et à mettre en place les politiques et les contrôles techniques pour protéger les informations du périmètre.
Audit interne et preuves
Nous menons une évaluation interne au regard des pratiques et rassemblons les preuves qu'un évaluateur attendra, afin que les écarts soient comblés avant le début de toute évaluation formelle.
Soutien à la préparation de l'évaluation
Nous vous préparons à une auto-évaluation ou à une évaluation par un C3PAO aux niveaux supérieurs, et vous accompagnons jusqu'au résultat ; tr3labs n'est pas un C3PAO et ne délivre pas de certifications CMMC.
CMMC et ISO 27001
Les deux vous demandent de prouver des contrôles de sécurité à une partie externe, de sorte que les équipes supposent souvent que l'un satisfait l'autre, mais ils répondent à des autorités différentes.
| CMMC | ISO 27001 | |
|---|---|---|
| Couvre | Les FCI et les CUI dans la chaîne d'approvisionnement de la défense des États-Unis | Un système de management de la sécurité de l'information, tout secteur |
| Qui l'exige | Les contrats du Département de la Défense des États-Unis | Les clients, partenaires et appels d'offres dans le monde entier |
| Idée centrale | Satisfaire des pratiques fixées de NIST SP 800-171 à un niveau requis | Exploiter un SMSI fondé sur les risques et l'améliorer dans le temps |
| Modèle d'audit | Auto-évaluation ou évaluation C3PAO selon le niveau | Audit de certification par un organisme accrédité |
| Repose sur | NIST SP 800-171 et, au niveau 3, SP 800-172 | Les contrôles de l'Annexe A et les clauses du SMSI |
| Souvent détenu avec | NIST CSF et SOC 2 | SOC 2 et PCI DSS |
FAQ CMMC
- De quel niveau CMMC avons-nous besoin ?
- Le niveau est fixé par votre contrat et le type d'informations que vous traitez, des Federal Contract Information au niveau inférieur aux Controlled Unclassified Information aux niveaux supérieurs. Nous confirmons le niveau applicable lors de la définition du périmètre.
- Quel est le lien entre CMMC et NIST SP 800-171 ?
- Les niveaux CMMC supérieurs reposent sur les contrôles NIST SP 800-171 pour la protection des Controlled Unclassified Information. Si vous avez déjà travaillé vers 800-171, une grande partie de cet effort se reporte directement sur la préparation CMMC.
- tr3labs peut-il nous certifier pour CMMC ?
- Non. Aux niveaux supérieurs, la certification est réalisée par un organisme d'évaluation tiers accrédité, un C3PAO. tr3labs vous prépare, construit les contrôles et les preuves, et vous accompagne tout au long de l'évaluation ; nous ne sommes pas un C3PAO.
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture