Certification du modèle de maturité de la cybersécurité (CMMC) version 2 : considérations relatives à la gestion des risques par des tiers

En novembre 2021, l'Office of the Under Secretary of Defense for Acquisition and Sustainment du département de la défense des États-Unis (DoD) a publié la version 2.0 du Cybersecurity Maturity Model Certification (CMMC), un cadre complet conçu pour protéger la base industrielle de défense contre des cyberattaques de plus en plus fréquentes et de plus en plus complexes. La version 2.0 simplifie le modèle en ramenant les niveaux de certification de cinq (5) à trois (3), en éliminant les couches de maturité propriétaires et en ajustant les responsabilités en matière d'évaluation. Ce billet résume les nouveautés de la version 2.0 et explique comment Prevalent peut contribuer à simplifier le processus d'évaluation du CMMC.

Qu'est-ce que le CMMC ?

Le CMMC est une certification du gouvernement fédéral américain concernant les meilleures pratiques en matière de cybersécurité et de traitement des informations non classifiées contrôlées (CUI), cette certification déterminant à terme si une entreprise peut se voir attribuer un contrat par le ministère de la défense. Le CMMC vise à garantir la sécurité et la résilience de l'ensemble de la chaîne d'approvisionnement de la défense nationale (DIBS - fournisseurs de la base industrielle de défense).

Quels sont les niveaux de certification du CMMC ?

Tous les fournisseurs du ministère de la défense devront à terme être certifiés à l'un des trois niveaux, du niveau 1 (fondamental) au niveau 3 (expert). Il s'agit d'un changement par rapport à la version 1.0 qui comportait cinq niveaux de certification. Les niveaux de certification de la version 2.0 sont dérivés des exigences de base en matière de protection des informations contractuelles fédérales (FCI) spécifiées dans la clause 52.204-21 de la Federal Acquisition Regulation (FAR) et des exigences de sécurité pour les informations non classifiées contrôlées (CUI) spécifiées dans la publication spéciale (SP) 800-171 Rev 2 du National Institute of Standards and Technology (NIST), conformément à la clause 252.204-7012 du Defense Federal Acquisition Regulation Supplement (DFARS), ainsi que des contrôles supplémentaires de la norme NIST SP 800-172 Enhanced Security Requirements for Protecting Controlled Unclassified Information (exigences de sécurité renforcées pour la protection des informations non classifiées contrôlées) : A Supplement to NIST Special Publication 800-171.

• Niveau 1 - Auto-évaluation réalisée par le fournisseur sur la base de 17 contrôles. Ce niveau de certification est considéré comme fondamental et destiné aux fournisseurs gérant des FCI qui ne sont pas critiques pour la sécurité nationale. Ce niveau de certification est inchangé par rapport à la version 1.0, initialement annoncée en janvier 2020.
• Niveau 2 - Un niveau plus avancé de certification effectué par des auditeurs tiers (connus sous le nom de C3PAO, ou organismes d'audit tiers certifiés) sur 110 contrôles supplémentaires de la norme NIST SP 800-171. Ce niveau est envisagé pour les entreprises qui disposent d'informations non classifiées contrôlées (CUI). Dans certains cas, les organisations peuvent procéder à une auto-évaluation à ce niveau.
• Niveau 3 - Considéré comme un niveau expert pour les fournisseurs les plus prioritaires du DoD, ce niveau s'appuie sur le niveau 2 en y ajoutant un sous-ensemble de contrôles NIST SP 800-172. Le gouvernement fédéral effectuera les audits pour les entreprises de ce niveau.

Les exigences du CMMC en détail

Le tableau ci-dessous présente un résumé des exigences du CMMC par niveau, organisées selon les contrôles de sécurité pertinents de la norme NIST SP 800-171r2, qui sont inclus dans les questionnaires intégrés à la plate-forme Prevalent. Des informations sur le niveau 3 seront publiées ultérieurement par le ministère américain de la défense et contiendront un sous-ensemble des exigences de sécurité spécifiées dans la norme NIST SP 800-172.

La plate-forme Prevalent de gestion des risques pour les tiers comporte des questionnaires intégrés pour les niveaux 1 et 2, ce qui permet aux fournisseurs de s'évaluer eux-mêmes et aux auditeurs d'évaluer leurs clients par rapport à chaque niveau. Lorsque les exigences de certification du niveau 3 seront publiées, Prevalent ajoutera le questionnaire approprié à la plate-forme.

Les C3PAO peuvent :

• Inviter les clients à accéder à la plateforme Prevalent pour réaliser leur évaluation de contrôle standardisée de niveau 2 dans un locataire sécurisé et facile à utiliser.
• Automatiser les rappels aux fournisseurs ou aux clients pour réduire le temps nécessaire à la réalisation des évaluations
• Centraliser les documents justificatifs présentés comme preuve de la présence de contrôles
• Consulter un registre unique des risques soulevés en fonction de la façon dont le client ou le fournisseur répond aux questions.
• Formuler des recommandations de remédiation pour les contrôles défaillants
• Fournir des rapports personnalisés sur le niveau actuel de conformité, démontrant l'impact de l'application de futurs contrôles sur la réduction des risques.

Tout fournisseur du DoD peut procéder à une auto-évaluation de niveau 1 ou de niveau 2 pour :

• s'évaluer par rapport aux 17 contrôles requis pour mesurer la conformité de niveau 1
• s'évaluer par rapport aux 110 contrôles requis pour mesurer la conformité de niveau 2
• Télécharger la documentation et les preuves à l'appui des réponses aux questions
• Obtenir une visibilité sur l'état actuel de la conformité
• Tirer parti des conseils de remédiation intégrés pour remédier aux lacunes
• Produire des rapports pour mesurer la conformité à l'intention des auditeurs

Pour plus d'informations sur la façon dont Prevalent contribue à sécuriser la chaîne d'approvisionnement du DoD, visitez notre page sur la conformité CMMC, téléchargez notre livre blanc sur la conformité ou demandez une démonstration de la plateforme Prevalent dès aujourd'hui.

Note de l'éditeur : cet article a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a fait l'acquisition de la société Prevalent, spécialisée dans la gestion des risques liés aux tiers et basée sur l'IA. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.