Solutions de conformité et de certification CMMC 2026 | Continuum GRC

À propos de cette norme

Le Certification du modèle de maturité de cybersécurité (CMMC) est un cadre développé par le ministère de la Défense des États-Unis (DoD) pour améliorer la posture de cybersécurité des organisations au sein de la base industrielle de défense (DIB) qui gèrent Informations sur les contrats fédéraux (FCI) Informations contrôlées non classifiées (CUI). Son objectif est de protéger les données sensibles liées à la défense en garantissant que les entrepreneurs et sous-traitants mettent en œuvre des pratiques de cybersécurité rigoureuses. Vous trouverez ci-dessous un aperçu de la conformité du CMMC, basé sur sa structure, son objectif et ses exigences, intégrant les informations pertinentes provenant des sources disponibles.

Objectif du CMMC

Le CMMC vise à :

• Protégez les données sensibles:Protégez les FCI et les CUI contre les cybermenaces, y compris les menaces persistantes avancées (APT).
• Normaliser la cybersécurité:Établir un ensemble unifié d’exigences en matière de cybersécurité pour les entrepreneurs et sous-traitants du DoD.
• Assurer la sécurité de la chaîne d'approvisionnement:Vérifiez que toutes les organisations de la chaîne d’approvisionnement du DoD respectent les normes de cybersécurité appropriées.
• S'aligner sur les cadres existants:Construire sur des normes telles que NIST800-171, NIST800-53 et Contrôles CIS pour rationaliser la conformité.

Principales caractéristiques du CMMC

1. Structure et portée:
   • CMMC 2.0 (annoncé en novembre 2021, la réglementation étant en cours depuis août 2025) a remplacé la version originale CMMC 1.0. Il simplifie le cadre en trois niveaux de maturité (au lieu de cinq) :
     • Niveau 1 (fondamental): Se concentre sur l'hygiène de base en matière de cybersécurité pour les organisations gérant des FCI. Nécessite 17 contrôles alignés sur NIST800-171 LOIN 52.204-21.
     • Niveau 2 (Avancé):Cible les organisations qui traitent des CUI. Nécessite la mise en œuvre des 110 contrôles de NIST800-171, ainsi que des pratiques supplémentaires pour une protection renforcée.
     • Niveau 3 (Expert)Conçu pour les organisations avec CUI dans des environnements à haut risque. Comprend plus de 110 contrôles NIST 800-171, ainsi qu'une sélection de contrôles parmi NIST800-53 et d’autres pratiques avancées.
   • Le cadre organise les contrôles en Domaines 14 (par exemple, contrôle d'accès, réponse aux incidents, intégrité du système et de l'information), aligné sur la norme NIST 800-171.
   • S'applique à tous les entrepreneurs et sous-traitants du DoD qui traitent des FCI ou des CUI, y compris les petites entreprises, les universités et les entités étrangères.
2. Domaines et contrôles:
   • Les 14 domaines comprennent :
     • Contrôle d'accès (CA): Restreindre l'accès aux utilisateurs autorisés (par exemple, authentification multifacteur, privilège minimum).
     • Réponse aux incidents (IR): Développer et tester des plans de réponse aux incidents.
     • Protection des systèmes et des communications (SC):Utilisez le chiffrement (par exemple, validé FIPS 140-2) pour les données en transit et au repos.
     • Gestion des risques (RM):Effectuer des évaluations des risques et atténuer les vulnérabilités.
   • Niveau 1:17 contrôles de protection de base (par exemple, politiques de mot de passe, sécurité physique).
   • Niveau 2:110 contrôles, entièrement conformes à la norme NIST 800-171, couvrant des domaines tels que la journalisation d'audit et la gestion de la configuration.
   • Niveau 3: Ajoute des contrôles avancés (par exemple, chasse aux menaces améliorée, gestion des risques de la chaîne d'approvisionnement).
3. Évaluation et certification:
   • Auto-évaluations:
     • Niveau 1 : Les organisations peuvent effectuer des auto-évaluations annuelles et soumettre les résultats au DoD Système de gestion des risques liés à la performance des fournisseurs (SPRS).
     • Certains contrats de niveau 2 permettent des auto-évaluations, la haute direction attestant de la conformité.
   • Évaluations par des tiers:
     • Le niveau 2 (pour les contrats critiques) et le niveau 3 nécessitent des évaluations par Organismes d'évaluation tiers du CMMC (C3PAO), accrédité par l'organisme d'accréditation CMMC.
     • Les certifications sont valables pour trois ans, avec des affirmations annuelles de conformité.
   • Plan d'action et jalons (POA&M):
     • Les organisations peuvent obtenir une certification conditionnelle si des lacunes mineures existent, avec un délai de 180 jours pour les combler.
   • Les évaluations évaluent à la fois la mise en oeuvre (des contrôles sont-ils en place ?) et institutionnalisation (les processus sont-ils répétables et documentés ?).
4. Audit et responsabilité:
   • Les organisations doivent conserver des journaux d’audit, une documentation système et des preuves de la mise en œuvre des contrôles.
   • Le DoD surveille la conformité grâce aux scores SPRS et peut effectuer des audits de suivi pour les contrats à haut risque.
   • Le non-respect peut entraîner l’inéligibilité au contrat, la perte de récompenses ou des pénalités.

Les exigences de conformité

Pour se conformer à la CMMC, les organisations doivent :

• Déterminer le niveau requis:
  • Déterminez s’ils gèrent les FCI (niveau 1) ou les CUI (niveau 2 ou 3) en fonction des exigences du contrat.
• Commandes d'outil:
  • Déployez les contrôles spécifiés pour le niveau cible, en vous alignant sur la norme NIST 800-171 (niveaux 1 et 2) ou NIST 800-53 (niveau 3).
  • Exemples : MFA, chiffrement, formation à la sensibilisation à la sécurité et plans de réponse aux incidents.
• Effectuer des évaluations:
  • Effectuer des auto-évaluations (niveau 1, certains niveaux 2) ou faire appel à un C3PAO pour des évaluations par des tiers (contrats critiques de niveau 2, niveau 3).
  • Soumettez les plans de sécurité du système (SSP) et les scores SPRS pour documenter la conformité.
• Combler les lacunes:
  • Élaborer un POA&M pour tous les contrôles non respectés et résoudre le problème dans les 180 jours.
• Maintenir la conformité:
  • Effectuer une surveillance continue, des auto-évaluations annuelles et des recertifications triennales.
  • Mettre à jour les systèmes pour les aligner sur l’évolution des menaces et les révisions CMMC.
• Former le personnel:
  • Assurer une formation de sensibilisation à la sécurité et veiller à ce que le personnel manipulant des CUI soit soumis à des vérifications des antécédents.

CMMC en pratique

• Adoption:
  • Obligatoire pour tous les entrepreneurs et sous-traitants du DoD qui traitent des FCI ou des CUI, avec une mise en œuvre progressive à partir de 2025 (la réglementation devrait être finalisée début 2026).
  • Impacte plus de 220,000 XNUMX organisations du DIB, y compris les petites entreprises et les fournisseurs de services cloud.
• Principales mises à jour de CMMC 2.0:
  • Simplifié de cinq à trois niveaux, réduisant ainsi la complexité.
  • Réintroduction des auto-évaluations pour les contrats de niveau 1 et certains contrats de niveau 2 afin d’alléger les charges des petites entreprises.
  • Suppression des pratiques et des processus de maturité spécifiques au CMMC, s'alignant plus étroitement sur la norme NIST 800-171.
  • Introduction des POA&M pour permettre des certifications conditionnelles.
• Intégration avec d'autres normes:
  • Se contruit sur NIST800-171 (noyau pour les niveaux 1 et 2) et NIST800-53 (Niveau 3).
  • Aligne avec Contrôles CIS, ISO 27001 et FedRAMP, permettant aux organisations de tirer parti des efforts de conformité existants.
  • Cartes de Politique de sécurité du CJIS pour les organisations qui traitent des informations sur la justice pénale.
• Ressources:
  • Organisme d'accréditation CMMC: Fournit des conseils, une formation d'évaluateur et une accréditation C3PAO.
  • Projet Spectrum du ministère de la Défense: Propose des outils, des formations et des modèles gratuits pour la conformité CMMC.
  • Fournisseurs de services en nuage: Des plateformes comme AWS GovCloud, Microsoft Azure Gouvernement et Google Cloud offrir des environnements conformes à la CMMC.
• Défis:
  • Coût et complexité:Les petites entreprises peuvent être confrontées à des coûts élevés pour les évaluations et la mise en œuvre des contrôles (estimés entre 3,000 100,000 et XNUMX XNUMX $ et plus selon le niveau).
  • Surveillance de la chaîne d'approvisionnement:Les entrepreneurs principaux doivent s’assurer que les sous-traitants se conforment aux exigences, ce qui renforce les efforts de coordination.
  • Goulots d'étranglement de l'évaluation:La disponibilité limitée du C3PAO peut retarder les certifications.

Comment les organisations peuvent utiliser CMMC

• Entrepreneurs:
  • Examinez les contrats du DoD pour déterminer le niveau CMMC requis.
  • Mettre en œuvre les contrôles NIST 800-171 (en utilisant des outils tels que Continuum GRC pour le suivi de la conformité).
  • Soutien C3PAO pour les évaluations de niveau 2/3 ou utilisez des outils d'auto-évaluation pour le niveau 1.
• Sous-traitants:
  • Conformez-vous aux exigences de l’entrepreneur principal et fournissez des preuves de conformité (par exemple, les scores SPRS).
  • Tirez parti des fournisseurs de cloud avec des offres conformes à la CMMC pour réduire la charge de mise en œuvre.
• Comptes:
  • Utilisez les guides d’évaluation CMMC et les mappages NIST 800-171 pour évaluer la mise en œuvre du contrôle.
  • Vérifiez la documentation, y compris les SSP, les POA&M et les journaux d’audit.
• Fournisseurs de cloud:
  • Obtenez la certification CMMC de niveau 2 ou 3 pour soutenir les clients du DoD.
  • Assurer la transparence sur le traitement et la conformité des données par le biais d’attestations ou de rapports.

Conclusion

Le cadre CMMC 2.0 est une initiative essentielle du DoD visant à sécuriser les FCI et les CUI tout au long de la chaîne d'approvisionnement de la défense. Sa structure à trois niveaux, son alignement avec la norme NIST 800-171 et ses options d'évaluation flexibles (auto-évaluations et audits C3PAO) le rendent accessible et rigoureux. La conformité nécessite la mise en place de contrôles, la réalisation d'évaluations et un suivi continu, ce qui a des implications importantes pour l'éligibilité aux contrats du DoD. À mesure que l'élaboration de la réglementation progresse (finalisation prévue en 2026), les organisations doivent se préparer en s'alignant sur les normes NIST, en s'appuyant sur des plateformes cloud conformes et en utilisant les ressources du DoD comme le projet Spectrum. La non-conformité risque l'exclusion des contrats du DoD, ce qui fait du CMMC une priorité pour les organisations DIB.