Qu’est-ce que la CMMC ?

CMMC. Ou Certification du Modèle de Maturité de la Cybersécurité. Qu’est-ce qu’un modèle de maturité nous direz-vous ? Il s’agit tout simplement d’un modèle de référence évaluant le niveau de transition d’une entreprise au numérique. Ici, le CMMC va donc évaluer le niveau de transition des entreprises face à un élément des plus importants ces dernières années : la cybersécurité.

Définition, détails et influence du CMMC sur la lutte contre les cyberattaques, nos réponses dans la suite de cet article.

1. Définition et évolutions de la CMMC

La Certification du Modèle de Maturité de la Cybersécurité est une norme mondiale mise en place par le ministère américain de la défense (le DoD) qui s’applique aux entreprises et sous-traitants disposant d’un contrat avec le DoD. Il s’agit d’une norme unifiée et d’un nouveau modèle de certification visant à garantir que les entreprises du DoD protègent correctement les informations et données sensibles.

La CMMC veille à ce qu’elles sécurisent ces informations de la même manière que les départements militaires et les agences gouvernementales.

Depuis son lancement, la Certification du Modèle de Maturité de la Cybersécurité (CMMC) a subi des ajustements pour mieux s’adapter aux besoins des entreprises et rendre la conformité plus accessible. L’introduction de la CMMC 2.0, en 2021, a marqué une étape importante dans cette évolution. Cette nouvelle version a simplifié la norme en réduisant le nombre de niveaux de certification, passant de cinq à trois, afin de rendre le processus plus direct tout en maintenant des exigences rigoureuses en matière de cybersécurité.

La CMMC 2.0 a également révisé certains critères, mettant l’accent sur des pratiques essentielles et offrant plus de flexibilité pour les entreprises, en fonction de la nature de leurs activités et de leurs risques. Ces ajustements ont permis d’harmoniser davantage la norme avec les besoins spécifiques des entreprises tout en renforçant leur posture de sécurité face aux menaces actuelles.

Avec la mise en œuvre complète prévue pour octobre 2025, les entreprises qui cherchent à obtenir ou à maintenir leur certification doivent désormais prendre en compte ces modifications. Les ajustements apportés par la CMMC 2.0 peuvent influencer le temps et les ressources nécessaires pour obtenir la certification, car elles impliquent une réévaluation des pratiques de cybersécurité et des exigences de documentation, d’audit et de conformité.

2. Comment fonctionne la CMMC ?

La CMMC comprend un système de notation à trois niveaux.

Niveau 1 : Pratiques de base en matière de cybersécurité
Ce niveau se concentre sur les pratiques essentielles de cybersécurité, appelées “cyber-hygiène”. Il inclut des mesures simples pour protéger les informations, comme la gestion des mots de passe et l’utilisation de l’authentification multifactorielle (MFA), ainsi que des exigences pour la sauvegarde des données.

Note:

Qui doit obtenir la certification CMMC Niveau 1 ? Les sous-traitants et contractants du ministère de la Défense (DoD) qui traitent des Informations Contractuelles Fédérales (FCI) doivent se conformer à cette certification.

Niveau 2 : Pratiques avancées et documentation
Le niveau 2 exige des pratiques de cybersécurité plus robustes et la documentation des politiques et procédures mises en place pour garantir leur mise en œuvre correcte. Ce niveau est destiné à protéger les informations sensibles non classifiées contre des menaces plus complexes et à fournir une base solide pour la gestion de la cybersécurité.

Note:

Qui doit obtenir la certification CMMC Niveau 2 ? Les contractants et sous-traitants du DoD manipulant des CUI doivent se conformer à ce niveau. Un audit tiers est requis pour les données critiques pour la sécurité nationale, sinon une auto-évaluation annuelle suffit.

Niveau 3 : Pratiques avancées et gestion proactive
Le niveau 3 est le plus élevé de CMMC 2.0 et exige la mise en place d’un programme de cybersécurité complet, avec un plan de gestion pour la mise en œuvre et la surveillance des pratiques de sécurité. Ce niveau met l’accent sur la protection des informations contrôlées non classifiées (CUI) et la réponse aux incidents, en s’appuyant sur une surveillance proactive des menaces persistantes avancées (APT).

Note:

Qui doit obtenir la certification CMMC Niveau 3 ? Les entreprises manipulant des CUI dans des programmes de défense prioritaires du DoD doivent se conformer à ce niveau.

Ces niveaux permettent d’évaluer la maturité de la cybersécurité d’une organisation et de garantir qu’elle répond aux exigences de sécurité nécessaires en fonction de ses activités.

La CMMC et les MSP

Il est important pour les fournisseurs de services gérés d’être en conformité avec la CMMC. En effet, de plus en plus d’entreprises, organisations ou sous-traitants, sont amenés à contracter avec le ministère américain de la Défense. Il est donc important d’être à jour et au fait des nouvelles règles et dernières exigences.

Les MSP ont pour responsabilité de faire entrer leurs clients en conformité avec l’ensemble des règles en vigueur et tout particulièrement en matière de cybersécurité.

En général, les entreprises font appel à des MSP car ils ont besoin de partenaires et d’experts qui peuvent soutenir leurs objectifs stratégiques.

Les MSP quant à eux se retrouvent à essayer de comprendre quel niveau de certification est nécessaire pour que leurs clients puissent leur faire confiance.
La première étape pour déterminer si un MSP doit être conforme à la CMMC réside dans les données clients qu’il collecte, transmet, traite ou stocke. Si un MSP doit gérer des données contrôlées, il doit être au niveau CMMC approprié.

Pour les MSP qui souhaitent conserver ou élargir leur clientèle, la CMMC peut être utilisée comme un facteur concurrentiel. Non seulement les MSP sont en mesure de prouver leur propre maturité en matière de cybersécurité, mais comprennent également le processus de certification.

Il y a plusieurs mesures que les MSP peuvent prendre :

• Comprendre les exigences du CMMC en matière de documentation, d’attestation et d’audit et savoir comment leurs services répondent à ces exigences.
• Présenter ces avantages aux clients
• Aider les clients à mettre en place les bons contrôles pour répondre aux exigences de documentation, d’attestation et d’audit du CMMC.

La “conformité en tant que service” (CaaS) n’est pas un concept nouveau pour les fournisseurs de services managés (MSP). Depuis un certain temps déjà, ces derniers offrent des solutions de gestion de la conformité pour aider leurs clients à répondre aux exigences légales et réglementaires. Cependant, dans le contexte de la cybersécurité et de normes telles que le CMMC, cette approche prend une nouvelle dimension. Les MSP doivent désormais réfléchir à la manière dont les technologies qu’ils mettent en œuvre avec leurs clients jouent un rôle crucial dans le maintien de leur conformité tout en contribuant à la croissance de leur activité. En d’autres termes, ces technologies ne se contentent pas de garantir que les clients respectent les normes de sécurité ; elles peuvent également les aider à renforcer leurs processus, à optimiser leur efficacité et, en fin de compte, à améliorer la satisfaction et la fidélité des clients. Cela devient un levier stratégique pour les MSP, qui doivent exploiter ces outils non seulement pour rester conformes, mais aussi pour fidéliser et attirer de nouveaux clients, tout en se positionnant comme des partenaires technologiques de confiance.