Ce que les organismes publics doivent savoir sur la certification du modèle de maturité en cybersécurité (CMMC)

Ryan Johnson

Au début de l’année, le département de la Défense (DoD) a publié le modèle de certification de la maturité en cybersécurité (CMMC) version 1.0 — une norme unifiée très attendue visant à sécuriser la vaste chaîne d’approvisionnement de l’agence. Lorsque les tensions avec d’autres pays s’intensifient, par exemple, beaucoup craignent que les représailles ne passent pas seulement par le cyberespace, mais ciblent également des « sous-traitants de la défense potentiellement vulnérables ».

Le CMMC, dont le déploiement s’échelonnera sur cinq ans, vise à réduire, voire à éliminer, ces vulnérabilités et à répondre à un enjeu crucial de sécurité nationale. La base industrielle de défense (DIB) regroupe plus de 300 000 entreprises, qui n’ont jusqu’à présent manifestement pas fait l’objet d’une surveillance suffisante. Ces entreprises accèdent à des informations sensibles relatives à la défense et les stockent sur leurs propres systèmes. Le CMMC constitue une étape importante vers la protection de ces informations.

Malgré ses avantages à long terme, le CMMC peut, à court terme, être source de confusion pour de nombreux sous-traitants. Selon la nature de leurs activités, ceux-ci doivent satisfaire aux exigences de l’un des cinq nouveaux niveaux de sécurité. Toutefois, le point de départ pour améliorer leur niveau de sécurité reste globalement le même.

Se préparer à la CMMC

Pour ceux qui souhaitent se familiariser avec les bonnes pratiques de sécurité dans le sillage du CMMC, le cadre de cybersécurité du National Institute of Standards and Technology (NIST), qui met l’accent sur la sécurité continue, constitue un bon point de départ. Le cadre du NIST s’articule autour de cinq catégories, ou fonctions : identifier, protéger, détecter, réagir et rétablir.

La première catégorie constitue bien entendu le socle. Pour identifier les menaces, les entreprises doivent d’abord être en mesure de cerner l’étendue de leurs propres systèmes, ce qui peut s’avérer difficile à l’ère du BYOD et du shadow IT. Il est impossible de sécuriser un système sans avoir une vision complète de ses collaborateurs, de ses actifs et de ses données. Il existe toutefois de nombreux outils permettant d’obtenir cette visibilité, de la visualisation centrée sur les applications à la visibilité SSL. Cette dernière déchiffre puis chiffre à nouveau le trafic afin de vérifier qu’il ne contient aucun logiciel malveillant.

Surveillance continue

Ce n’est qu’en disposant d’une visibilité complète sur les systèmes et les données que les entreprises peuvent mettre en place les mesures de protection nécessaires, notamment contre les failles web courantes, les adresses IP malveillantes et les types d’attaques coordonnées. La gestion des accès, notamment au moyen de l’authentification unique, d’une infrastructure VDI sécurisée et de la gestion des accès à privilèges, constitue un moyen de se protéger contre les acteurs malveillants. En termes simples, le gouvernement fédéral doit pouvoir vérifier que les prestataires sont bien ceux qu’ils prétendent être, puis leur accorder le niveau d’accès approprié.

Toutefois, la sécurité ne peut pas s’arrêter à la porte. Même après l’authentification des utilisateurs, les entreprises doivent continuer à surveiller et à consigner leurs activités afin de mettre en œuvre le troisième volet du cadre du NIST : la détection rapide. L’analyse comportementale, l’intelligence artificielle et l’apprentissage automatique peuvent être utilisés à cette fin pour analyser le trafic et signaler les comportements à risque ou inhabituels.

Sans ces trois premières étapes, les deux dernières — élaborer un plan d’intervention et un plan de restauration des systèmes et actifs touchés — sont quasiment impossibles à mettre en œuvre. Bien entendu, l’objectif du CMMC est de faire en sorte que ces deux dernières étapes soient rarement nécessaires. Grâce à une surveillance continue, l’objectif est d’éviter toute compromission des sous-traitants et fournisseurs du DoD.

L’essentiel

À court terme, les entreprises de la chaîne d’approvisionnement du DoD devraient investir dans des technologies favorisant la visibilité, la protection et la détection rapide. Elles poseront ainsi les bases nécessaires à la certification et à la sécurité. Si de nombreux sous-traitants peuvent trouver la perspective de la CMMC intimidante, il s’agit en réalité d’une réponse nécessaire à des années de négligence.

Il est toutefois important que ce nouveau niveau de sécurité n’évince pas les petits sous-traitants, qui jouent eux aussi un rôle crucial dans la chaîne d’approvisionnement. La bonne nouvelle, c’est que le DoD estime que la plupart des sous-traitants n’auront besoin que d’une certification de niveau 1, axée sur les règles élémentaires de cyberhygiène. Il s’agit de bonnes pratiques que les entreprises devraient mettre en œuvre même si elles n’accèdent pas à des données gouvernementales sensibles. Pour les acteurs de la base industrielle de défense, il aurait déjà fallu prendre des mesures de protection et de détection.

À propos de l’auteur

Ryan Johnson

Autres articles de Ryan Johnson