Le parcours du CMMC : la prochaine étape du renforcement de la sécurité nationale
Le parcours du programme de certification du modèle de maturité cybersécurité (CMMC) s'est déroulé avec dévouement, collaboration entre le secteur public et le secteur privé et efforts inlassables pour sécuriser la Base industrielle de défense (BDI). La publication récente de la règle finale du CMMC par le Département américain de la défense (DoD) marque une étape importante dans cette mission en cours et fournit une étude de cas pour les avantages de la collaboration entre le secteur public et le secteur privé.
Bref historique du CMMC
Le programme CMMC a été lancé en 2019 pour répondre aux menaces en matière de cybersécurité qui pèsent sur la chaîne d'approvisionnement du DoD, particulièrement en ce qui concerne la protection des renseignements non classifiés (CUI). L'ICU fait référence à des renseignements qui ne sont pas classifiés, mais que le gouvernement fédéral a jugés suffisamment sensibles pour justifier des mesures de protection supplémentaires.
Bien que les entrepreneurs aient déjà attesté qu'ils respectaient un ensemble de pratiques de sécurité communes lors du traitement de l'ICU, le CMMC a été créé pour faire appliquer les exigences de sécurité énoncées dans les publications spéciales 800-171 et 800-172 du NIST dans l'ensemble du DIB. L'objectif était d'exiger un examen indépendant de la position de sécurité de l'entrepreneur pour tous les contrats couverts – une notion communément appelée « confiance », mais vérifier.
Au départ, le programme a fait face à plusieurs problèmes de mise en œuvre (s’ouvre dans un nouvel onglet) que Menacés d'élever (s’ouvre dans un nouvel onglet) les objectifs de cybersécurité du DoD, y compris la fragmentation du paysage fédéral de la sécurité, le manque de clarté des éléments essentiels comme la portée des examens par des tiers et le manque de surveillance. L'industrie a travaillé avec le DoD pour cerner ces préoccupations et y répondre dans ce qui allait devenir la prochaine itération du CMMC, CMMC 2.0.
CMMC 2.0
En novembre 2021 (s’ouvre dans un nouvel onglet), le DoD a interrompu le déploiement du CMMC 1.0 relancé comme CMMC 2.0 (s’ouvre dans un nouvel onglet). Ceci modèle actualisé (s’ouvre dans un nouvel onglet) simplifier le cadre en réduisant le nombre de niveaux d'échéance de cinq à trois. Les efforts renouvelés ont aligné le programme sur les normes sous-jacentes du NIST, les publications spéciales 800-171 et 800-172, ce qui a contribué à réduire la complexité de l'évaluation et la fragmentation réglementaire. Il a également transféré les responsabilités de surveillance des programmes de l'OUSD (A&S) au Bureau du dirigeant principal de l'information du DoD (DPI).
Le passage au CMMC 2.0 a été un moment crucial de l'évolution du programme, démontrant La volonté du DoD (s’ouvre dans un nouvel onglet) adapter le cadre pour mieux répondre besoins des contractants (s’ouvre dans un nouvel onglet) tout en atteignant les objectifs de cybersécurité.
Ce mois-ci, presque exactement trois ans après le pivot à CMMC 2.0, DoD a publié la version finale du Règlement du CMMC relatif aux programmes (s’ouvre dans un nouvel onglet). La règle reflète les annonces stratégiques de ce pivot et fournit des détails et des définitions importants pour les concepts et les procédures clés. Plus précisément, il définit les caractéristiques et les responsabilités des fournisseurs de services en nuage (PSC) et des fournisseurs de services externes (PSE), fournit des directives sur le traitement des lacunes temporaires et des exceptions durables dans le contexte des plans d'action et des jalons (PAP) et des plans d'action opérationnels, et améliore la transparence dans certains des facteurs que les gestionnaires de programme évalueront pour déterminer le niveau de CMMC approprié pour chaque marché.
La route en avant
Dans l'avenir, la mise en oeuvre réussie du programme du CMMC exigera collaboration en cours (s’ouvre dans un nouvel onglet) entre le DoD, les intervenants de l'industrie et les experts en cybersécurité. L'approche de déploiement progressif, qui permet une mise en œuvre progressive des exigences de certification, est conçue pour donner aux entrepreneurs le temps nécessaire pour s'adapter et se conformer.
De plus, le DoD s'est engagé à fournir un soutien et des conseils continus aux entrepreneurs tout au long du processus de certification. Cela comprend des ressources pour comprendre les exigences, l'accès aux outils d'évaluation et des voies claires de communication et de règlement des problèmes qui se posent.
De plus, d'autres mesures réglementaires semblent indiquer que le gouvernement fédéral a fait de la protection de l'ICU une priorité, même au-delà du ministère de la Défense. L'année dernière, le Département de la sécurité intérieure a publié un rapport sur la sécurité intérieure. Règle finale (s’ouvre dans un nouvel onglet) concernant la sauvegarde de l'ICU. Plus récemment, un mouvement renouvelé sur le long cas dormant FAR 2017-016 semble appuyer cette affirmation. Bien que le texte de cette règle n'ait pas encore été publié pour la consommation publique, on pense qu'il définit des exigences de sécurité normalisées pour la protection de l'ICU dans les systèmes non fédéraux.
Alors que le gouvernement fédéral continue d'accorder la priorité à la protection de l'ICU, il sera essentiel d'adopter une approche équilibrée pour assurer une protection adéquate des données sensibles sans entraver les autres priorités stratégiques du gouvernement fédéral, y compris le déploiement de solutions novatrices à l'appui de la prestation des missions et la diversification de la base de fournisseurs. Un tel équilibre ne peut être atteint qu'en maintenant une forte collaboration entre le secteur public et le secteur privé. L'ITI est prête à faciliter les conversations entre l'industrie et les intervenants fédéraux.
Le lancement du programme du CMMC témoigne du pouvoir de collaboration public-privé. Tout au long des phases de développement, le DoD a collaboré activement avec des associations industrielles, des entrepreneurs et des experts en cybersécurité pour recueillir des commentaires et affiner le modèle. La publication de la règle programmatique finale marque une étape cruciale dans le renforcement de la sécurité nationale des États-Unis et reflète l'aboutissement d'années de travail acharné, de collaboration et de dévouement à l'amélioration de la position de cybersécurité de la DIB. Alors que le gouvernement fédéral dans son ensemble s'attache à protéger l'ICU, il sera essentiel de maintenir de solides échanges d'information public-privé afin d'assurer une approche équilibrée et harmonisée pour améliorer la position de cybersécurité de l'entreprise fédérale.
Related News & Analysis
Pourquoi un « interrupteur d’arrêt d’urgence » de l’IA n’est pas une solution universelle
L'IA est une menace cybernétique. Les défenseurs ont besoin de nouveaux outils et partenariats.
