MISE À JOUR : Cet article, initialement publié sur 26 mai 2021, a été mis à jour afin de refléter les dernières évolutions en matière de conformité à la norme CMMC 2,0 . Il comprend désormais des recommandations actualisées sur la préparation aux audits, des correspondances de contrôles mises à jour, ainsi que de nouvelles informations sur la manière dont Tanium favorise la conformité continue et la maturité opérationnelle au sein de la base industrielle de défense.
La norme CMMC 2,0 transforme la manière dont le ministère américain de la Défense (DoD) impose aux sous-traitants de sécuriser les informations non classifiées mais soumises à un contrôle (CUI) et les informations relatives aux contrats fédéraux (FCI) au sein de la base industrielle de défense (DIB), en instaurant des exigences rigoureuses en matière de cybersécurité auxquelles tous les sous-traitants doivent se conformer.
S'appuyant sur les fondements du modèle CMMC 1,0, le modèle CMMC 2,0 actualisé renforce l'objectif du ministère américain de la Défense (DoD) visant à préserver la sécurité nationale en établissant des normes de cybersécurité solides, évolutives et applicables. Elle impose aux prestataires de démontrer leur niveau de maturité en matière de cybersécurité au moyen d'un cadre à plusieurs niveaux, mesurable et axé sur l'audit, garantissant ainsi la responsabilité et l'adaptation aux menaces en constante évolution ainsi qu'aux exigences de conformité.
Cependant, le délai pour se préparer à la certification CMMC 2,0 touche à sa fin. Les évaluations étant désormais opérationnelles dans le système de notation des risques liés à la performance des fournisseurs (SPRS) de l’ (s’ouvre dans un nouvel onglet), la conformité devrait devenir une exigence contractuelle dès que le CMMC sera officiellement intégré au Supplément au Règlement fédéral sur les acquisitions de la Défense (DFARS) de l’ (s’ouvre dans un nouvel onglet) cette année. Les entrepreneurs doivent désormais passer de la phase de planification à celle de l'exécution.
Pourtant, alors même que les mesures de contrôle s'intensifient, de nombreuses organisations ont encore du retard à rattraper.
Si vous êtes sous-traitant du ministère américain de la Défense (DoD), le CMMC 2,0 n'est pas simplement un acronyme de plus : c'est votre nouvelle réalité. Ce cadre de cybersécurité actualisé de l' , disponible à l'adresse , redéfinit la manière dont la base industrielle de défense protège les données sensibles, et son application n'est désormais plus facultative.
Whether you're beginning your compliance journey or preparing for a third-party assessment, this comprehensive guide will walk you through everything you need to know about CMMC 2,0—including how Tanium simplifies and helps accelerate your path to compliance.
Qu'est-ce que le CMMC 2,0 et pourquoi est-ce important ?
La norme CMMC 2,0 introduit une structure modernisée comportant trois niveaux distincts de maturité en matière de cybersécurité, qui remplace le modèle initial à cinq niveaux. Chaque niveau correspond au degré de sensibilité des données traitées et définit de manière plus détaillée les exigences de sécurité associées.
Ce modèle met l'accent sur les progrès mesurables et la validation formelle, et exige des prestataires qu'ils démontrent leur conformité au moyen d'auto-évaluations, d'évaluations réalisées par des tiers ou d'audits menés par les pouvoirs publics, en fonction du niveau de certification requis.
Concrètement, cela signifie que le niveau 2 du CMMC intègre l'ensemble des 110 mesures de contrôle de la norme SP 800-171 de l'Institut national des normes et des technologies (NIST), tandis que le niveau 3 inclut un sous-ensemble de la norme SP 800-172. Ces niveaux renforcent les pratiques en matière de cybersécurité grâce à des domaines clairement définis, tels que le contrôle d'accès, la gestion des configurations et la sensibilisation, et sont tous conçus pour instaurer une culture de sécurité résiliente et garantir la responsabilité tout au long de la chaîne d'approvisionnement.
Historiquement, la cybersécurité de la chaîne d'approvisionnement s'est largement appuyée sur des modèles fondés sur la confiance et des outils obsolètes tels que les tableurs et les questionnaires binaires, ce qui a entraîné des lacunes critiques en matière de visibilité et de responsabilité.
Le programme CMMC répond à ces défis en imposant des pratiques de cybersécurité normalisées et mesurables à l'ensemble de la base industrielle de défense. Son objectif n'est pas seulement de garantir la conformité, mais aussi d'instaurer une culture de la sécurité proactive et résiliente. En exigeant des sous-traitants qu’ils démontrent leur maturité par le biais d’audits et d’une démarche d’amélioration continue, la norme CMMC 2,0 contribue à réduire les risques tout au long de la chaîne d’approvisionnement en favorisant la mise en place de mesures de protection cohérentes et applicables.
S'y retrouver dans la mise en conformité avec la norme CMMC peut s'avérer difficile, mais cela n'est pas une fatalité. Dans cette courte vidéo, vous découvrirez de manière claire et concise ce qu'est le CMMC et pourquoi il revêt une importance particulière pour les organisations relevant du DIB. Cette vidéo vous propose un résumé clair et concret pour vous aider à aller de l'avant en toute confiance.
La norme CMMC 2,0 incarne en définitive l'évolution des normes de sécurité au sein du secteur de la défense, en harmonisant les formations, les cadres de référence et les évaluations afin de garantir que tous les sous-traitants, quelle que soit leur taille, puissent répondre à l'objectif du ministère de la Défense consistant à protéger la sécurité nationale grâce à une cyberdéfense résiliente et responsable.
Comprendre les niveaux du CMMC 2,0 : du niveau « Fondamental » au niveau « Expert »
Le CMMC 2,0 simplifie le modèle initial à cinq niveaux en trois niveaux progressifs, chacun correspondant à des normes fédérales et à des exigences d'évaluation spécifiques.
Cependant, toutes les organisations ne sont pas tenues de respecter la même norme. C'est là qu'intervient le modèle à plusieurs niveaux :
| Niveau CMMC | Scope | Conditions requises | Type d'évaluation |
|---|---|---|---|
| Niveau 1 (fondamental) | Pour les organisations traitant exclusivement des produits FCI | 17 pratiques fondamentales en matière de cybersécurité conformes à la norme FAR 52,204-21 | Auto-évaluation annuelle |
| Niveau 2 (Avancé) | À l'intention des organisations gérant des informations classifiées (CUI) | 110 mesures de contrôle conformes à la norme NIST SP 800-171 | Évalué tous les trois ans par un organisme d'évaluation tiers agréé (C3PAO) |
| Niveau 3 (Expert) | Pour les organisations qui soutiennent des programmes essentiels du ministère américain de la Défense | Sous-ensemble des pratiques du NIST SP 800-172 axé sur des exigences renforcées en matière de recherche de menaces, d'analyse et de défense proactive | Évaluations menées par le ministère américain de la Défense |
Chaque niveau s'appuie sur le précédent, renforçant ainsi la capacité de l'organisation à détecter les cybermenaces, à y faire face et à s'en remettre.
Objectifs clés du CMMC 2,0
Alors, quel est exactement l'objectif du programme « CMMC 2,0 » ?
En substance, il s'agit de renforcer les exigences en matière de cybersécurité tout au long de la chaîne d'approvisionnement du secteur de la défense. Voici ce qu’il vise à faire :
- Protéger les informations sensibles (CUI/FCI)
- Se conformer aux normes existantes en matière de cybersécurité (par exemple, NIST SP 800-171)
- Mettre en place un modèle éprouvé et évolutif
- Renforcer la responsabilisation par le biais d'évaluations
- Favoriser la maturité et la transparence de la mise en œuvre
Qui doit se conformer à la norme CMMC ?
Toute organisation — commerciale, universitaire ou autre — qui traite des informations FCI ou CUI dans le cadre d'un contrat avec le ministère de la Défense (DoD), y compris les maîtres d'œuvre et les sous-traitants, doit atteindre le niveau approprié du CMMC 2,0.
Exigences relatives à la conformité à la norme CMMC 2,0
Les organisations souhaitant se conformer à ces exigences doivent démontrer :
- Identification et inventaire des actifs en temps réel
- Gestion des vulnérabilités et des correctifs
- Identité et contrôle d'accès
- Assurance de l'intégrité du système
- Configurations de base sécurisées
- Surveillance continue et gestion des incidents
... qui doivent tous être documentés, vérifiables et mis à jour en permanence.
Ces exigences opérationnelles correspondent directement au référentiel CMMC 2,0 , qui s'articule autour de 14 domaines (contre 17 dans la version 1,0) et de 110 pratiques alignées sur la norme NIST SP 800-171. Chaque domaine, du contrôle d'accès à la formation de sensibilisation, comporte des exigences spécifiques visant à instaurer une culture de cybersécurité résiliente.
Entre des exigences en constante évolution, des menaces qui ne cessent de se transformer et la pression de tout mettre en place avant un audit, de nombreuses organisations peinent à passer de la phase de planification à celle de la mise en œuvre. C'est pourquoi nous avons décomposé ce processus en une liste de contrôle pratique en six étapes, afin de vous aider à vous lancer, à rester concentré et à aller de l'avant en toute confiance.
Une liste de contrôle pratique en 6 étapes pour la conformité à la norme CMMC 2,0
No matter where you are in your compliance journey—just getting started or preparing for a third-party assessment—this streamlined, actionable checklist can help guide your organization toward CMMC 2,0 readiness:
- Évaluez votre niveau
- Faites le point sur votre situation
Vérification rapide de l'état de préparation Posez-vous les questions suivantes : ✓ Combien d'ordinateurs se trouvent sur votre réseau
— et sont-ils autorisés à y être ? ✓ Quelles applications sont installées ? Sont-elles toutes à jour ? ✓ Que font les utilisateurs ? Et est-ce autorisé ? ✓ Dans quelle mesure êtes-vous à l'aise avec votre niveau de mise à jour, vos vulnérabilités, vos
s et votre exposition aux risques ?
Ces questions permettent de mettre en évidence très tôt les angles morts et de vous aider à définir vos priorités en matière de mesures correctives
. Si vous ne pouvez pas y répondre avec certitude,
vos auditeurs ne le pourront pas non plus.
- Cartographiez votre environnement
- Évaluer les risques et les hiérarchiser
- Mettre en œuvre le suivi et les mesures d'intervention
- Documenter et valider
Des éléments probants clairs et bien structurés sont indispensables tant pour les auto-évaluations que pour les évaluations réalisées par des tiers. Cela montre que vos pratiques en matière de cybersécurité ne sont pas ponctuelles, mais cohérentes, reproductibles et conçues pour durer. C'est ce type de maturité opérationnelle que recherchent les auditeurs et qui distingue les organisations résilientes.
Et c'est justement cela. La maturité ne se résume pas à réussir un examen : il s'agit de prouver que vous êtes capable de maintenir ce niveau. C'est pourquoi la préparation à un audit n'est pas une démarche ponctuelle. C'est une question d'état d'esprit.
Maturité des processus CMMC : aller au-delà de la certification ponctuelle
La conformité ne se résume plus à la simple réussite d'un audit ponctuel. Elle met plutôt l'accent sur la maturité continue des processus de cybersécurité, c'est-à-dire sur la manière dont ces processus sont documentés, institutionnalisés et améliorés en permanence au fil du temps.
Cependant, les entreprises traitent souvent les failles de cybersécurité à l'aide d'un ensemble hétéroclite de solutions ponctuelles qui ne fonctionnent pas ensemble, sont difficiles à gérer et ne leur offrent pas de visibilité sur les cybermenaces présentes sur le réseau.
Si les prestataires continuent à utiliser ces solutions ponctuelles plutôt qu’une plateforme unifiée pour corriger les vulnérabilités individuelles, ils augmenteront à la fois les coûts, la complexité et les risques, et pourraient ne pas être en mesure de satisfaire pleinement aux exigences du CMMC sans procéder à des changements importants.
[À lire également : Conformité et gestion des risques – Définition et différences]
Le CMMC ne se résume pas à la réussite d'un audit : il s'agit d'institutionnaliser les meilleures pratiques en matière de cybersécurité.
Tanium facilite cette transition grâce à :
- Une vue d'ensemble unifiée des processus liés à l'hygiène informatique et à la conformité
- Indicateurs de référence mesurables relatifs à la configuration et aux vulnérabilités
- Rapports de conformité automatisés et prêts pour les audits
- Intégration avec des outils tels que Microsoft, ServiceNow et bien d'autres encore
En améliorant continuellement leurs processus, les organisations peuvent passer du niveau de maturité « Exécution » au niveau « Optimisation », démontrant ainsi qu'elles ne se contentent pas de respecter les exigences, mais qu'elles font également preuve de résilience et d'esprit d'initiative.
Comment Tanium aide les organisations à se mettre en conformité avec la norme CMMC 2,0
Bien que Tanium ne soit pas un organisme d'évaluation « C3PAO », nous fournissons à nos clients des analyses très précises sur les bonnes pratiques de cybersécurité nécessaires à la mise en place d'une infrastructure informatique conforme à la norme CMMC. Grâce à Tanium, les prestataires disposent d'une plateforme unique et unifiée qui harmonise la gestion et la sécurité des terminaux, ce qui facilite la collecte des données provenant de ces derniers.
Notre plateforme propose une surveillance approfondie des menaces, accompagnée d'une analyse détaillée des incidents, permettant ainsi aux prestataires d'identifier, d'isoler et d'atténuer les menaces en temps réel. Cela simplifie la gestion des environnements hybrides, améliore la compréhension qu'ont les prestataires de leur environnement et permet à la communauté du ministère de la Défense d'atteindre son objectif ultime : renforcer sa résilience face aux risques cybernétiques.
De l'inventaire des actifs à la production de rapports prêts pour les audits, Tanium vous aide à mettre en place une stratégie de conformité solide, fondée sur les données et défendable.
Compétences techniques
La solution Tanium Autonomous Endpoint Management (AEM) répond à de nombreuses exigences de conformité CMMC 2,0 en proposant :
- Visibilité en temps réel : La surveillance continue des terminaux offre une visibilité en temps réel sur l'environnement informatique, permettant ainsi une gestion rigoureuse des actifs et des contrôles de sécurité conformes à la norme CMMC 2,0.
- Hygiène de sécurité proactive : L'évaluation et l'amélioration continues du niveau de sécurité des terminaux aident les organisations à maintenir une hygiène de cybersécurité rigoureuse, élément essentiel pour satisfaire aux exigences fondamentales de la norme CMMC 2,0 .
- Gestion automatisée des terminaux : Automatisation des tâches de mise à jour et de configuration afin de garantir la sécurité et la conformité des systèmes, ce qui répond directement aux exigences du CMMC 2,0 en matière de gestion et de maintenance de la configuration.
- Réponse intelligente aux incidents : Les outils de détection et d'atténuation rapides permettent de résoudre rapidement les menaces, conformément aux exigences de la norme CMMC 2,0 en matière de réponse aux incidents et de gestion des risques.
- Rapports de conformité en continu : Générez automatiquement des rapports et des pistes d'audit prêts à l'emploi qui répondent aux exigences en matière de responsabilité et facilitent la préparation à l'évaluation CMMC.
Couverture des contrôles
| Famille de commandes | Pourcentage de couverture* |
|---|---|
| Évaluation des risques | 100% |
| Gestion de la configuration | 75% |
| Réponse aux incidents | 65% |
*Les pourcentages de couverture des produits sont basés sur les fonctionnalités actuelles des produits concernés dans le cadre de l'offre Tanium et sont susceptibles d'évoluer à mesure que cette offre évolue.
Prise en charge des commandes « Level 3 »
| Identifiant de contrôle | Description |
|---|---|
| CM.L3-3,4,2e | Remise en conformité automatisée des systèmes non autorisés |
| CM.L3-3,4,3e | Inventaire continu des composants |
| IA.L3-3,5,3e | Application de la politique d'accès aux systèmes de confiance |
| RA.L3-3,11,3e | Analyse des risques et prévision des menaces |
| SI.L3-3,14,6e | Intégration proactive des informations sur les menaces |
Avantages stratégiques
Au-delà des contrôles techniques, Tanium permet aux organisations d'accélérer leur préparation à la certification CMMC et d'étendre leurs efforts de mise en conformité grâce à :
- Optimisation du SPRS : Surveillez en permanence le niveau de conformité, identifiez les lacunes et traitez les points du plan d'action et des étapes clés (POA&M) dans les délais impartis.
- Contrôle de la conformité au sein de la chaîne d'approvisionnement : Surveiller la conformité des sous-traitants afin de garantir le respect des exigences essentielles répercutées en aval.
- Préparation aux évaluations : Fournissez les éléments justificatifs nécessaires pour rationaliser les évaluations « C3PAO » et celles du Centre d'évaluation de la cybersécurité de la base industrielle de défense (DIBCAC), aidant ainsi les organisations à rester en conformité avec les exigences de certification.
Tanium aide les prestataires à progresser en toute confiance dans leur démarche de mise en conformité avec le CMMC en s'alignant sur les principales directives relatives aux capacités, en permettant un suivi continu et en facilitant la mesure des progrès réalisés à travers les niveaux de maturité du modèle.
Foire aux questions sur le CMMC
Vous avez encore du mal à comprendre le CMMC ? Nous sommes là pour vous aider. Ces réponses concises abordent les questions les plus courantes et sont idéales pour vous mettre rapidement au courant sans perdre de temps.
Combien coûte la certification CMMC ?
Les coûts varient en fonction du niveau, de la taille de l'organisation et des contrôles déjà en place, allant de 3 000 $ à plus de 100 000 $ selon l'étendue, le niveau et l'état de préparation.
Combien de temps dure le processus de certification CMMC ?
Entre 3 et 12 mois, en fonction de son niveau de préparation.
Qui doit être certifié CMMC ?
Tous les prestataires principaux et sous-traitants qui manipulent des informations classifiées (CUI) ou des éléments de sécurité (FCI) au sein de la chaîne d'approvisionnement du ministère de la Défense.
Quelle est la différence entre le CMMC 2,0, le NIST et le FedRAMP ?
Voici une comparaison entre le CMMC 2,0 et les autres grands référentiels fédéraux en matière de cybersécurité :
| Cadre | Scope | Exigé par | Type d'évaluation |
|---|---|---|---|
| CMMC 2,0 | CI/CUI + maturité de mise en œuvre | sous-traitants du ministère américain de la Défense | 3PAO/Initiatives gouvernementales |
| NIST 800-171 | Protection contre la corrosion interne (CUI) | Organismes civils | Auto-évaluation |
| FedRAMP | Sécurité des fournisseurs de services cloud | Agences fédérales | Contrôle exercé par des tiers et par le Bureau de gestion du programme (PMO) FedRAMP |
La norme CMMC 2,0 s'appuie directement sur les fondements de la norme NIST SP 800-171, en intégrant ses 110 mesures de contrôle au niveau 2 et en y ajoutant un sous-ensemble de la norme NIST SP 800-172 au niveau 3. Si votre organisation est déjà conforme aux normes du NIST, vous êtes sur la bonne voie ; toutefois, le CMMC introduit un modèle de maturité et des exigences d'évaluation formelles qui vont au-delà de l'auto-certification.
En ce qui concerne le programme FedRAMP, bien qu’il se concentre sur la sécurité des fournisseurs de services cloud destinés aux agences fédérales, il existe un certain chevauchement au niveau des exigences en matière de contrôle. Des discussions ont eu lieu concernant une éventuelle réciprocité entre le CMMC et le FedRAMP, mais à la date du 2025, aucun accord officiel n'a été conclu. Les organisations qui opèrent dans le cadre de ces deux référentiels peuvent tirer profit d'une documentation commune et doivent suivre de près les mises à jour publiées par le ministère de la Défense (DoD) et les bureaux chargés du programme FedRAMP.
Quel niveau est requis pour le CUI ?
La conformité à la norme CMMC niveau 2 (avancé) est obligatoire.
Ressources complémentaires
- Qu'est-ce que la gestion de la conformité ?
- Comment nous suivons les indicateurs clés de conformité
- Liste de contrôle de conformité à la norme PCI DSS
La norme CMMC 2,0 n'est pas seulement une réglementation : c'est un impératif en matière de sécurité nationale et d'excellence opérationnelle, dicté par l'évolution de la réglementation et des exigences de conformité. Tanium vous accompagne à chaque étape, de l'évaluation initiale à l'amélioration continue.
Tanium permet aux entreprises du secteur de la défense et à leurs sous-traitants de satisfaire, voire de dépasser, les exigences de la norme CMMC 2,0 en toute confiance. En associant une visibilité en temps réel, une gestion automatisée des terminaux et une atténuation proactive des risques, Tanium contribue à sécuriser les données sensibles, à réduire les risques informatiques et à garantir une résilience opérationnelle à long terme.
Demandez une démonstration personnalisée à l'adresse pour découvrir comment Tanium peut vous accompagner dans votre parcours CMMC.
