CMMC et NIST SP 800-171 Plongée profonde

1. Aperçu

Qu'est-ce que la CMMC

Le Cybersecurity Maturity Model Certification (CMMC) est le programme du Département américain de la Défense (DoD) permettant de vérifier que les entrepreneurs et sous-traitants de la base industrielle de défense (DIB) mettent en œuvre les exigences de cybersécurité applicables aux informations contractuelles fédérales (FCI) et aux informations contrôlées non classifiées (CUI) qu'ils traitent. CMMC 2.0 a été codifié par le biais de la règle finale (32 CFR Part 170) publiée en octobre 2024 et intégrée au Defence Federal Acquisition Regulation Supplement (DFARS) via 48 CFR Part 204 fin 2025. Le DoD CIO maintient le programme à dodcio.defense.gov/CMMC; le catalogue de contrôles sous-jacent est NIST SP 800-171 Révision 3.

À qui s’applique-t-il

Tout entrepreneur principal ou sous-traitant qui traite, stocke ou transmet des FCI ou CUI pour le DoD. L'inclusion sera progressive dans les clauses contractuelles sur une base continue tout au long de la période de trois ans du programme après la date d'entrée en vigueur de la règle en décembre 2024. Le flux des sous-traitants suit le même niveau que celui du contrat principal.

Niveaux de maturité

• Niveau 1 — Fondamental: 17 contrôles de sauvegarde de base tirés du FAR 52.204-21. Auto-évaluation annuelle avec affirmation d’un haut fonctionnaire. Couvre uniquement FCI.
• Niveau 2 — Avancé: 110 contrôles NIST SP 800-171. Évaluation tierce triennale par un organisme d'évaluation tiers CMMC (C3PAO) pour la plupart des contrats ; l’auto-évaluation n’est autorisée que pour un sous-ensemble restreint spécifié par le DoD. Affirmation annuelle d'un haut fonctionnaire. Couvre le CUI.
• Niveau 3 — Expert: Niveau 2 plus un sous-ensemble défini des exigences de sécurité renforcées du NIST SP 800-172. Évaluation triennale par le Centre d'évaluation de la cybersécurité de la base industrielle de défense (DIBCAC) de la Defense Contract Management Agency. Cible les scénarios de CUI et de menace persistante avancée les plus sensibles.

Transition NIST SP 800-171 r2 vers r3

Le NIST a publié le SP 800-171 Rév. 3 en mai 2024, restructurant les familles de contrôle et ajoutant des paramètres définis par l'organisation. CMMC 2.0 a codifié l'utilisation de r2 (110 contrôles répartis en 14 familles) à la date d'entrée en vigueur de la règle. Le DoD a signalé une transition vers r3 (actuellement 97 exigences de base avec d'importantes sous-exigences basées sur des paramètres) une fois les mises à jour contractuelles en place. Les entrepreneurs qui construisent aujourd'hui un programme CUI devraient concevoir selon r3 tout en affirmant leur conformité à r2 jusqu'à ce que la clause contractuelle change. La clause DFARS 252.204-7012 requiert déjà la mise en œuvre du NIST SP 800-171 comme base technique sous-jacente.

Résultat

Auto-attestation de niveau 1, certification de niveau 2 auto-délivrée ou délivrée par le C3PAO (la plupart des contrats nécessitent le C3PAO) ou certification de niveau 3 délivrée par le DIBCAC. Le résultat est enregistré dans le système de gestion des risques de performance des fournisseurs (SPRS) avec un score numérique dérivé de la méthodologie de notation SPRS.

Clarify Consult Partner accompagne les entrepreneurs du DIB à travers le Service CMMC et NIST 800-171, généralement à côté d'un aligné ISO 27001 programme dans lequel l'entrepreneur sert également des clients commerciaux.

2. Portée et applicabilité

FCI et CUI

• FCI — Informations sur les contrats fédéraux : informations non destinées à être rendues publiques, fournies par ou générées pour le gouvernement dans le cadre d'un contrat visant à développer ou à fournir un produit ou un service. Le niveau 1 s'applique.
• CUI — Informations non classifiées contrôlées : informations non classifiées que le gouvernement crée ou possède, ou qu'une entité crée ou possède en son nom, qui nécessitent des contrôles de sauvegarde ou de diffusion conformément à la loi, à la réglementation ou à la politique à l'échelle du gouvernement. CUI est répertorié dans le registre CUI des Archives nationales. Le niveau 2 ou le niveau 3 s'applique.

Limite de portée

La portée de l'évaluation CMMC couvre les personnes, les processus, la technologie et les installations qui traitent, stockent ou transmettent des FCI ou des CUI, ainsi que les composants liés à la sécurité qui protègent ces actifs. Trois catégories d’actifs façonnent la portée :

• Actifs CUI — traiter, stocker ou transmettre directement le CUI. Pleinement dans la portée.
• Actifs de protection de sécurité — protéger les actifs CUI (pare-feu, IdP, SIEM, hôtes de saut). Dans la portée.
• Actifs gérés par les entrepreneurs — capable de traiter des CUI mais contractuellement interdit. Dans le champ d'application à intensité réduite si documenté.
• Actifs hors champ — ne peuvent pas traiter les CUI et sont physiquement ou logiquement séparés.

La plupart des sous-traitants parviennent à réduire la portée en établissant une enclave CUI dédiée avec des contrôles de limites renforcés, un IdP séparé et des charges de travail isolées.

Fournisseurs de services cloud

Un fournisseur de services cloud gérant le CUI pour le compte d'un entrepreneur doit respecter la ligne de base FedRAMP modérée ou équivalente (DFARS 252.204-7012(b)(2)(ii)(D)). Les SSP externes prenant en charge CUI doivent le démontrer. Les CSP dans le champ d'application CMMC pour le niveau 2 doivent soit détenir une autorisation FedRAMP modérée (ou équivalente), soit accepter une évaluation dans le cadre du champ d'application CMMC de l'entrepreneur. Voir notre Service FedRAMP pour un travail parallèle.

3. Principes fondamentaux

Le programme CMMC repose sur trois principes :

• Mise en œuvre — le contractant met en œuvre les exigences de sécurité. NIST SP 800-171 est le catalogue de contrôle ; CMMC ajoute de la rigueur à l'attestation.
• Évaluation — la mise en œuvre est vérifiée de manière indépendante au niveau 2 (dans la plupart des cas) et au niveau 3.
• Affirmation — un haut fonctionnaire affirme chaque année qu'il respecte sa responsabilité pénale et civile en vertu de la loi sur les fausses réclamations pour de fausses affirmations sciemment.

Les 14 familles de contrôle du NIST SP 800-171 r2 sont : contrôle d'accès, sensibilisation et formation, audit et responsabilité, gestion de la configuration, identification et authentification, réponse aux incidents, maintenance, protection des médias, sécurité du personnel, protection physique, évaluation des risques, évaluation de la sécurité, protection du système et des communications, intégrité du système et de l'information. r3 les réorganise en 17 familles et ajoute la planification, la gestion des risques de la chaîne d'approvisionnement et l'acquisition de systèmes et de services.

4. Panne du contrôle

Contrôles à fort impact sélectionnés du NIST SP 800-171 r2 (niveau 2) :

3.1 Contrôle d'accès

3.1.1 limiter l'accès aux utilisateurs autorisés ; 3.1.2 appliquer les autorisations approuvées pour l'accès logique ; 3.1.5 employer le moindre privilège ; 3.1.12 surveiller et contrôler l'accès à distance ; 3.1.20 vérifier et contrôler les connexions aux systèmes externes; 3.1.22 contrôler les informations accessibles au public.

3.3 Audit et responsabilité

3.3.1 créer et conserver des journaux d'audit ; 3.3.5 corréler l'examen, l'analyse et les rapports des dossiers d'audit ; 3.3.8 protéger les informations d'audit contre tout accès non autorisé ; 3.3.9 limiter la gestion des dossiers d'audit à un sous-ensemble défini d'utilisateurs.

3.4 Gestion des configurations

3.4.1 établir et maintenir des configurations de base ; 3.4.2 établir et appliquer les paramètres de configuration de sécurité ; 3.4.6 utiliser le principe de moindre fonctionnalité ; 3.4.9 contrôler et surveiller les logiciels installés par l'utilisateur.

3.5 Identification et authentification

3.5.1 identifier les utilisateurs et les appareils ; 3.5.3 authentification multifacteur pour les comptes privilégiés et pour tout accès à distance ; 3.5.7 appliquer des limites de complexité et de réutilisation des mots de passe ; 3.5.10 stocker les mots de passe protégés par cryptographie.

3.6 Réponse aux incidents

3.6.1 établir une capacité opérationnelle de gestion des incidents ; 3.6.2 suivre, documenter et signaler les incidents aux responsables et autorités internes et externes ; 3.6.3 tester la capacité de réponse aux incidents.

3.7 Entretien

3.7.1 effectuer l'entretien; 3.7.2 assurer des contrôles sur les outils, les techniques, les mécanismes et le personnel utilisés pour la maintenance ; 3.7.4 s'assurer que l'équipement retiré pour l'entretien hors site est désinfecté.

3.8 Protection des médias

3.8.3 désinfecter ou détruire les supports ; 3.8.5 contrôler l'accès aux médias contenant des CUI ; 3.8.7 contrôler l'utilisation des supports amovibles.

3.9 Sécurité du personnel

3.9.1 filtrer les individus avant d'autoriser l'accès aux systèmes avec CUI ; 3.9.2 s'assurer que le CUI est protégé pendant et après les actions du personnel.

3.11 Évaluation des risques

3.11.1 évaluer périodiquement les risques ; 3.11.2 rechercher les vulnérabilités périodiquement et lorsque de nouvelles vulnérabilités sont identifiées ; 3.11.3 remédier aux vulnérabilités conformément aux évaluations des risques.

3.12 Évaluation de la sécurité

3.12.1 évaluer périodiquement les contrôles de sécurité ; 3.12.2 élaborer un plan d'action ; 3.12.3 surveiller les contrôles de sécurité de façon continue ; 3.12.4 élaborer, documenter et mettre à jour les plans de sécurité du système.

3.13 Protection du système et des communications

3.13.1 surveiller et contrôler les communications aux frontières ; 3.13.8 utiliser des mécanismes cryptographiques pour empêcher la divulgation non autorisée des CUI en transit ; 3.13.11 utiliser une cryptographie validée FIPS lors de la protection des CUI ; 3.13.16 protéger la confidentialité des CUI au repos.

3.14 Intégrité du système et des informations

3.14.1 identifier, signaler et corriger les défauts du système en temps opportun ; 3.14.2 assurer une protection contre les codes malveillants ; 3.14.6 surveiller les systèmes, y compris les communications entrantes et sortantes.

Le niveau 3 ajoute un sous-ensemble d'exigences améliorées du NIST SP 800-172 couvrant les tests d'intrusion (3.12.1e), les éléments d'architecture Zero Trust, l'évaluation de la chaîne d'approvisionnement et la chasse aux menaces. Coordination avec notre service de tests d'intrusion couvre les attentes en matière de tests de niveau 3.

5. Exigences minimales (non négociables)

Documents obligatoires

• Plan de sécurité du système couvrant tous les contrôles NIST SP 800-171 concernés
• Plan d'action et jalons (POA&M) pour les contrôles non mis en œuvre ; La CMMC limite les POA&M à des contrôles éligibles spécifiques et à une fenêtre de clôture de 180 jours
• Inventaire des actifs classés comme CUI / Protection de la sécurité / CRMA / Hors de portée
• Diagrammes de réseau et de flux de données montrant la limite CUI
• Plan de réponse aux incidents avec procédure de reporting du DoD (DFARS 252.204-7012)
• Lignes de base de configuration par type de système
• Documentation d'évaluation des risques
• Stratégie de surveillance continue
• Documentation du fournisseur de services externe, y compris FedRAMP ou preuve équivalente pour les services cloud gérant le CUI
• Confirmation d'un haut fonctionnaire pour la soumission du SPRS

Processus obligatoires

• Auto-évaluation annuelle pour le niveau 1 avec affirmation
• Évaluation triennale C3PAO pour le niveau 2 (la plupart des contrats) plus affirmation annuelle
• Évaluation triennale DIBCAC pour le niveau 3
• Analyse et correction continues des vulnérabilités
• Cryptographie validée FIPS pour les CUI en transit et au repos
• MFA résistant au phishing pour les utilisateurs privilégiés et l'accès à distance
• Signalement des cyberincidents au DoD dans les 72 heures conformément au DFARS 252.204-7012(c)
• Formation annuelle de sensibilisation à la sécurité et formation basée sur les rôles
• Vérification des antécédents du personnel ayant accès au CUI

Contrôles techniques

• Protection des frontières avec des flux de données documentés entrant et sortant de l'enclave CUI
• Authentification multifacteur sur tous les accès privilégiés et tous les accès distants au CUI
• Journalisation centralisée avec conservation suffisante pour prendre en charge les enquêtes sur les incidents
• Modules cryptographiques validés FIPS 140-2/140-3 pour tout CUI au repos et en transit
• Protection des terminaux avec anti-malware et surveillance comportementale
• Gestion de la configuration avec des références documentées et un contrôle des modifications

6. Conseils de mise en œuvre technique

Établir une enclave CUI

• Créez un environnement dédié et renforcé pour les charges de travail CUI sur une plateforme autorisée par FedRAMP (généralement Azure Government, AWS GovCloud ou Google Government)
• Utiliser une étendue de fournisseur d'identité distincte ou un locataire dédié pour l'environnement CUI
• Implémenter une séparation physique ou virtuelle des charges de travail non CUI
• Documenter la limite dans les diagrammes de réseau et le SSP

Cryptographie FIPS

• Utilisez uniquement des modules validés FIPS 140-2 ou 140-3. Référencer le certificat CMVP pour chaque module dans le SSP
• Évitez les configurations TLS qui reposent sur des suites de chiffrement non validées
• Utilisez AWS KMS / Azure Key Vault / GCP KMS dans les variantes cloud gouvernementales qui maintiennent la validation FIPS

Identité et accès

• MFA (hardware token ou FIDO2) résistant au phishing pour les utilisateurs privilégiés
• Politiques d'accès conditionnel limitant l'accès CUI aux appareils gérés et aux emplacements connus
• Revues d'accès trimestrielles sur l'enclave CUI avec attestations documentées

Journalisation et surveillance

• Centraliser les journaux d'enclave CUI dans un SIEM
• Optimisez les détections pour les scénarios pertinents pour CUI : exfiltration de données anormales, élévation de privilèges, mouvement latéral, falsification anti-malware
• Conserver les journaux en ligne pendant au moins 12 mois ; 3 ans au total pour le soutien aux enquêtes sur les incidents

Gestion des vulnérabilités

• Analyses mensuelles authentifiées sur tous les actifs CUI et actifs de protection de sécurité
• Remédiation priorisée en fonction de l'exploitabilité et de l'impact
• Suivre les éléments non soldés dans le POA&M avec l'indicateur éligible à la CMMC, le cas échéant

Signalement des cyberincidents

• Mettre en œuvre le flux de travail de reporting du DoD : préparer un certificat d'assurance moyenne ; répéter un reportage de 72 heures via le portail DIBNet
• Maintenir les procédures de préservation des preuves pour les artefacts d'incidents

7. Exigences en matière de politiques et de procédures

• Plan de sécurité du système (SSP)
• Politique et procédures de contrôle d'accès
• Politique et procédures de sensibilisation et de formation
• Politique et procédures d’audit et de responsabilisation
• Politique et procédures de gestion de la configuration
• Politique et procédures d'identification et d'authentification
• Plan et procédures de réponse aux incidents (avec workflow de reporting du DoD)
• Politique et procédures de maintenance
• Politique et procédures de protection des médias
• Politique et procédures de sécurité du personnel
• Politique et procédures de protection physique
• Politique et procédures d'évaluation des risques
• Politique et procédures d'évaluation de sécurité
• Politique et procédures de protection des systèmes et des communications
• Politique et procédures d'intégrité des systèmes et des informations
• Modèle POA&M
• Registre des prestataires de services externes, y compris les preuves FedRAMP

Pour les entrepreneurs exécutant des programmes d'assurance commerciale parallèles, la même bibliothèque de contrôle sert généralement ISO 27001 et SOC 2 avec des extensions spécifiques à CMMC. Voir notre Prestation ISO 27001 pour l’approche dualiste.

8. Éléments probants et vérification

Rôle du C3PAO

Un organisme d'évaluation tiers CMMC est accrédité par CyberAB et autorisé à effectuer des évaluations de niveau 2. Les évaluateurs certifiés CMMC (CCA) au sein du C3PAO dirigent les missions. Le C3PAO n'autorise pas le système ; la certification est enregistrée dans le système de support d'assurance de mission d'entreprise CMMC (eMASS) et reflétée dans SPRS.

Rôle du DIBCAC

Le Centre d'évaluation de la cybersécurité de la base industrielle de défense effectue des évaluations de niveau 3 et certaines évaluations de niveau 2 dirigées par le gouvernement. DIBCAC effectue également une évaluation moyenne et une évaluation élevée de la mise en œuvre du DFARS 252.204-7012 indépendamment de la CMMC.

Catégories de preuves typiques

• SSP et POA&M
• Inventaire des actifs avec classification
• Schéma de réseau et diagramme de flux de données
• Lignes de base de configuration et enregistrements de modifications de configuration
• Configurations IAM et MFA avec références de validation FIPS
• Rapports d'analyse des vulnérabilités et enregistrements de correction
• Plan de réponse aux incidents et dossiers de simulation/exercices
• Dossiers d'achèvement de la formation, y compris la formation basée sur les rôles
• Dossiers de contrôle du personnel
• Fournisseur de services externe FedRAMP ou documentation équivalente
• Document d'affirmation d'un haut fonctionnaire

Éléments de correction courants

• Les déclarations de mise en œuvre du contrôle SSP décrivent l'intention de la politique plutôt que le contrôle opérationnel.
• Revendications de cryptographie FIPS sans références de certificat CMVP
• Services cloud externes concernés sans preuve FedRAMP modérée (ou équivalente)
• Entrées POA&M sur les contrôles qui ne sont pas éligibles CMMC
• L’AMF résistant au phishing n’est pas déployée auprès de tous les utilisateurs privilégiés
• Plan de réponse aux incidents non testé au cours des 12 derniers mois

9. Considérations sur le calendrier de mise en œuvre

Durée typique

• Auto-évaluation de niveau 1: 4 à 8 semaines pour un entrepreneur ayant une hygiène informatique de base
• Préparation au niveau 2 (maturité des contrôles existants): 6 à 12 mois entre le coup d'envoi et l'évaluation C3PAO
• Préparation de niveau 2 (correction importante): 12 à 24 mois, y compris la construction de l'enclave CUI
• Niveau 3: ajoutez 6 à 12 mois par rapport au niveau 2 pour mettre en œuvre et évaluer les améliorations 800-172

Jalons

• Portée du CUI et catégorisation des actifs
• Analyse des écarts par rapport à la conception NIST SP 800-171 r2 (et r3 le cas échéant)
• Architecture et construction de l'enclave CUI
• Création et mise en œuvre du contrôle SSP
• Notation intermédiaire SPRS (auto-évaluation)
• Examen de préparation à la pré-évaluation
• Évaluation C3PAO
• Certification enregistrée dans eMASS et SPRS
• Affirmation d'un haut fonctionnaire
• Cadence de surveillance continue

Dépendances

• Visibilité contractuelle sur les flux FCI/CUI et les exigences de reporting
• Décisions relatives à la plateforme cloud (variantes cloud gouvernementales pour les charges de travail CUI)
• Capacité d’ingénierie pour la cryptographie validée FIPS et la création d’enclaves CUI
• vCISO ou responsable du programme pour coordonner le programme (voir Service vCISO)

10. Exigences continues du BAU

• Affirmation annuelle d'un haut fonctionnaire du SPRS
• Réévaluation triennale C3PAO (niveau 2) ou réévaluation DIBCAC (niveau 3)
• Analyse continue des vulnérabilités et maintenance POA&M
• Surveillance continue de l'enclave CUI avec SIEM optimisé
• Test annuel sur table des RI et du plan d’urgence
• Sensibilisation annuelle à la sécurité et mise à jour de la formation basée sur les rôles
• Préparation au signalement des cyberincidents dans les 72 heures (DFARS 252.204-7012)
• Validation continue des prestataires externes
• Maintenance de base de configuration sous contrôle des modifications

11. Niveaux de maturité

Conformité minimale

• Enclave CUI opérationnelle avec limite documentée
• SSP rédigé contre NIST SP 800-171 r2
• Collecte manuelle de preuves par cycle d'évaluation
• POA&M maintenu avec des indicateurs de contrôle éligibles

Intermédiaire

• Environnement CUI construit sur la plateforme cloud gouvernementale avec héritage FedRAMP
• Validation continue de la configuration via IaC et politique en tant que code
• Bibliothèque de preuves partagée entre CMMC, ISO 27001 et SOC 2
• Le SSP est conçu pour réorganiser la structure de contrôle avant la transition réglementaire

Avancé

• Contrôles de niveau 3 mis en œuvre, y compris le Zero Trust et la chasse aux menaces
• Surveillance continue avec notation SPRS automatisée
• Preuve CMMC, FedRAMP, ISO 27001 intégrée avec bibliothèque de contrôle mappée
• Programme externe d’équipe rouge et de chasse aux menaces

12. FAQ

Quand la CMMC commence-t-elle à postuler à nos contrats ?

La règle CMMC 2.0 est entrée en vigueur en décembre 2024, avec un déroulement contractuel échelonné sur trois ans. Les nouvelles sollicitations et contrats incluront progressivement des clauses CMMC ; Les contrats existants ne seront pas modifiés rétroactivement, mais les options et modifications peuvent inclure cette exigence.

Avons-nous besoin d’une évaluation C3PAO ou pouvons-nous nous auto-évaluer ?

Le niveau 1 est toujours une auto-évaluation avec affirmation annuelle d’un haut fonctionnaire. L'auto-évaluation de niveau 2 n'est autorisée que pour un ensemble restreint de contrats spécifiés par le DoD ; en pratique, la plupart des contrats de niveau 2 nécessitent une évaluation C3PAO. Le niveau 3 nécessite toujours une évaluation DIBCAC.

Quelle est la différence entre FCI et CUI ?

Les FCI sont des informations non publiques fournies par ou générées pour le gouvernement dans le cadre d'un contrat. Les CUI sont des informations non classifiées nécessitant une protection spécifique conformément à la loi, à la réglementation ou à la politique gouvernementale (détaillées dans le registre CUI des Archives nationales). Le niveau 1 couvre FCI ; Les niveaux 2 et 3 couvrent le CUI.

Quel est le lien entre CMMC et NIST SP 800-171 ?

CMMC niveau 2 met en œuvre le NIST SP 800-171 comme catalogue de contrôle et ajoute une rigueur d'évaluation et l'affirmation de hauts responsables. La mise en œuvre du NIST SP 800-171 est requise en vertu du DFARS 252.204-7012 depuis 2017 ; La CMMC vérifie la mise en œuvre plutôt que de se fier à l'auto-attestation de l'entrepreneur.

Est-ce que r2 ou r3 est en vigueur ?

La règle finale CMMC 2.0 fait référence au NIST SP 800-171 r2 à sa date d'entrée en vigueur. Le DoD a indiqué une transition vers r3 une fois les mises à jour contractuelles en place. Construisez le programme vers r3 maintenant pour éviter des retouches coûteuses ; confirmer à r2 jusqu'à ce que les mises à jour de la clause exigent le contraire.

Que coûte la CMMC ?

Auto-évaluation de niveau 1 : coût direct minimal au-delà de l’effort interne. Préparation de niveau 2 pour un entrepreneur de taille moyenne : 250 000 $ à 1 500 000 $ la première année en fonction de la maturité existante, plus l'évaluation C3PAO (75 000 $ à 200 000 $) tous les trois ans. Le niveau 3 ajoute 30 à 60 pour cent.

Pouvons-nous utiliser les mêmes contrôles pour ISO 27001 ou SOC 2 ?

Oui – les contrôles sous-jacents NIST SP 800-171 chevauchent considérablement l'Annexe A de la norme ISO 27001 et les critères des services de confiance SOC 2. Une bibliothèque de preuves partagée permet à un entrepreneur de servir les clients commerciaux et DIB avec des extensions spécifiques au framework pour CMMC (portée CUI, cryptographie FIPS, reporting SPRS).

Quelle est l'exigence de rapport du DoD dans les 72 heures ?

DFARS 252.204-7012(c) exige que les entrepreneurs signalent rapidement les cyberincidents qui affectent un système d'information d'entrepreneur couvert ou des informations de défense couvertes dans les 72 heures suivant leur découverte au DoD via le portail DIBNet. Cette obligation est antérieure à la CMMC et reste en vigueur.

FedRAMP couvre-t-il nos services cloud ?

Si un service cloud gère le CUI en votre nom, il doit respecter la ligne de base FedRAMP modérée ou équivalente. Les variantes cloud AWS GovCloud, Azure Government, Google Government et Oracle Government conservent généralement l'autorisation nécessaire. Voir notre Service FedRAMP si votre propre service est autorisé.

Et les sous-traitants ?

Les sous-traitants gérant les FCI ou CUI transmettent le même niveau de CMMC à leurs organisations. Les entrepreneurs principaux sont responsables de s’assurer que les déclarations des sous-traitants sont faites avant l’attribution du contrat.

Un POA&M peut-il couvrir n’importe quel contrôle ?

Non. CMMC limite les POA&M à des contrôles éligibles spécifiques et exclut les contrôles critiques (par exemple, MFA sur les utilisateurs privilégiés). Tous les éléments POA&M doivent être clôturés dans les 180 jours suivant l’évaluation.

13. Résumé

CMMC 2.0 convertit l'exigence de mise en œuvre de longue date du NIST SP 800-171 du DFARS 252.204-7012 en une certification vérifiée et conditionnée par un contrat. La plupart des sous-traitants de la défense traitant des CUI doivent atteindre le niveau 2 via une évaluation C3PAO, le niveau 3 étant réservé aux charges de travail les plus sensibles via DIBCAC. Le chemin passe par une portée CUI stricte, des plates-formes cloud alignées sur FedRAMP, une cryptographie validée FIPS, une MFA résistante au phishing et une gestion disciplinée des SSP et POA&M – dont la plupart chevauchent les contrôles ISO 27001 et SOC 2 dont dispose déjà un programme commercial.

Pour définir un engagement, réservez un appel depuis le Page de services CMMC et NIST 800-171, ou parlez-nous de la combinaison de CMMC avec ISO 27001, tests d'intrusion, ou un Programme vCISO pour la gestion continue du programme.