Certification du modèle de maturité de la cybersécurité aux États-Unis (CMMC)

Le Ministère américain de la Défense (DoD) exige actuellement que tous les prestataires et sous-traitants de la défense concernés mettent en œuvre les contrôles de sécurité décrits dans le document NIST SP 800-171. Cette exigence vise à protéger les informations sur les contrats fédéraux (FCI) et les informations non classifiées contrôlées (CUI) dans le cadre des engagements contractuels des entités concernées par la réglementation DFARS 252.204-7012.

Afin d'officialiser cette exigence et de pouvoir vérifier la conformité avec la norme SP 800-171 du NIST, le Ministère de la Défense a développé la certification du modèle de maturité de la cybersécurité (CMMC). Tous les prestataires du DoD dont le contrat inclut la clause DFARS 252.204-7012 devront atteindre le niveau de certification CMMC requis par ce contrat afin d'obtenir de nouveaux contrats une fois le règlement finalisé.

Contexte de la CMMC 2.0 

Le 26 décembre 2023, le DoD a publié une proposition de règlement pour avis public. La période de consultation est ouverte pendant 60 jours. Les résultats seront ensuite examinés par les auteurs du règlement en vue de sa publication finale. Sur la base de ce calendrier, les analystes du secteur estiment que le règlement final sera publié début 2025, et que le premier cycle de certification CMMC des prestataires suivra cette publication. Cette date est susceptible de changer en fonction des échéances décisionnelles du gouvernement.

CMMC et Google Cloud

La CMMC 2.0 comporte trois niveaux, que les entreprises doivent ou non atteindre selon les exigences du DoD. Les organisations ne peuvent pas être soumises à une évaluation CMMC officielle tant que le règlement final n'a pas été publié. Toutefois, Google Cloud se prépare au niveau 2 de la CMMC en participant à des évaluations fictives avec le C3PAO désigné pour faciliter ses processus d'autorisation FedRAMP pour les services Google Cloud et pour Google Workspace. Une fois la CMMC 2.0 finalisée, Google suivra le processus de certification officiel qui aura été défini pour les fournisseurs de services cloud.

Aucune organisation n'a reçu de certification CMMC à ce jour, mais Google a demandé à passer des évaluations de conformité avec la norme SP 800-171 du NIST pour se préparer au programme CMMC 2.0. Les rapports d'évaluation sont disponibles sur la page NIST SP 800-171. 

Dans la version actuelle de la CMMC, les prestataires qui utilisent des solutions cloud pour stocker des CUI doivent utiliser des fournisseurs de services cloud qui maintiennent a minima une autorisation d'exploitation FedRAMP d'impact modéré. Afin de se préparer à la CMMC, les prestataires de la Base industrielle de défense (DIB) qui utilisent les services Google Cloud doivent se reporter à notre matrice de responsabilité des clients (CRM) FedRAMP, qui fait partie de notre plan de sécurité du système (SSP) FedRAMP. Cette matrice leur permettra de comprendre le modèle de responsabilité partagée associé à la mise en conformité anticipée avec la CMMC. Notre équipe commerciale et votre représentant Google Cloud sont à votre disposition pour répondre à vos questions et vous fournir la documentation de référence.