CMMC et NIST SP 800-171 – Se préparer aux marchés américains de la défense

Le NIST SP 800-171 définit les exigences de sécurité destinées à protéger les Controlled Unclassified Information (CUI) présentes dans les systèmes d'organisations non fédérales. Sa révision 3 structure les exigences applicables aux systèmes qui traitent, stockent ou transmettent ces informations.

Le CMMC transpose les exigences de cybersécurité du Department of Defense américain dans un mécanisme d'évaluation et de conformité contractuelle. Ensemble, CMMC et NIST SP 800-171 sont particulièrement importants pour les entreprises canadiennes qui souhaitent intégrer les chaînes d'approvisionnement américaines de défense, directement ou comme sous-traitants.

La démarche exige notamment de connaître précisément où circulent les CUI, de délimiter le périmètre technique, contrôler les accès, renforcer l'authentification, sécuriser les configurations, conserver les journaux nécessaires et démontrer l'efficacité des mesures. NIST fournit également SP 800-171A pour l'évaluation formelle de ces exigences.

Effort indicatif : pour une organisation visant un environnement CUI bien délimité, généralement 6 à 12 mois, environ 200 à 500 heures-personnes internes et 250 à 650 heures Quantum Beyond. Une architecture complexe ou un périmètre CUI mal contrôlé peut demander davantage.

Quantum Beyond peut accompagner la définition du périmètre, le gap assessment, l'architecture, la documentation, la remédiation, la collecte de preuves et la préparation à l'évaluation.

Pour une entreprise canadienne, cette préparation apporte un double bénéfice : renforcer substantiellement sa cybersécurité et préserver son admissibilité à certains marchés de défense américains et chaînes d'approvisionnement transfrontalières.