Préparer une évaluation CMMC Level 2 quand on applique déjà SP 800-53

CMMC Level 2 est désormais intégré aux contrats de défense américains, et de nombreux prestataires concernés appliquent déjà des contrôles NIST SP 800-53, pour des travaux fédéraux, pour FedRAMP ou simplement comme bibliothèque de contrôles. C'est un bon point de départ : chaque pratique CMMC Level 2 est reliée à SP 800-53 par la correspondance publiée par le NIST lui-même, comme le montre notre analyse de l'Appendix D.

Sur les 110 pratiques CMMC, 109 (99%) correspondent à un élément de 800-53, 0 sont seulement faiblement liés et 1 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Les contrôles sont donc en grande partie en place. Ce qui n'est pas automatique, c'est la définition du périmètre, la documentation et l'évaluation elle-même.

Étape 1 : définir le périmètre de l'environnement CUI

CMMC s'applique aux systèmes qui traitent, stockent ou transmettent des informations non classifiées contrôlées (CUI), ainsi qu'aux actifs qui les protègent. Cartographiez où les CUI entrent, où elles sont conservées et qui y accède. Une frontière bien délimitée et documentée (souvent une enclave) réduit le nombre d'actifs que l'évaluateur doit examiner. La frontière d'autorisation 800-53 d'un système fédéral correspond rarement à votre périmètre CUI.

Étape 2 : rédiger le plan de sécurité du système (SSP) pour ce périmètre

Le SSP (CA.L2-3.12.4) décrit le périmètre, l'environnement et la manière dont chacune des 110 exigences est mise en œuvre. Réutilisez vos descriptions de contrôles 800-53, mais réécrivez-les pour l'environnement CUI et utilisez les identifiants de pratiques CMMC ; les évaluateurs travaillent pratique par pratique.

Étape 3 : vérifier la formulation de la Rev 2

CMMC est figé sur SP 800-171 révision 2. Lorsque votre mise en œuvre 800-53 est plus large, elle satisfait généralement la pratique ; lorsque la Rev 2 est plus précise (cryptographie validée FIPS pour les CUI, verrouillages de session, contenu spécifique des journaux d'audit), vérifiez le détail.

Étape 4 : faire correspondre les preuves aux objectifs d'évaluation

Les évaluateurs testent chaque pratique au regard d'objectifs d'évaluation, en examinant des documents, en interrogeant des personnes et en testant des mécanismes. Pour chaque pratique, listez les preuves que vous produisez déjà pour les contrôles 800-53 correspondants, puis comblez les lacunes. Nos pages d'exigences indiquent les contrôles 800-53 dont est issue chaque pratique.

Étape 5 : autoévaluez-vous honnêtement et calculez votre score

Réalisez d'abord vous-même l'évaluation selon la méthodologie du DoD, puis calculez le score. Corrigez ce qui échoue. Des plans d'action limités sont admis pour certaines exigences, mais doivent être clos dans un délai de 180 jours, et certaines exigences ne peuvent pas être reportées du tout.

Preuves attendues par les évaluateurs

Pour chaque pratique, les évaluateurs recherchent trois types de preuves : des documents (politiques, procédures, SSP), des entretiens avec les personnes qui exécutent la pratique, et des tests ou démonstrations des mécanismes. Les demandes types comprennent :

• listes de comptes et approbations d'accès aux systèmes CUI (AC.L2-3.1.1, 3.1.2);
• configuration de l'authentification multifacteur pour les accès privilégiés et réseau (IA.L2-3.5.3);
• configuration des journaux d'audit, durée de conservation et registres de revue (AU.L2-3.3.1, 3.3.2);
• configurations de référence et enregistrements de changements (CM.L2-3.4.1 à 3.4.3);
• résultats d'analyses de vulnérabilités et remédiation (RA.L2-3.11.2, 3.11.3);
• plan de réponse aux incidents et registres de tests (IR.L2-3.6.1, 3.6.3);
• paramètres de chiffrement démontrant des modules validés FIPS là où les CUI sont protégées (SC.L2-3.13.11).

La plupart de ces éléments existent déjà dans un environnement 800-53 ; le travail consiste à les rassembler pour la frontière CUI et à les étiqueter par pratique. Chaque page de pratique, par exemple AC.L2-3.1.1, liste les contrôles 800-53 dont les preuves peuvent être réutilisées.

Points clés

• Une base de référence 800-53 vous apporte l'essentiel de CMMC Level 2.
• Le travail consiste à définir le périmètre CUI, rédiger le SSP et faire correspondre les preuves à chaque pratique.
• Autoévaluez-vous honnêtement selon la méthodologie du DoD avant l'évaluation réelle.

Pièges courants

• Dérive du périmètre : des CUI qui se propagent vers la messagerie, les partages de fichiers et les ordinateurs portables hors de l'enclave.
• Services partagés : l'identité, la journalisation et les outils d'administration qui touchent l'environnement CUI sont eux aussi dans le périmètre.
• Prestataires de services externes : les services cloud qui traitent des CUI doivent satisfaire aux exigences fédérales appropriées, généralement FedRAMP Moderate ou équivalent.
• Revendications d'héritage sans preuves : si un contrôle est hérité d'un prestataire, conservez sa documentation.

Le comparatif CMMC vs SP 800-53 liste chaque pratique avec ses contrôles sources, et l'analyse d'écarts les exporte sous forme de suivi.

Questions

Qui réalise l'évaluation CMMC Level 2 ?

Selon le contrat, soit le prestataire lui-même (autoévaluation), soit une organisation d'évaluation tierce autorisée (C3PAO). La plupart des contrats impliquant des CUI exigent la certification par évaluation tierce.

Qu'est-ce qu'un plan de sécurité du système (SSP) ?

Document décrivant la frontière du système, l'environnement et la manière dont chaque exigence de sécurité est mise en œuvre. Il est requis par SP 800-171 (pratique CMMC CA.L2-3.12.4) et c'est la première chose que lisent les évaluateurs.

La certification FedRAMP d'un fournisseur de cloud peut-elle couvrir les pratiques CMMC ?

Elle peut couvrir les pratiques que le fournisseur met en œuvre pour vous, en tant que contrôles hérités, si celui-ci satisfait à la base de référence requise et si vous conservez sa documentation. Vous restez responsable de votre propre configuration, de vos utilisateurs et de vos données au sein du service.