Votre sécurité dépend de votre dernière évaluation

La mise à jour du modèle de certification de maturité en matière de cybersécurité (CMMC) représente une évolution critique dans la stratégie du ministère de la Guerre (DoW) visant à sécuriser la base industrielle de défense (DIB). C’est plus qu’un obstacle réglementaire. Il s’agit d’une réponse directe à un paysage de menaces en évolution rapide et de plus en plus hostile auquel est confronté le DIB.

Les directives CMMC mises à jour publiées en 2025 simplifient le cadre précédent, en se concentrant sur les pratiques de sécurité les plus essentielles alignées sur la publication spéciale (SP) 800-171 du National Institute of Standards and Technology (NIST). Son objectif fondamental reste inchangé : protéger les informations de défense sensibles et non classifiées – en particulier les informations sur les contrats fédéraux (FCI) et les informations contrôlées non classifiées (CUI) – contre les adversaires étrangers.

Phases de mise en œuvre de la CMMC

Les exigences de la CMMC sont mises en œuvre par étapes pour alléger le fardeau des organisations et des auditeurs.

• Phase 1 (10 novembre 2025 – 9 novembre 2026) : Focus sur les auto-évaluations pour les niveaux 1 et 2
• À partir du 10 novembre 2026 : Les sollicitations nécessiteront des certifications de niveau 2

Pour des milliers d’entreprises du DIB – depuis les maîtres d’œuvre jusqu’aux petits ateliers d’usinage spécialisés – la conformité n’est pas facultative. C’est la condition préalable pour faire affaire avec le DoW. Il établit une approche standardisée et mesurée de la cybersécurité tout au long de la chaîne d’approvisionnement.

Un changement de stratégie de l’adversaire

L’orientation stratégique des adversaires a changé. Plutôt que de lancer des attaques directes et coûteuses contre des donneurs d’ordre bien défendus, ils ciblent de plus en plus le maillon le plus faible de la chaîne d’approvisionnement.

Les fournisseurs et sous-traitants :

• Posséder une propriété intellectuelle, des schémas et des détails opérationnels précieux
• Opérer sans les mêmes ressources de sécurité que les grandes entreprises de défense

Ces activités opérationnelles créent une voie vers l’écosystème plus large. Une violation à n’importe quel niveau peut se répercuter sur toute la chaîne d’approvisionnement, exposant des informations sensibles et impactant les résultats de la mission.

Les limites de la sécurité ponctuelle

Le modèle traditionnel de conformité en matière de cybersécurité repose sur des évaluations périodiques et ponctuelles. Cette approche est fondamentalement limitée dans le contexte d’une chaîne d’approvisionnement dynamique et interconnectée.

La sécurité n’est pas statique. Une posture qui était conforme il y a quelques semaines peut devenir vulnérable en raison de :

• Nouveaux exploits ou vulnérabilités zero-day
• Modifications de la configuration du système
• Introduction de nouvelles technologies ou shadow IT

Le problème principal est simple : votre sécurité dépend de votre dernière évaluation. Dans un environnement en constante évolution, ce modèle laisse un écart persistant entre la conformité et le risque réel.

Activation de la validation continue

NodeZero Federal™ d’Horizon3.ai permet une approche plus continue de la validation de la sécurité. Contrairement aux tests d’intrusion ou à l’analyse de vulnérabilité traditionnels, NodeZero identifie et valide les faiblesses exploitables et démontre comment elles peuvent être enchaînées.

Cela donne aux organisations la possibilité de :

• Validez régulièrement les contrôles : Démontrer son efficacité sur une base continue, pas seulement lors des audits
• Comblez les écarts de conformité : Allez au-delà de la documentation pour montrer comment les contrôles atténuent les risques réels
• Identifiez les chemins d’attaque : Comprendre comment un adversaire pourrait se déplacer dans l’environnement

Cette approche favorise une compréhension plus réaliste de la posture de sécurité et des risques.

Élargir le champ d’application : de l’entreprise à l’écosystème

Renforcer la sécurité de la chaîne d’approvisionnement pour FCI et CUI représente un changement plus large dans la manière dont le DoW aborde le risque. L’accent ne se limite plus à la sécurisation des réseaux individuels. Il s’étend à l’ensemble de l’écosystème DIB.

L’objectif n’est pas seulement la conformité, mais :

• Réduction des risques mesurable
• Une plus grande résilience dans les environnements interconnectés
• Assurance de la continuité des missions

Implications pour les maîtres d’œuvre

CMMC renforce une réalité de longue date : la posture de sécurité d’un maître d’œuvre est directement influencée par la posture de ses fournisseurs.

Cela introduit des risques en cascade tout au long de la chaîne d’approvisionnement, en particulier lorsque les sous-traitants traitent, stockent ou transmettent les CUI.

Les principales implications comprennent :

• Une posture de maître d’œuvre mise en péril : Un incident de sécurité chez un fournisseur peut impacter la certification du principal.
• Inéligibilité au contrat et impact commercial : Le non-respect peut entraîner la disqualification des contrats du DoW.
• Risque lié à l’assurance de la mission : Une CUI compromise peut affecter l’intégrité opérationnelle et les résultats

Sources courantes de compromis

Les compromis proviennent souvent de domaines prévisibles de la chaîne d’approvisionnement.

Fournisseurs tiers. Les fournisseurs de services gérés (MSP) et les fournisseurs prenant en charge plusieurs organisations peuvent introduire un risque systémique. Un seul compromis peut exposer plusieurs environnements.

Fournisseurs spécialisés. Les petites et moyennes organisations peuvent gérer des données sensibles mais ne disposent pas de contrôles de sécurité de niveau entreprise.

Points d’accès interconnectés. Les faiblesses courantes incluent :

• Identifiants partagés
• Accès VPN faible ou mal configuré
• Systèmes d’identité fédérés sans segmentation appropriée

Exemple : scénario de violation présumée

Lors d’un récent test d’hypothèse-violation, NodeZero a commencé avec l’accès à un seul hôte sans informations d’identification. À partir de ce point de départ, il a énuméré les utilisateurs du domaine et exécuté une pulvérisation de mot de passe, obtenant ainsi un identifiant de domaine valide.

Ce compte disposait de privilèges d’administrateur local, permettant d’autres actions :

• Déploiement d’un outil d’accès à distance (RAT)
• Accès au LSASS et collecte d’informations d’identification

Ce scénario met en évidence un problème courant : les contrôles supposés être en place peuvent ne pas fonctionner comme prévu dans la pratique.

Pourquoi le modèle existant n’évolue pas

Le modèle traditionnel des évaluations périodiques ne tient pas compte de la nature dynamique des environnements modernes.

Le risque est introduit par :

• Changements dans la chaîne d’approvisionnement et nouveaux fournisseurs
• Reconfigurations en cours du système
• Expansion du SaaS, des API et des services cloud
• Dégradation progressive des contrôles au fil du temps

En conséquence, une certification ponctuelle peut rapidement devenir obsolète.

Disponibilité continue sous CMMC

Les directives CMMC mises à jour mettent l’accent sur la préparation continue plutôt que sur la validation périodique. Les auto-évaluations doivent être étayées par des preuves documentées et quotidiennes de l’efficacité du contrôle.

Cela reflète la nécessité de maintenir la posture de sécurité au fil du temps, et non de simplement la démontrer à un moment donné.

La validation continue comme exigence pratique

Le passage à la validation continue aide les organisations à suivre le rythme :

• Modification de l’activité des menaces
• Des écosystèmes de fournisseurs en évolution
• La nécessité de maintenir la confiance dans l’efficacité du contrôle

Sans cela, les organisations s’appuient sur des hypothèses dépassées concernant leur environnement et leur exposition.

Combler l’écart entre conformité et sécurité

La plateforme de sécurité proactive NodeZero® d’HORIZON3.ai aide à combler le fossé entre la conformité et la sécurité opérationnelle. En validant les contrôles au moyen de scénarios d’attaques réels, il fournit des preuves de leur efficacité et identifie les lacunes dans les environnements internes et chez les fournisseurs critiques.

Cela permet aux organisations de traiter la CMMC non seulement comme une exigence de conformité, mais comme un élément d’un programme continu de gestion des risques.

Pensée finale

La véritable posture de sécurité n’est pas définie par une évaluation terminée.

Elle est définie par la façon dont les systèmes fonctionnent dans des conditions réelles et par la rapidité avec laquelle les organisations peuvent identifier et corriger les faiblesses à mesure qu’elles apparaissent.

Découvrez comment Horizon3.ai renforce la sécurité de la chaîne d’approvisionnement pour CMMC.
Veuillez vous référer au livre blanc complet.