Stratégies de mise en œuvre du CMMC 2.0 : Contrôles de sécurité, expertise externe et approaches stratégiques

Le chemin vers la conformité CMMC 2.0 Niveau 2 représente une entreprise significative pour les organisations de la Base Industrielle de Défense (DIB). Dans notre article précédent, nous avons examiné comment des analyses d’écart approfondies et des pratiques de documentation matures établissent les fondations critiques pour le succès de la certification. En nous appuyant sur ces idées, cet article explore les mises en œuvre spécifiques des contrôles de sécurité et les approches stratégiques qui différencient les programmes de conformité réussis.

La recherche “State of CMMC 2.0 Preparedness in the DIB” de Kiteworks et Coalfire, impliquant 209 sous-traitants de défense divers, fournit des aperçus précieux sur les pratiques de chiffrement, les contrôles d’accès tiers, l’engagement d’expertise externe et les stratégies d’allocation des ressources. Comprendre ces schémas peut aider les organisations à développer des approches de conformité plus efficaces adaptées à leurs circonstances spécifiques.

En explorant ces résultats, un schéma clair émerge : les organisations qui investissent stratégiquement dans des domaines de sécurité spécifiques et tirent parti d’une expertise externe appropriée démontrent systématiquement des postures de sécurité globales plus fortes et une meilleure préparation à la certification. Examinons les aperçus de la recherche qui peuvent guider votre stratégie de mise en œuvre CMMC 2.0.

Pratiques de chiffrement et posture de sécurité globale

La mise en œuvre du chiffrement et d’autres méthodes de protection des données pour les informations non classifiées contrôlées (CUI) représente un élément critique de la conformité CMMC 2.0 Niveau 2. La recherche révèle que la mise en œuvre du chiffrement sert à la fois d’exigence technique spécifique et d’indicateur puissant de la maturité globale des contrôles de sécurité.

État actuel de la mise en œuvre du chiffrement

Parmi les organisations interrogées :

• 69 % ont déclaré suivre des normes de chiffrement documentées avec vérification de la mise en œuvre
• 25 % ont indiqué qu’elles chiffrent certaines données mais ont des lacunes à combler
• 4 % ont reconnu ne pas chiffrer systématiquement les CUI au repos ou en transit
• 2 % n’étaient pas sûres de leur statut de chiffrement

La corrélation entre la mise en œuvre du chiffrement et la taille de l’entreprise révèle des différences modestes mais notables dans l’approche. Les grandes organisations (10 000+ employés) ont signalé le taux le plus élevé de suivi des normes de chiffrement documentées à 71 %, contre 69 % pour les organisations moyennes (500-9 999 employés) et 67 % pour les petites organisations (500 employés). Ces différences relativement faibles suggèrent que la mise en œuvre du chiffrement peut être moins dépendante des ressources que d’autres contrôles de sécurité, les organisations de toutes tailles reconnaissant son importance fondamentale pour protéger les informations sensibles.

Le chiffrement comme indicateur de maturité de la sécurité

Les organisations suivant des normes de chiffrement documentées ont démontré des performances significativement plus fortes dans toutes les autres dimensions de sécurité mesurées. Ces organisations étaient plus susceptibles d’avoir des politiques de sécurité entièrement documentées (73 % contre 29 % pour celles avec des lacunes de chiffrement), des POA&Ms détaillés (65 % contre 23 %), des contrôles d’accès tiers avancés (75 % contre 49 %), et des programmes de gestion des fournisseurs formels (74 % contre 28 %). Ce schéma suggère que la mise en œuvre robuste du chiffrement existe généralement dans un contexte plus large de pratiques de sécurité matures.

La relation entre le statut de chiffrement et les stratégies d’engagement des tiers révèle des schémas importants dans la manière dont les organisations abordent les défis de chiffrement. Les organisations encore en train de sélectionner des partenaires ont montré le taux le plus élevé de lacunes de chiffrement (42 %), comparé à celles travaillant déjà avec des partenaires (15 %) ou gérant la conformité en interne (25 %). Ce schéma suggère que les organisations reconnaissent souvent les lacunes de chiffrement tôt dans leur parcours de conformité, les incitant à rechercher une expertise externe pour relever ces défis techniques.

La mise en œuvre du chiffrement a montré une forte corrélation avec la perception des défis de conformité. Les organisations suivant des normes de chiffrement documentées ont le plus souvent identifié les contraintes budgétaires (34 %) et l’adhésion des dirigeants (19 %) comme principaux défis. En revanche, les organisations avec des lacunes de chiffrement ou une mise en œuvre incohérente ont plus souvent cité la complexité technique (59 %) et la compréhension des exigences (41 %). Cette divergence suggère que les organisations surmontent les défis techniques à mesure qu’elles mûrissent leurs pratiques de chiffrement, mais font ensuite face à des défis de ressources et organisationnels pour des efforts de conformité plus larges.

L’analyse sectorielle révèle des schémas intéressants dans la mise en œuvre du chiffrement :

• Les organisations de fabrication de défense ont signalé le taux le plus élevé de suivi des normes de chiffrement documentées (78 %)
• Les entreprises de services professionnels ont suivi à 71 %
• Les entreprises de technologie/logiciels ont signalé 67 %

Ces différences reflètent probablement des variations dans l’expérience de la gestion d’informations sensibles et des exigences de conformité antérieures, les fabricants de défense ayant généralement une expérience plus longue avec les exigences de protection de l’information du DoD.

Contrôles d’accès tiers et sécurité de la chaîne d’approvisionnement

La mise en œuvre de la gouvernance et des contrôles pour l’accès tiers aux CUI répond aux risques substantiels associés à la sécurité de la chaîne d’approvisionnement. Les résultats de l’enquête mettent en évidence une variation significative dans la maturité des contrôles d’accès tiers à travers les organisations, avec des implications importantes pour la posture de sécurité globale.

L’état des contrôles d’accès tiers

Parmi les organisations interrogées :

• 66 % ont déclaré avoir des contrôles et des systèmes avancés en place pour l’accès tiers aux CUI
• 29 % ont indiqué avoir certains contrôles mais manquer de visibilité et de contrôle complets
• 3 % ont reconnu cela comme une lacune active qu’ils travaillent à combler
• 2 % n’étaient pas sûres de leur statut de contrôle

La corrélation entre les contrôles d’accès tiers et la taille de l’entreprise révèle des schémas importants dans les approches de sécurité de la chaîne d’approvisionnement. Les grandes organisations (10 000+ employés) ont signalé le taux le plus élevé de contrôles avancés à 71 %, contre 63 % pour les organisations moyennes et 67 % pour les petites organisations. Cette distribution relativement uniforme suggère que les organisations de toutes tailles reconnaissent l’importance des contrôles d’accès tiers, bien que les approches de mise en œuvre puissent différer en fonction des ressources et de la complexité de la chaîne d’approvisionnement.

Les organisations avec des contrôles d’accès tiers avancés ont démontré des performances substantiellement plus fortes dans d’autres dimensions de sécurité. Ces organisations étaient plus susceptibles d’avoir des politiques de sécurité entièrement documentées (78 % contre 38 % pour celles avec des contrôles partiels), de suivre des normes de chiffrement documentées (78 % contre 51 %), et d’avoir des programmes de gestion des fournisseurs formels (77 % contre 31 %). Ce schéma suggère que des contrôles d’accès tiers robustes existent généralement dans un contexte plus large de gouvernance de sécurité mature et de contrôles techniques.

Complexité de la chaîne d’approvisionnement et investissement en sécurité

La complexité de la chaîne d’approvisionnement montre une forte corrélation avec la maturité des contrôles d’accès tiers. Les organisations déclarant plus de 50 fournisseurs gérant des CUI étaient significativement plus susceptibles d’avoir des contrôles avancés (79 %) comparées à celles avec moins de 10 fournisseurs (58 %). Ce schéma suggère que les organisations avec des chaînes d’approvisionnement plus complexes reconnaissent le risque accru et investissent en conséquence dans des mécanismes de contrôle plus sophistiqués.

La relation entre les contrôles d’accès tiers et les défis de conformité perçus révèle des différences importantes dans l’orientation organisationnelle. Les organisations avec des contrôles avancés ont le plus souvent identifié les contraintes budgétaires (37 %) et la complexité de la portée (24 %) comme principaux défis. En revanche, les organisations avec des contrôles partiels ou des lacunes identifiées ont plus souvent cité la complexité technique (51 %) et la compréhension des exigences (38 %). Cette divergence suggère que les organisations mûrissent leur compréhension des exigences techniques et de gouvernance à mesure qu’elles mettent en œuvre des contrôles tiers plus avancés.

L’analyse sectorielle révèle des différences notables dans la maturité des contrôles d’accès tiers :

• Les organisations de fabrication de défense ont signalé le taux le plus élevé de contrôles avancés (73 %)
• Les entreprises de services professionnels ont suivi à 68 %
• Les entreprises de technologie/logiciels ont signalé 63 %

Ces différences reflètent probablement des variations dans la complexité de la chaîne d’approvisionnement et l’expérience de la gestion d’informations sensibles, les fabricants de défense ayant généralement des pratiques plus établies pour contrôler le flux d’informations vers les fournisseurs et sous-traitants.

Expertise externe : l’accélérateur de conformité

L’engagement de partenaires externes est fortement corrélé à la préparation perçue à la conformité dans plusieurs dimensions. L’enquête révèle des schémas distincts dans la manière dont différentes organisations tirent parti de l’expertise externe, avec des implications importantes pour le succès de la conformité.

Schémas d’engagement des partenaires

La relation entre la taille de l’organisation et l’engagement des tiers révèle des schémas importants dans la manière dont différentes organisations abordent l’expertise externe :

Les organisations de taille moyenne (500-9 999 employés) ont montré le taux le plus élevé d’engagement avec des partenaires expérimentés à 50 %, contre 40 % pour les petites organisations (*500 employés) et 41 % pour les grandes organisations (10 000+ employés). Ce schéma suggère que les organisations de taille moyenne occupent une position particulière où elles ont suffisamment de ressources pour engager un soutien externe mais peuvent manquer de l’expertise interne étendue trouvée dans les grandes organisations.

Les petites organisations ont montré le taux le plus élevé de gestion de la conformité en interne (22 %), égal aux grandes organisations mais probablement pour des raisons différentes—contraintes de ressources pour les petites organisations contre capacités internes étendues pour les grandes.

La relation entre les rôles de leadership et l’engagement des tiers révèle des différences importantes dans la manière dont les domaines fonctionnels abordent l’assistance à la conformité :

Les PDG/fondateurs ont signalé le taux le plus élevé d’engagement avec des partenaires expérimentés (57 %), suivis de près par les CIO/chefs de l’informatique (57 %). En revanche, les responsables de la cybersécurité ont signalé le taux le plus bas d’engagement des partenaires (31 %) et le taux le plus élevé de gestion de la conformité en interne (34 %). Ces différences reflètent probablement des évaluations variées des capacités internes, les responsables spécialisés en cybersécurité étant plus confiants dans les ressources internes que les dirigeants généralistes.

Impact de l’expertise externe

Les organisations travaillant avec des partenaires expérimentés étaient significativement plus susceptibles de déclarer suivre des normes de chiffrement vérifiées (84 %) comparées à celles gérant la conformité en interne (61 %) ou celles encore en train de sélectionner des partenaires (54 %). Des schémas similaires sont apparus pour les contrôles d’accès tiers, la préparation à la réponse aux incidents, et l’allocation du budget de conformité. Ces corrélations soulignent comment l’expertise externe peut accélérer et améliorer la préparation à la conformité dans plusieurs domaines.

Le type spécifique d’engagement des tiers montre des corrélations intéressantes avec la taille de l’organisation et la maturité de la conformité :

Les petites organisations ont plus fréquemment déclaré travailler avec des consultants en cybersécurité généraux (48 %), tandis que les organisations moyennes et grandes ont plus souvent engagé des Organisations de Fournisseurs Enregistrés (RPO) ou des Organisations d’Évaluation Tiers Certifiées (C3PAO) (57 % et 64 %, respectivement). Cette différence reflète probablement à la fois la disponibilité des ressources et la complexité de la conformité, les grandes organisations nécessitant une expertise plus spécialisée axée spécifiquement sur les exigences CMMC.

Les organisations engagées avec des partenaires ont montré des performances particulièrement fortes en documentation (76 % entièrement documentées contre 43 % pour celles en interne), définition de la portée (63 % bien documentée contre 27 % pour celles en interne), et gestion des risques tiers (72 % programmes formels contre 39 % pour celles en interne). Ces domaines nécessitent des connaissances spécialisées et bénéficient généralement d’une perspective externe et d’une expérience avec des organisations similaires.

Le moment de l’engagement des partenaires semble influencer l’approche globale de la conformité. Les organisations qui ont engagé des partenaires tôt dans leur parcours de conformité (avant de compléter les analyses d’écart) ont rapporté des taux plus élevés d’efforts de préparation complets, y compris des programmes de gestion des fournisseurs formels (68 %) et des systèmes de suivi de la remédiation centralisés (71 %). Ce schéma suggère que les conseils externes précoces aident à établir des approches de conformité plus structurées et complètes dès le départ.

Principaux défis de conformité et allocation des ressources

Les résultats de l’enquête mettent en évidence les divers défis auxquels les organisations sont confrontées dans la poursuite de la conformité CMMC 2.0 Niveau 2, avec des contraintes de ressources, une complexité technique et des facteurs organisationnels émergeant comme thèmes clés. Les défis identifiés par les organisations varient considérablement en fonction de la taille, de la maturité de la conformité et de la perspective de rôle spécifique.

Principaux obstacles à la mise en œuvre

Parmi tous les répondants :

• 36 % ont identifié les contraintes budgétaires et de ressources comme leur plus grand défi
• 31 % ont cité la complexité technique
• 12 % ont souligné la complexité de la portée
• 11 % ont mentionné l’adhésion des dirigeants
• 10 % ont mis en avant la compréhension des exigences

Les organisations à différents stades de maturité de la conformité rapportent des perceptions de défis nettement différentes. Les organisations avec des politiques entièrement documentées et des contrôles de sécurité avancés ont le plus souvent identifié les contraintes budgétaires (38 %) et la complexité de la portée (26 %) comme principaux défis. En revanche, les organisations avec une documentation partielle et des lacunes de sécurité ont plus souvent cité la complexité technique (53 %) et la compréhension des exigences (27 %). Cette progression suggère que les organisations se concentrent initialement sur la compréhension et la mise en œuvre des exigences techniques avant de confronter les défis d’allocation des ressources et de définition de la portée.

Schémas d’allocation budgétaire

L’allocation budgétaire pour la conformité CMMC 2.0 montre une variation significative à travers les organisations répondantes :

• 34 % ont déclaré avoir un budget approuvé avec une équipe dédiée
• 48 % ont indiqué une allocation budgétaire partielle avec des plans pour étendre les ressources
• 15 % ont reconnu une allocation budgétaire limitée ou inexistante
• 3 % n’étaient pas sûres de leur statut budgétaire

La corrélation entre l’allocation budgétaire et la taille de l’entreprise suit des schémas attendus :

• 62 % des grandes organisations ont déclaré des budgets approuvés avec des équipes dédiées
• 38 % des organisations de taille moyenne avaient des budgets dédiés
• Seulement 23 % des petites organisations avaient des budgets de conformité dédiés

La relation entre la perception des défis et le calendrier de conformité révèle des schémas importants dans la manière dont les organisations abordent la préparation CMMC. Les organisations identifiant la complexité technique comme leur principal défi ont projeté des calendriers de conformité plus longs, avec 67 % anticipant la certification dans les 12 à 24 mois suivant la règle finale. En revanche, les organisations citant les contraintes budgétaires ont montré des calendriers plus agressifs, avec 41 % planifiant la certification dans les 6 à 12 mois. Cette divergence suggère que la compréhension technique, plutôt que la seule disponibilité des ressources, peut être le facteur limitant la vitesse de conformité.

Recommandations stratégiques basées sur les résultats de la recherche

Les résultats de l’enquête révèlent des voies claires vers la réussite de la conformité CMMC Niveau 2, avec des approches des organisations variant considérablement en fonction de la taille, de l’implication du leadership et de la maturité des pratiques de sécurité. Sur la base de ces aperçus, voici cinq actions clés que les organisations devraient prioriser pour réussir leur conformité.

Cinq actions clés pour réussir le CMMC

Mettre en œuvre un suivi et des contrôles de gouvernance avancés pour l’accès aux CUI

Les organisations avec des contrôles d’accès tiers avancés démontrent une posture de sécurité considérablement plus forte, avec 78 % suivant des normes de chiffrement documentées contre 51 % pour celles avec des contrôles partiels. Les 66 % d’organisations employant déjà des contrôles avancés montrent des taux 77 % plus élevés de programmes de gestion des fournisseurs formels, créant une visibilité complète tout au long de leurs chaînes d’approvisionnement.

Cette constatation est particulièrement significative pour les organisations avec des chaînes d’approvisionnement complexes—celles avec plus de 50 fournisseurs gérant des CUI sont significativement plus susceptibles de mettre en œuvre des contrôles avancés (79 %) comparées à celles avec des chaînes d’approvisionnement plus simples (58 %).

Développer des couches de sécurité complètes pour la protection des données

Les données de l’enquête montrent que les organisations suivant des normes de chiffrement documentées (69 % des répondants) obtiennent une sécurité significativement meilleure dans plusieurs dimensions. Ces organisations sont trois fois plus susceptibles d’avoir des politiques entièrement documentées (73 % contre 29 %) et des POA&Ms détaillés (65 % contre 23 %) comparées à celles avec des lacunes de chiffrement.

La recherche révèle que les organisations avec une documentation minimale sont 30 fois plus susceptibles de signaler un chiffrement incohérent des CUI—soulignant une vulnérabilité critique dans la chaîne d’approvisionnement. Prioriser la mise en œuvre du chiffrement aux côtés de contrôles complémentaires crée une protection en profondeur des informations sensibles.

Engager une expertise tierce spécialisée pour accélérer la conformité

Les organisations de taille moyenne (500-9 999 employés) sont en tête dans cette approche avec 50 % travaillant avec des partenaires spécialisés. Cet engagement est corrélé à des résultats de sécurité substantiellement meilleurs—76 % obtiennent des politiques entièrement documentées contre 43 % pour celles gérant la conformité indépendamment.

Les organisations ayant complété des analyses d’écart engagent des partenaires externes à un taux presque triple (62 %) de celles n’ayant pas encore commencé l’évaluation (21 %), reconnaissant la valeur de l’expertise spécialisée. Le moment de l’engagement est important—les organisations qui s’associent tôt dans leur parcours de conformité rapportent des taux plus élevés d’efforts de préparation complets.

Adopter des solutions d’échange de données Zero-Trust pour rationaliser la conformité

Avec 29 % des organisations signalant une visibilité partielle sur l’accès tiers aux CUI, la mise en œuvre d’architectures Zero-Trust répond à une vulnérabilité critique. Les 76 % d’organisations travaillant avec des partenaires expérimentés qui obtiennent des contrôles d’accès avancés démontrent comment des solutions spécialisées peuvent surmonter ce défi.

Les fabricants de défense sont en tête dans cette mise en œuvre (73 %), tirant parti de solutions qui maintiennent la sécurité tout en permettant le partage d’informations nécessaire. Pour les organisations avec des chaînes d’approvisionnement complexes, ces approches offrent à la fois conformité et efficacité opérationnelle.

Commencer par une analyse d’écart approfondie contre les 110 contrôles NIST SP 800-171

Les 41 % d’organisations qui ont complété des évaluations complètes sont trois fois plus susceptibles de mettre en œuvre des contrôles de sécurité solides que celles qui n’ont pas commencé. Cette fondation critique identifie les vulnérabilités nécessitant une attention immédiate.

La recherche démontre une corrélation claire : les organisations complétant des analyses d’écart sont 73 % plus susceptibles d’avoir des politiques de cybersécurité entièrement documentées, et 77 % plus susceptibles de suivre des normes de chiffrement vérifiées comparées à celles qui n’ont pas commencé l’évaluation. Commencer par cette analyse complète fournit la feuille de route pour toutes les activités de conformité ultérieures.

Mise en œuvre d’une approche par étapes

La recherche révèle des étapes distinctes dans le parcours de conformité, chacune nécessitant des stratégies adaptées :

1. Phase d’évaluation : Commencez par une analyse d’écart complète et le développement de la documentation, en vous concentrant sur la compréhension des exigences avant de mettre en œuvre des contrôles techniques.
2. Phase de mise en œuvre : Priorisez la résolution des défis de complexité technique tout en développant des mécanismes de documentation systématique et de vérification des contrôles.
3. Phase de maturation : Concentrez-vous sur la définition de la portée, la gestion des partenaires et la surveillance continue, en mettant l’accent sur le maintien de la conformité au-delà de la certification.

Les organisations devraient aligner l’allocation des ressources et les attentes de calendrier en fonction de leur stade actuel de conformité, reconnaissant que les défis évoluent tout au long du parcours.

Sécuriser les chaînes d’approvisionnement DIB : stratégies de réussite CMMC 2.0 Niveau 2

Alors que la mise en œuvre du CMMC 2.0 Niveau 2 se poursuit à travers la Base Industrielle de Défense, l’enquête de Kiteworks et Coalfire fournit des conseils inestimables pour les organisations à tous les stades de préparation. Les résultats indiquent clairement que l’investissement stratégique dans des contrôles de sécurité robustes, une documentation complète et une expertise externe appropriée améliore considérablement la capacité d’une organisation à atteindre et maintenir la conformité tout en améliorant la posture de sécurité globale.

Les organisations montrant la plus forte préparation à la conformité démontrent des schémas cohérents : elles mettent en œuvre des contrôles de sécurité en couches avec un accent particulier sur le chiffrement et la gestion des accès tiers, tirent stratégiquement parti de l’expertise externe, et alignent l’allocation des ressources avec les défis de conformité évolutifs. Ces approches offrent des avantages mesurables dans toutes les dimensions de sécurité.

Peut-être plus significativement, la recherche démontre que les investissements en conformité apportent une valeur au-delà des exigences de certification. Les organisations suivant des approches de conformité structurées rapportent une gouvernance de sécurité globale plus forte, des capacités de gestion des risques améliorées, et une protection plus efficace des informations sensibles tout au long de leurs chaînes d’approvisionnement.

Les mois à venir seront critiques pour les organisations DIB alors que les exigences CMMC 2.0 deviennent des obligations contractuelles. En suivant les stratégies fondées sur des preuves décrites dans cette recherche, les organisations peuvent naviguer plus efficacement et efficacement dans le parcours de conformité, renforçant finalement à la fois leur posture de sécurité et leur position concurrentielle sur le marché de la défense.

Pour les organisations commençant leur parcours de conformité, le message est clair : commencez par une évaluation complète, mettez en œuvre des contrôles de sécurité robustes méthodiquement, et envisagez un soutien externe stratégique. Pour celles plus avancées, concentrez-vous sur la résolution des défis évolutifs appropriés à votre stade de maturité. Dans tous les cas, considérez la conformité CMMC non pas comme un exercice de case à cocher mais comme une opportunité de renforcer la posture de sécurité globale de votre organisation et de mieux protéger les informations sensibles de défense qui vous sont confiées.

Ressources supplémentaires

• Article de blog Architecture Zero Trust : Ne jamais faire confiance, toujours vérifier
• Vidéo Comment Kiteworks aide à faire progresser le modèle Zero Trust de la NSA au niveau des données
• Article de blog Ce que signifie étendre le Zero Trust à la couche de contenu
• Article de blog Construire la confiance dans l’IA générative avec une approche Zero Trust
• Vidéo Kiteworks + Forcepoint : Démonstration de la conformité et du Zero Trust à la couche de contenu