Deux cadres, une seule préparation

Les adversaires n’attaquent plus les grands maîtres d’œuvre : ceux-ci sont bien défendus. Ils passent par leurs fournisseurs, qui le sont moins et qui détiennent pourtant une part de la même information.

Une chaîne d’approvisionnement vaut la sécurité de son maillon le plus faible, et ce maillon est statistiquement une petite entreprise. D’où le déplacement de l’exigence vers l’ensemble de la chaîne.

Ce n’est donc pas de la paperasse administrative. C’est la reconnaissance que l’information qui transite par vos systèmes a de la valeur pour quelqu’un d’autre que vous.

Les deux cadres reposent sur la même famille de normes. NIST SP 800-171 est une norme américaine qui décrit comment protéger de l’information gouvernementale sensible hébergée chez un fournisseur privé. ITSP.10.171 en est la version canadienne, publiée par le Centre canadien pour la cybersécurité, qui indique lui-même qu’il n’y a pas de changement technique substantiel entre les deux documents.

Concrètement : l’inventaire de vos actifs, la définition de votre périmètre, votre plan de sécurité, vos politiques, l’authentification multifacteur, la journalisation, la gestion des correctifs, la formation de votre personnel. Tout cela se fait une fois et sert des deux côtés de la frontière.

Une nuance à connaître : le CMMC s’appuie sur la révision 2 de la norme, ITSP.10.171 sur la révision 3. Quelques exigences sont formulées différemment. L’écart est réel, mais marginal au regard de l’effort total.

Quatre questions suffisent le plus souvent à trancher.

Le point le plus contre-intuitif : le déclencheur n’est ni votre taille, ni votre rang dans la chaîne, mais le type d’information que vous manipulez.