La décision du ministère de la Guerre de réexaminer les exigences d'évaluation de la phase 2 du CMMC reflète une tension réelle au cœur des marchés publics de défense : les cadres de cybersécurité doivent renforcer la base industrielle de défense, et non exclure les petits fournisseurs en raison des coûts. Cette tension est légitime. Les capacités d'évaluation par des tiers, les obstacles financiers et la complexité de la mise en œuvre ont freiné la participation. Un réexamen s'imposait.

Cette révision modifie le calendrier de mise en conformité, mais pas le contexte des menaces. Les attaquants continuent de cibler les réseaux des sous-traitants du secteur de la défense, les communications des dirigeants et les flux de travail mobiles. Les informations classifiées (CUI) et les informations de sécurité nationale (FCI) restent exposées dès lors que les sous-traitants utilisent des outils non gérés, des canaux non sécurisés ou des plateformes de messagerie commerciales qui n’ont jamais été conçues pour des cas d’utilisation liés à la sécurité nationale.

Pour les entreprises du secteur de la défense, la question immédiate n’est pas de savoir si la certification CMMC est valide à une date donnée. Il s’agit plutôt de déterminer si l’organisation serait en mesure de démontrer, en cas de contrôle aujourd’hui, qu’elle dispose d’un dispositif de sécurité documenté et justifiable. Ce dispositif dépend de ce qui se passe en temps réel sur l’ensemble des appareils et des canaux utilisés par le personnel.

Ce que signifie réellement la suspension du CMMC pour les sous-traitants du secteur de la défense

La révision par le DoW de la phase 2 du CMMC ne supprime pas les obligations existantes. Les sous-traitants restent soumis à la clause DFARS 252.204–7012, qui exige la mise en place de mesures de sécurité adéquates pour les informations de défense concernées. La norme NIST SP 800–171 reste la référence. Ce qui change, c’est le calendrier de la certification par un tiers, et non l’obligation de protéger les informations sensibles.

Les organisations qui considèrent cette pause comme une occasion de reporter leurs investissements en matière de sécurité risquent de se retrouver exposées sur le plan opérationnel et contractuel lorsque le cadre reprendra ses activités. Elles restent également vulnérables, dès à présent, face aux adversaires contre lesquels le CMMC a été conçu pour lutter.

La base industrielle de défense constitue une cible de grande valeur. Des acteurs étatiques et des organisations cybercriminelles sophistiquées sondent régulièrement les réseaux des sous-traitants afin d’accéder à des données sensibles relatives aux programmes, à des informations sur la chaîne d’approvisionnement et à des communications liées aux missions.

Où les informations sensibles sont-elles les plus vulnérables ?

Les dispositifs de sécurité ont tendance à se concentrer sur les périmètres réseau et l'infrastructure informatique. Cette approche est nécessaire, mais elle n'est pas suffisante. Les informations sensibles en matière de défense circulent via des échanges d'e-mails, des applications de messagerie mobile, des appels vocaux, des plateformes de partage de fichiers et des outils de collaboration distribués.

C'est là que les risques sont souvent les plus élevés. Les plateformes de messagerie commerciales telles que WhatsApp, Telegram et les SMS classiques ne disposent pas d'un contrôle centralisé des politiques, d'une vérification continue de l'identité ni d'une protection des métadonnées pour les communications critiques.

Les métadonnées constituent un risque souvent sous-estimé. Même lorsque le contenu des messages est chiffré, les horodatages, les journaux d'appels, l'identité des participants et les schémas comportementaux peuvent révéler des informations opérationnelles sensibles. Pour les entreprises du secteur de la défense qui collaborent avec des organismes publics, ce risque est important.

Les communications conçues dès le départ pour être sécurisées, certifiées conformes aux normes gouvernementales et déployées sous le contrôle total de l'organisation, permettent de remédier directement à ces vulnérabilités.

À quoi ressemble une stratégie de sécurité solide pendant la pause ?

Une stratégie de sécurité solide ne nécessite pas pour autant d'être déjà certifiée CMMC à l'heure actuelle. Elle exige toutefois des pratiques de sécurité documentées, des mesures de protection concrètes intégrées aux processus opérationnels, ainsi que des outils de communication qui réduisent les risques plutôt que de les créer.

Pour les entreprises du secteur de la défense, la situation actuelle doit être analysée sous plusieurs angles.

Vérification d'identité : chaque participant à une communication sensible doit être explicitement autorisé et faire l'objet d'une vérification continue. Les applications grand public authentifient les utilisateurs par leur numéro de téléphone, et non par leur identité au sein d'une organisation.

Communications chiffrées sur tous les canaux : le chiffrement de bout en bout pour les communications vocales, la messagerie et le partage de fichiers constitue une exigence minimale pour tout outil traitant des informations classifiées (CUI) ou des informations de sécurité (FCI). Un chiffrement ne couvrant qu’une partie de la chaîne de communication laisse des failles que les adversaires ne manqueront pas d’exploiter.

Aucune exposition des métadonnées : une plateforme de communication sécurisée doit protéger les métadonnées, empêchant ainsi les adversaires de cartographier le comportement de l'organisation, les relations entre les membres du personnel et les schémas opérationnels.

Contrôle centralisé des politiques et visibilité sur la conformité : contrairement aux solutions grand public, une plateforme de communication sécurisée de niveau gouvernemental offre aux équipes de sécurité une supervision centralisée, des options configurables de conservation des données et des enregistrements vérifiables. Ces fonctionnalités permettent de réaliser des auto-évaluations défendables et allègent la charge administrative liée à la documentation de conformité.

Flexibilité de déploiement : tous les environnements des prestataires ne se ressemblent pas. Certains nécessitent des solutions hébergées dans le cloud. D'autres requièrent un déploiement sur site ou des environnements « air-gapped » dépourvus de toute infrastructure externe. La prise en charge de plusieurs modèles de déploiement aide les prestataires à adapter la sécurité de leurs communications à leurs exigences opérationnelles et contractuelles.

Pourquoi les communications sécurisées devraient faire partie des exigences de base du CMMC

La révision du CMMC offre aux décideurs politiques et aux sous-traitants l'occasion de rendre les exigences en matière de cybersécurité plus faciles à mettre en œuvre. Un cadre qui exclut les petits fournisseurs de la base industrielle de défense en raison de leur coût va à l'encontre de son objectif même. La facilité de mise en œuvre ne doit toutefois pas se traduire par un affaiblissement de la sécurité. Elle doit déboucher sur des contrôles plus faciles à déployer, plus faciles à vérifier et plus difficiles à contourner pour les adversaires.

Les communications sécurisées répondent à ces critères. Une solution de communication certifiée et chiffrée offre aux prestataires un environnement réglementé pour les échanges sensibles, les transferts de fichiers et les activités de coordination, via des canaux conformes aux normes de sécurité gouvernementales.

C'est précisément le type de contrôle pratique et évolutif dont a besoin le secteur de la défense. BlackBerry® Secure Communications s'appuie sur une approche fondée sur les risques pour protéger les communications sensibles, sans pour autant entraver inutilement les opérations quotidiennes. La sécurité des applications liées à la défense nationale doit être suffisamment solide pour inspirer confiance, tout en restant suffisamment simple pour être adoptée par des effectifs nombreux, hétérogènes et mobiles.

Certifiée et validée selon les normes FIPS, Critères communs, FedRAMP Classe D (Haut) et les normes « Restricted » de l'OTAN, la solution BlackBerry Secure Communications offre le niveau de garantie requis par les environnements sensibles en matière de défense. Les prestataires intervenant à la fois dans des domaines classifiés et non classifiés, ou collaborant avec plusieurs agences et sous-traitants, ont besoin d'une solution spécialement conçue pour répondre à cette complexité.

Conséquence plus générale : la sécurité de la chaîne d'approvisionnement dépend de son maillon le plus faible

La sécurité des chaînes d'approvisionnement du secteur de la défense dépend de celle de leur maillon le plus faible. Les grands maîtres d'œuvre disposent parfois de programmes de sécurité bien rodés. Ce n'est souvent pas le cas des petits sous-traitants et des fournisseurs non traditionnels, qui échangent pourtant fréquemment des informations sensibles avec les maîtres d'œuvre et les organismes publics.

C'est précisément cette vulnérabilité que le CMMC a été conçu pour contrer, et elle ne disparaît pas pendant la période d'évaluation. Les attaquants savent que les petits sous-traitants sont susceptibles d'être moins bien protégés. Ils savent également que les canaux de communication entre les sous-traitants et leurs clients gouvernementaux constituent des cibles de choix.

La protection de ces canaux ne se limite pas à la sécurité périmétrique. Elle nécessite des systèmes de communication sécurisés dès leur conception, capables de fonctionner au-delà des frontières organisationnelles, de favoriser l'interopérabilité entre les agences et les prestataires, et de garantir le respect de normes de sécurité cohérentes, quel que soit l'initiateur de la conversation.

Une solution qui chiffre les communications de bout en bout, vérifie l'identité de chaque participant, protège les métadonnées et prend en charge des configurations de déploiement allant du cloud à des environnements totalement isolés répond à cette exigence au niveau de la chaîne d'approvisionnement, et pas seulement au niveau de chaque prestataire.

Transformer cette pause en avancée

Au cours de l'évaluation CMMC, chaque sous-traitant du secteur de la défense devrait être en mesure de répondre à une question : quel est notre niveau de sécurité actuel, quelles que soient les exigences de certification officiellement en vigueur ?

Les organisations qui mettront à profit cette période pour renforcer leur sécurité opérationnelle, documenter leurs pratiques et mettre en place des mesures de protection concrètes seront mieux préparées lorsque les exigences de la phase 2 reprendront. Celles qui considéreront cette pause comme une raison d'attendre devront rattraper leur retard en matière de sécurité et de conformité simultanément, sous une pression temporelle accrue, dans un environnement de menaces qui n'a cessé d'évoluer.

Le cadre CMMC existe, fondamentalement, parce que la menace est bien réelle. Cette révision indique que le chemin vers la conformité doit être rendu plus accessible. Les sous-traitants du secteur de la défense doivent prendre ce signal au sérieux : ils doivent renforcer leur sécurité dès maintenant et s'engager dans le processus de mise en conformité à mesure qu'il évolue.

La sécurisation des communications constitue un bon point de départ. Elle permet de remédier à une véritable vulnérabilité opérationnelle, s'applique à divers environnements de sous-traitance et s'inscrit dans le cadre des pratiques de sécurité documentées requises pour une auto-évaluation défendable.