Points clés
- Les MSP accompagnent les audits CMMC en travaillant directement avec les C3PAO et en fournissant les preuves dont les évaluateurs ont besoin pour valider les contrôles.
- Les exigences CMMC s’appliquent aux MSP dès lors que leurs services touchent des systèmes qui stockent, traitent ou protègent des informations non classifiées contrôlées (CUI).
- Une répartition claire des responsabilités entre le contractant, le MSP et les autres fournisseurs limite la confusion et réduit le risque lors de l’audit.
- Lorsqu’un MSP stocke, traite ou transmet des CUI, ou héberge des données de protection de sécurité liées à des protections dans le périmètre, ses actifs concernés entrent généralement dans le périmètre d’évaluation.
- Les C3PAO vérifient le fonctionnement réel des contrôles dans les environnements en production : les MSP doivent donc apporter des preuves opérationnelles, et pas seulement s’appuyer sur des politiques écrites.
Le programme actuel de Cybersecurity Maturity Model Certification (CMMC) du Department of Defense repose à la fois sur des auto-évaluations et sur des évaluations indépendantes, selon le niveau requis et l’appel d’offres. Pour les évaluations de certification de niveau 2, ce sont des C3PAO agréés qui réalisent l’examen formel par un tiers.
Comme de nombreux contractants confient à des MSP l’exploitation ou la sécurisation d’environnements concernés, ces services peuvent entrer dans le périmètre de l’évaluation dès lors qu’ils touchent des systèmes qui stockent, traitent ou protègent des CUI ou les données de protection de sécurité associées.
Ce guide explique comment MSP et C3PAO collaborent lors des évaluations de certification C3PAO afin de maintenir les audits sur les rails et d’éviter les écarts de conformité.
Ce que les C3PAO évaluent lors d’un audit CMMC
Avant de pouvoir réellement appuyer un audit CMMC, un MSP doit comprendre précisément ce qu’un C3PAO recherche, et comment il le recherche. Rappelons que la mission première d’un C3PAO consiste à vérifier que les contrôles de sécurité exigés sont bien en place dans l’environnement évalué. Son évaluation porte sur :
- L’implémentation technique des contrôles de sécurité – les contrôles sont-ils correctement configurés sur l’ensemble des systèmes et des réseaux ?
- La constance opérationnelle dans la durée – les contrôles sont-ils appliqués et maintenus en continu ?
- La cohérence avec les politiques et procédures documentées – la documentation écrite reflète-t-elle le fonctionnement réel des contrôles ?
- Les preuves attestant de l’application des contrôles – existe-t-il des preuves vérifiables montrant que les contrôles sont actifs et efficaces ?
La place des MSP dans le processus d’évaluation CMMC
Dans le cadre CMMC, de nombreux MSP sont considérés comme des External Service Providers (ESP) lorsqu’ils fournissent des services d’informatique externalisée ou de cybersécurité liés à l’environnement évalué.
Les MSP entrent généralement dans le périmètre lorsqu’ils gèrent des systèmes qui stockent ou traitent des informations non classifiées contrôlées (CUI), ou lorsqu’ils disposent d’un accès administratif ou d’un accès à distance à des environnements concernés. Ils peuvent également y être inclus lorsqu’ils exploitent des outils qui appliquent et surveillent les contrôles de sécurité.
Dans bien des cas, les MSP manipulent aussi des données liées à la sécurité (journaux, configurations, enregistrements d’authentification), ce qui rattache davantage encore leurs services aux exigences CMMC.
Délimiter les responsabilités entre le MSP, le client et l’évaluateur
Une évaluation CMMC de niveau 2 coûte généralement entre 37 000 et plus de 49 000 dollars, préparation non comprise. Un échec peut se traduire par la perte de contrats avec le DoD, une atteinte à la réputation et une perturbation de l’activité : d’où l’importance cruciale de la préparation.
L’une des principales causes d’échec tient au flou sur les responsabilités. À l’inverse, les audits CMMC réussis ont un point commun : chacun sait précisément de quoi il répond.
Les responsabilités se répartissent souvent entre l’entreprise cliente, le MSP et les éventuels fournisseurs ou plateformes qui interviennent en appui. Les MSP doivent documenter clairement les contrôles qu’ils implémentent et maintiennent, ceux qui restent à la charge du client, et ceux qui relèvent d’une responsabilité partagée.
Quand la répartition n’est pas claire, les évaluateurs ne peuvent pas établir qui répond de quoi, et cette ambiguïté génère des constats d’audit, même lorsque les contrôles techniques sont par ailleurs en place.
Clarifier le périmètre des MSP qui manipulent des CUI
Le rôle d’un MSP dans une évaluation CMMC prend de l’ampleur dès lors qu’il accède à des CUI ou les manipule, car ces activités influent directement sur la manière dont les contrôles de sécurité sont implémentés et appliqués. Dans ces situations, le MSP fait souvent partie du périmètre d’audit et doit fournir davantage de preuves, avec un examen plus poussé des contrôles d’accès et des activités de surveillance.
Les C3PAO examinent de près la façon dont les CUI sont protégées, qui peut y accéder, et comment ces accès sont journalisés et revus, afin de confirmer que les contrôles fonctionnent bien comme prévu.
Le rôle des MSP auprès des C3PAO pendant l’audit
Lorsqu’un C3PAO lance une évaluation formelle, son examen s’étend à toutes les parties de l’environnement comprises dans le périmètre, y compris les systèmes et services gérés par le MSP.
Concrètement, les collaborateurs du MSP peuvent être interrogés directement, les configurations qu’il gère seront examinées, et les outils qu’il exploite pour appliquer ou surveiller les contrôles de sécurité feront l’objet de tests techniques.
Pendant un audit, un MSP peut avoir à :
- fournir des preuves de l’implémentation des contrôles (journaux, configurations, relevés d’accès, résultats de surveillance, par exemple) ;
- expliquer en quoi certains services gérés répondent aux exigences CMMC ;
- participer à des entretiens structurés avec les évaluateurs sur la manière dont les contrôles sont exploités et maintenus au quotidien ;
- faciliter les tests techniques en mettant à disposition les systèmes, les outils et les accès nécessaires.
Aligner les services du MSP sur les attentes de l’audit
Les évaluations avancent beaucoup plus vite lorsque les services du MSP correspondent aux attentes de l’audit.
Cet alignement suppose de rattacher chaque service à des exigences CMMC précises, de veiller à ce que la documentation reflète l’implémentation réelle et de maintenir la cohérence entre les politiques écrites et les pratiques opérationnelles quotidiennes. Les MSP doivent également préparer les preuves dans des formats que les évaluateurs peuvent valider directement.
L’accompagnement des clients par les MSP tout au long du cycle de conformité CMMC
La certification CMMC de niveau 2 est valable trois ans, au terme desquels une réévaluation complète s’impose. Pendant cette période, les contractants doivent confirmer chaque année que les contrôles requis restent en place. Si l’évaluation met au jour des écarts, ceux-ci doivent être corrigés dans un délai défini pour conserver la certification.
Chaque étape de ce cycle repose sur la capacité du MSP à maintenir les contrôles, la documentation et les preuves dans un état qui résiste à l’examen. Sur l’ensemble du cycle de conformité, l’accompagnement d’un MSP comprend généralement :
- l’implémentation et le maintien des contrôles de sécurité qui sous-tendent la certification ;
- la mise à jour de la documentation au fil des évolutions de l’environnement ;
- la gestion et la correction des écarts identifiés dans les délais impartis ;
- la préparation des clients aux attestations annuelles avec des registres de conformité exacts ;
- l’appui à la préparation des réévaluations triennales.
Cet accompagnement continu fait du MSP un partenaire de conformité sur le long terme, présent avant, pendant et après les évaluations CMMC.
Réduire le risque d’audit grâce à un appui MSP coordonné dans la certification C3PAO
Les évaluations CMMC définissent la façon dont les entreprises, les MSP et les C3PAO travaillent ensemble. Les MSP appuient les audits en fournissant des preuves, en clarifiant les responsabilités et en montrant comment les contrôles s’appliquent concrètement. Quand les rôles et les attentes sont clairs, le risque d’audit diminue et la préparation à la conformité progresse.
Sujets connexes :
