La CMMC ne bouleversera pas la majorité des MSP. Mais pour certains, elle changera tout.
La CMMC s’est construite sur plusieurs années. Pendant longtemps, on avait l’impression que « ce sera pour l’année prochaine », avec des faux départs et des attentes qui changeaient sans cesse. Aujourd’hui, c’est concret. Le cadre est formalisé, les audits ont lieu et l’application passe désormais par les contrats, via la règle du programme CMMC du DoD (32 CFR Part 170).
Voici ce que beaucoup de fournisseurs de services gérés (MSP) ne voient pas : la CMMC ne va pas transformer la façon dont la plupart des MSP livrent leurs services à l’ensemble de leur clientèle. Dans la majorité des cas, elle ne concernera qu’une petite partie des clients.
Mais pour les MSP qui interviennent sur des marchés comme l’industrie manufacturière, la CMMC représente une opportunité à forte valeur et à fort enjeu : celle de vendre des services bien plus fidélisants que tout ce que vous avez pu proposer jusqu’ici.
Le risque pour les MSP est bien réel
Si votre client est soumis à la CMMC et que vous ne comprenez pas comment vos outils, vos processus et vos contrôles d’accès pèsent sur son audit, vous pouvez devenir la cause de son échec.
Vous risquez aussi de vous retrouver embarqué dans des heures de discussions non facturées sur la CMMC, faute d’avoir correctement cadré le périmètre de la mission.
Dans certains cas, le client ira tout simplement voir un MSP qui maîtrise déjà le sujet.
L’opportunité est importante, mais le revers l’est tout autant si vous tentez de donner le change sans les compétences nécessaires.
Arrêtez de parler de « CMMC 2.0 »
Cela peut sembler pointilleux, mais c’est important. « CMMC 2.0 » était une formulation de travail. Ce qui existe aujourd’hui s’appelle simplement CMMC. Si vous abordez un client en parlant de « 2.0 », toute personne qui connaît le sujet doutera immédiatement de votre maîtrise. La précision construit la crédibilité, et la crédibilité est l’essentiel dans les métiers de la conformité.
La CMMC est une réglementation de la chaîne d’approvisionnement, pas une norme de cybersécurité
Oui, les contrôles de cybersécurité occupent une place considérable dans la CMMC. Mais les MSP s’exposent à des difficultés lorsqu’ils imaginent qu’il s’agit d’une norme de cybersécurité isolée. Activer tous les outils de cybersécurité suffirait à rendre le client conforme d’office ? Ce n’est pas ainsi que cela fonctionne.
La CMMC est une exigence de chaîne d’approvisionnement appliquée par voie contractuelle. Une entreprise qui échoue n’écope pas d’une amende, comme dans un modèle de sanction à la HIPAA. Elle perd le droit de remporter des marchés. Cela crée un sentiment d’urgence et une concentration que beaucoup d’autres normes de conformité n’ont jamais suscités.
Pour les MSP, deux choses peuvent donc être vraies en même temps :
- Vous pouvez devenir celui qui permet à un client de conserver (ou de décrocher) des contrats lucratifs.
- Ou vous pouvez être la cause de son échec, et c’est le genre d’échec que les clients n’oublient pas.
L’opportunité est réelle, mais le marché adressable est plus étroit qu’on ne le croit
Très peu de MSP transformeront un jour l’ensemble de leur activité en « practice CMMC ». La plupart auront un faible pourcentage de clients concernés par ce sujet.
Où se cachent généralement ces clients ? Dans l’industrie manufacturière. La fabrication. Les ateliers d’usinage. Les sociétés qui alimentent les chaînes d’approvisionnement de la défense, même indirectement. Si vous accompagnez ce type d’entreprises, il y a de fortes chances que vous ayez déjà au moins un client tenu de respecter la CMMC en raison de ceux à qui il vend en amont.
Un moyen simple de l’identifier consiste à poser de meilleures questions :
- Qui sont vos clients en amont : certains sont-ils des primes (autrement dit, de grands donneurs d’ordres de la défense) ?
- par exemple Lockheed Martin, Boeing, General Dynamics, General Dynamics Electric Boat, Navistar, Northrop Grumman, Oshkosh Defense.
- Voyez-vous apparaître des clauses CMMC ou NIST SP 800-171 dans les contrats ?
- Manipulez-vous des données soumises au contrôle des exportations, comme l’International Traffic in Arms Regulations (ITAR) ?
Si la réponse est oui, votre client a presque certainement déjà vu des clauses CMMC dans ses contrats. Il ne sait peut-être simplement pas encore quoi en faire, et c’est là que vous intervenez.
Le principal risque pour un MSP : être dans le périmètre sans être certifié
L’une des hypothèses les plus dangereuses que je rencontre, c’est celle des MSP qui se disent : « nous ne sommes pas tenus d’être certifiés, donc ce n’est pas notre problème ».
Dans les faits, les services et les outils du MSP entrent souvent dans le périmètre de l’audit du client. Autrement dit, un évaluateur peut examiner de près la posture de sécurité et les outils du MSP, parce qu’ils influencent directement la capacité du client à satisfaire aux exigences.
Cela peut déboucher sur le pire scénario : le client échoue et considère que c’est à cause de vous. Cela peut venir de vos outils de support à distance, de vos modules de chiffrement, de vos processus ou de la manière dont les accès sont gérés, s’ils ne respectent pas les exigences de la CMMC.
Soyez honnête sur ce que vous faites, sur ce que vous ne faites pas et sur ce qui doit évoluer.
Le plus difficile n’est pas technique, c’est tout le reste
La plupart des MSP savent réaliser le travail technique. Là où ils peinent souvent, c’est sur le volet « soft » de la conformité : politiques, procédures, aspects opérationnels et gestion du changement, et même exigences de sécurité physique qui n’ont rien à voir avec l’informatique.
Vous pouvez déployer d’excellents outils de sécurité des terminaux et échouer malgré tout si le site ne parvient pas à contrôler les accès, à suivre les visiteurs, à segmenter les flux de travail sensibles ou à prouver le processus. C’est pourquoi j’encourage vivement les MSP à nouer des partenariats : vCISO, consultants en conformité et spécialistes qui vivent au quotidien dans l’univers des politiques et des procédures.
Et une dernière leçon durement acquise. Si vous faites appel à des tiers, ne le cachez pas. La marque blanche peut se retourner contre vous si le client a le sentiment que vous faites passer toute l’expertise pour interne. La transparence crée la confiance, et c’est la confiance qui vous fera passer l’audit.
Risque élevé. Récompense élevée. Une relation pour la vie.
Si vous menez bien vos missions CMMC, vous passez du statut de fournisseur informatique à celui de rouage du moteur de revenus de votre client. Vous l’aidez à rester éligible à des contrats dont dépend la survie de son activité.
Ce type de partenariat fidélise. Il est difficile à remplacer, car changer de fournisseur introduit du risque, et dans cet univers, le risque peut signifier la perte de marchés.
Alors avancez en toute lucidité. Ne voyez pas trop grand. Soyez honnête sur ce que vous maîtrisez et sur les points où vous avez besoin de partenaires. Car si vous faites les choses correctement, vous construisez une relation quasiment incassable.
Téléchargez le guide NinjaOne sur la CMMC pour des conseils pratiques sur la préparation à la certification et l’accompagnement continu en matière de conformité.
