La décision du ministère de la Guerre de réexaminer les exigences d'évaluation de la phase 2 du CMMC reflète une tension réelle au cœur des contrats de défense : les cadres de cybersécurité doivent renforcer la base industrielle de défense, et non exclure les petits fournisseurs du marché. Cette tension est légitime. Les capacités d'évaluation des tiers, les obstacles financiers et la complexité de la mise en œuvre ont freiné la participation. Un réexamen était donc nécessaire.

Cette révision modifie le calendrier de conformité, mais pas le contexte des menaces. Les adversaires continuent de cibler les réseaux des entreprises de défense, les communications des dirigeants et les flux de travail mobiles. Les renseignements contrôlés non classifiés (CUI) et les renseignements confidentiels fédéraux (FCI) demeurent vulnérables dès lors que les entreprises utilisent des outils non gérés, des canaux non sécurisés ou des plateformes de messagerie commerciales qui n'ont jamais été conçues pour des applications liées à la sécurité nationale.

Pour les entreprises de défense, la question immédiate n'est pas de savoir si la certification CMMC est valide à une date précise. Il s'agit plutôt de déterminer si l'organisation pourrait démontrer une sécurité robuste et documentée lors d'un contrôle actuel. Cette sécurité dépend de ce qui se passe en temps réel sur les appareils et les canaux utilisés par les employés.

Ce que la suspension du CMMC signifie réellement pour les entreprises de défense

L'examen par le ministère de la Guerre de la phase 2 du CMMC n'élimine pas les obligations existantes. Les contractants continuent d'opérer conformément à la clause DFARS 252.204-7012, qui exige des mesures de sécurité adéquates pour les informations de défense couvertes. La norme NIST SP 800-171 demeure la référence. Seul le calendrier de la certification par un tiers change, et non l'obligation de protéger les renseignements sensibles.

Les organisations qui interprètent cette suspension comme une autorisation de reporter leurs investissements en sécurité risquent de se retrouver en difficulté sur les plans opérationnel et contractuel lors de la reprise du dispositif. Elles demeurent également vulnérables aux menaces que le CMMC visait à contrer.

L'industrie de la défense est une cible de grande valeur. Les États et les organisations cybercriminelles sophistiquées sondent régulièrement les réseaux des sous-traitants afin d'accéder à des données sensibles relatives aux programmes, aux chaînes d'approvisionnement et aux communications liées aux missions.

Là où les renseignements personnels sont les plus vulnérables

Les cadres de sécurité ont tendance à se concentrer sur le périmètre du réseau et l'infrastructure informatique. Cette approche est nécessaire, mais insuffisante. Les renseignements sensibles relatifs à la défense circulent par le biais des échanges de courriels, des applications de messagerie mobile, des appels vocaux, des plateformes de partage de fichiers et des outils de collaboration distribuée.

C'est là que le risque est souvent le plus élevé. Les plateformes de messagerie commerciale comme WhatsApp, Telegram et les SMS standards n'ont pas de contrôle centralisé des politiques, de vérification d'identité continue ni de protection des métadonnées pour les communications critiques.

Les métadonnées représentent un risque souvent sous-estimé. Même lorsque le contenu des messages est chiffré, les horodatages, les journaux d'appels, l'identité des participants et les comportements peuvent révéler des renseignements opérationnels sensibles. Pour les entreprises de défense qui collaborent avec les organismes gouvernementaux, cette vulnérabilité est préoccupante.

Des communications sécurisées dès leur conception, certifiées conformes aux normes gouvernementales et déployées avec un contrôle organisationnel total, permettent de remédier directement à ces vulnérabilités.

À quoi ressemble une posture de sécurité défendable pendant la pause

Une sécurité robuste ne nécessite pas nécessairement la certification CMMC. Elle requiert en revanche des pratiques de sécurité documentées, des mesures de protection concrètes tout au long des processus opérationnels et des outils de communication qui réduisent les risques au lieu de les engendrer.

Pour les entreprises de défense, l'environnement actuel doit être évalué selon plusieurs dimensions.

Vérification de l'identité : Chaque participant à une communication sensible doit être explicitement autorisé et faire l'objet d'une vérification continue. Les applications grand public authentifient les utilisateurs par leur numéro de téléphone, et non par leur identité professionnelle.

Communications chiffrées sur tous les canaux : le chiffrement de bout en bout des communications vocales, des messages et du partage de fichiers est une exigence minimale pour tout outil traitant des informations contrôlées non classifiées (CUI) ou des informations contrôlées étrangères (FCI). Un chiffrement partiel de la chaîne de communication présente des failles exploitables par les adversaires.

Zéro exposition des métadonnées : une plateforme de communication sécurisée doit protéger les métadonnées, empêchant ainsi les adversaires de cartographier le comportement organisationnel, les relations entre les personnes et les modes opératoires.

Contrôle centralisé des politiques et visibilité de la conformité : contrairement aux solutions grand public, une plateforme de communication sécurisée de niveau gouvernemental offre aux équipes de sécurité une supervision centralisée, une gestion configurable de la conservation des données et des enregistrements auditables. Ces fonctionnalités facilitent les auto-évaluations justifiées et allègent la charge de travail liée à la documentation de conformité.

Flexibilité du déploiement : Les environnements des fournisseurs varient. Certains nécessitent des solutions hébergées dans le nuage, d’autres un déploiement sur place ou des environnements isolés (sans infrastructure externe). La prise en charge de plusieurs modèles de déploiement permet aux fournisseurs d’aligner la sécurité des communications sur leurs exigences opérationnelles et contractuelles.

Pourquoi les communications sécurisées devraient faire partie du référentiel CMMC

L'examen du CMMC offre aux décideurs et aux entreprises l'occasion de rendre les exigences en matière de cybersécurité plus applicables. Un cadre qui exclut les petits fournisseurs du secteur de la défense en raison de ses coûts est contre-productif. Toutefois, l'applicabilité ne saurait se traduire par une sécurité moindre. Elle doit permettre de mettre en place des contrôles plus faciles à déployer, plus faciles à vérifier et plus difficiles à contourner pour les adversaires.

Les communications sécurisées répondent à ce critère. Une solution de communication certifiée et cryptée offre aux entrepreneurs un environnement contrôlé pour les conversations sensibles, les échanges de fichiers et les activités de coordination sur des canaux conformes aux normes de sécurité gouvernementales.

C'est le type de contrôle pratique et évolutif dont l'industrie de la défense a besoin. BlackBerry® Secure Communications prend en charge une approche fondée sur les risques pour protéger les communications critiques sans alourdir inutilement les opérations quotidiennes. La sécurité des cas d'utilisation liés à la sécurité nationale doit être suffisamment robuste pour inspirer confiance et suffisamment simple pour être adoptée par des effectifs importants, diversifiés et mobiles.

Certifiée et validée selon les normes FIPS, Critères communs, FedRAMP Classe D (élevée) et OTAN (accès restreint), la solution BlackBerry Secure Communications offre le niveau de sécurité requis par les environnements sensibles de défense. Les entreprises travaillant à la croisée des chemins entre informations classifiées et non classifiées, ou coordonnant leurs activités avec de multiples agences et sous-traitants, ont besoin d'une solution conçue spécifiquement pour cette complexité.

Conséquence plus large : la sécurité de la chaîne d’approvisionnement repose sur son maillon le plus faible.

La sécurité des chaînes d'approvisionnement du secteur de la défense dépend de celle de leur maillon le plus vulnérable. Les grands donneurs d'ordre ont généralement des programmes de sécurité éprouvés. Ce n'est souvent pas le cas des sous-traitants et des fournisseurs non traditionnels, qui échangent pourtant fréquemment des informations sensibles avec les donneurs d'ordre et les agences gouvernementales.

Cette vulnérabilité est précisément ce que le CMMC vise à corriger, et elle ne disparaît pas lors d'une révision. Les adversaires savent que les petites entreprises sont souvent moins bien protégées. Ils savent aussi que les canaux de communication entre les entreprises et leurs clients gouvernementaux sont des cibles de choix.

La protection de ces canaux exige bien plus qu'une simple sécurité périmétrique. Elle requiert des communications sécurisées dès leur conception, fonctionnant au-delà des frontières organisationnelles, favorisant l'interopérabilité entre les agences et les fournisseurs, et garantissant des normes de sécurité uniformes, quel que soit l'initiateur de la communication.

Une solution qui chiffre les communications de bout en bout, vérifie l'identité de chaque participant, protège les métadonnées et prend en charge des configurations de déploiement allant du nuage aux environnements totalement isolés répond à cette exigence au niveau de la chaîne d'approvisionnement, et non seulement au niveau du sous-traitant individuel.

Transformer la pause en progrès

Lors de l'examen CMMC, chaque entrepreneur en défense devrait être en mesure de répondre à une question : à quoi ressemble notre posture de sécurité aujourd'hui, quelles que soient les exigences de certification officiellement actives ?

Les organisations qui profitent de cette période pour renforcer leur sécurité opérationnelle, documenter leurs pratiques et déployer des mesures de protection concrètes seront mieux préparées lors de la reprise des exigences de la phase 2. Celles qui considèrent cette pause comme une excuse pour patienter devront rattraper leur retard en matière de sécurité et de conformité simultanément, sous une pression temporelle accrue, dans un contexte de menaces en constante évolution.

Le cadre CMMC existe avant tout parce que la menace est bien réelle. Cette révision indique qu'il est nécessaire de rendre la conformité plus accessible. Les entreprises de défense doivent prendre ce signal au sérieux : renforcer la sécurité dès maintenant et s'impliquer dans le processus de conformité à mesure qu'il évolue.

La sécurisation des communications est un point de départ pratique. Elle permet de remédier à une vulnérabilité opérationnelle réelle, s'applique à divers environnements de sous-traitance et est conforme aux pratiques de sécurité documentées qu'exige une autoévaluation valable.