Les clauses DFARS CMMC sont désormais un problème d’exécution opérationnelle, pas seulement un problème informatique

Points clés

• Les clauses DFARS CMMC sont rédigées comme des exigences contractuelles, mais les preuves se trouvent généralement dans les systèmes d’exécution : identité, accès, maîtrise des modifications, qualification par la formation et conservation des enregistrements.
• Le mode de défaillance courant consiste à considérer la couche MES comme relevant uniquement des opérations, tout en y faisant transiter des ordres de fabrication, plans ou résultats d’inspection adjacents aux CUI sans plan de preuves.
• NIST SP 800-171 et la méthode d’évaluation 800-171A imposent une discipline de base : définir les périmètres, définir les types de données et prouver le fonctionnement des contrôles au moyen d’artefacts reproductibles.
• Les auditeurs ne veulent pas un récit. Ils veulent une cartographie : quel système est propriétaire de quel contrôle, où l’enregistrement est produit et comment il est protégé contre toute altération.
• Les responsables opérationnels peuvent réduire la charge des audits en standardisant la constitution des preuves autour des dossiers suiveurs de fabrication, des révisions, des formations et des flux de travail de non-conformité.

Pourquoi cela est passé de la conformité IT à l’infrastructure d’exécution

Les exigences de cybersécurité deviennent opérationnelles dès lors que vos contrats et votre système qualité dépendent de preuves numériques. Les clauses DFARS CMMC ne sont pas rédigées pour l’atelier, mais elles atteignent l’atelier parce que les systèmes d’exécution de la fabrication sont l’endroit où le travail est autorisé, maîtrisé et enregistré.

En pratique, les plannings de production, les dossiers suiveurs de fabrication, les instructions de travail numériques, les résultats d’inspection, le statut d’étalonnage et les enregistrements de non-conformité sont précisément les artefacts qu’un auditeur échantillonnera. Lorsque ces artefacts touchent à des Controlled Unclassified Information, ou sont utilisés pour exécuter un contrat qui exige des niveaux CMMC spécifiques, vous avez désormais une obligation de conformité indissociable de la manière dont le travail est exécuté.

Si votre plan de conformité n’existe que dans un schéma d’enclave IT et non dans la réalité de vos gammes et dossiers suiveurs de fabrication, vous finirez par improviser les preuves pendant une évaluation. C’est à ce moment-là que les audits deviennent perturbateurs.

Les mécanismes des clauses DFARS à comprendre

Le DoD a mis en œuvre les exigences CMMC au moyen de dispositions et de clauses DFARS que les contracting officers peuvent inclure dans les appels d’offres et les contrats. Le point opérationnel essentiel est que ces clauses sont structurées comme des obligations opposables, liées à un niveau CMMC requis, et non comme de simples recommandations facultatives.

La clause DFARS relative à la conformité du contractant aux exigences de niveau CMMC indique explicitement qu’un niveau CMMC spécifié doit être utilisé et que la conformité aux exigences de ce niveau doit être maintenue. Cette clause est DFARS 252.204-7021. (Acquisition.gov)

La disposition d’appel d’offres qui indique le niveau requis pour une acquisition est DFARS 252.204-7025, qui fournit au contracting officer un champ à compléter pour Level 1 self, Level 2 self, Level 2 C3PAO ou Level 3 DIBCAC. Cela compte opérationnellement, car l’attente d’une évaluation de niveau 2 par un tiers impose une constitution de dossier de preuves beaucoup plus formelle qu’une auto-attestation interne informelle. (Acquisition.gov)

Enfin, la sous-partie DFARS 204.75 décrit l’intention de la politique et relie le CMMC au 32 CFR Part 170. C’est l’ossature d’acquisition qui relie le libellé contractuel aux attentes d’évaluation. (Acquisition.gov)

Le problème des preuves : les systèmes d’exécution produisent les enregistrements

La plupart des organisations ne sont pas en difficulté parce qu’elles n’ont pas de politique. Elles échouent parce qu’elles ne peuvent pas prouver de façon constante le fonctionnement des contrôles aux points où le travail est réalisé. Cela concerne généralement la couche MES, les systèmes qualité adjacents, la maîtrise documentaire et les systèmes de formation.

Voici le schéma de preuves que les auditeurs ont tendance à rechercher dans les environnements de fabrication :

• Qui peut accéder aux instructions de travail et aux plans maîtrisés, et comment l’accès est retiré lorsque les rôles changent.
• Comment les révisions se propagent, et comment vous empêchez l’utilisation d’instructions obsolètes dans l’atelier.
• Comment les dossiers suiveurs de fabrication et les ordres de fabrication prouvent ce qui a été fait, par qui, et selon quelle révision approuvée.
• Comment les exceptions sont maîtrisées : non-conformité, MRB, dérogation et autorisation de reprise.
• Comment la formation et la qualification sont appliquées au moment de l’exécution, et pas seulement dans une feuille de calcul.

Chacun de ces points est à la fois une question de contrôle de cybersécurité et une question de preuve qualité. Si la réponse est « nous pouvons l’extraire si vous nous donnez une semaine », vous êtes déjà en difficulté.

Définir d’abord le périmètre : MES, ERP et enclave CUI

Un périmètre système mal défini se traduit par un audit imprécis. Il vous faut une déclaration claire des types de données existants, de leurs flux et des endroits où les contrôles sont appliqués.

Au minimum, la plupart des fabricants aérospatiaux ont besoin de trois déclarations de périmètre que les auditeurs peuvent comprendre rapidement :

• Périmètre ERP : planification, achats, référentiels articles et structure contractuelle.
• Périmètre MES : autorisation et enregistrement de l’exécution, y compris les dossiers suiveurs de fabrication, les gammes, les inspections et les non-conformités.
• Périmètre de l’enclave CUI : où les CUI sont stockées, traitées ou transmises, et quels systèmes entrent dans le périmètre des contrôles NIST SP 800-171.

Une fois ces éléments établis, vous pouvez formuler de manière honnête si le MES se trouve dans l’enclave, en dehors de l’enclave, ou partiellement dans le périmètre en raison des intégrations et des échanges de données. Si vous ne pouvez pas l’expliquer simplement, vous perdrez du temps lors d’une évaluation.

Schéma généré pour une communication des périmètres prête pour l’audit

Ce schéma n’est pas une source. Il s’agit d’un support pédagogique neutre destiné à réduire les ambiguïtés lors des revues internes de préparation et des walkthroughs avec les auditeurs.

Comment NIST 800-171 et 800-171A changent la nature des preuves attendues

NIST SP 800-171 est l’ensemble d’exigences que le DoD utilise pour définir la protection des CUI dans les systèmes non fédéraux. NIST SP 800-171A est le guide d’évaluation qui indique à un évaluateur comment déterminer si ces exigences sont satisfaites. (NIST Computer Security Resource Center)

L’impact opérationnel est simple : vous avez besoin d’éléments de preuve reproductibles. Pas d’un export ponctuel de captures d’écran, ni d’un classeur unique qu’une seule personne sait constituer. Les évaluations recherchent un fonctionnement cohérent des contrôles dans le temps, entre les utilisateurs et à travers les flux de travail.

En termes de fabrication, cela signifie que vous devriez pouvoir démontrer au minimum les comportements connexes aux contrôles suivants, sans préparation particulière :

• Contrôle d’accès : un utilisateur ne peut pas ouvrir des instructions de travail contrôlées sans appartenir au rôle approprié.
• Journalisation d’audit : l’accès aux documents contrôlés et leurs modifications sont journalisés et consultables.
• Gestion de configuration : l’historique des révisions est conservé, et les versions obsolètes ne sont pas disponibles au point d’utilisation.
• Réponse aux incidents : un accès anormal est détectable et déclenche un chemin de réponse défini.

Aucun de ces éléments ne relève uniquement de l’IT. Ils concernent l’intégrité de l’exécution. L’écart le plus courant est que les enregistrements MES et qualité sont traités comme des systèmes opérationnels avec une identité faible, une journalisation faible et des pratiques d’administration informelles. Ce n’est pas tenable lorsque les données sont dans le périmètre concerné.

Mode de défaillance courant : le dossier suiveur CUI parallèle et l’exportation non maîtrisée

La façon la plus rapide d’échouer à une évaluation dans un environnement de fabrication consiste à créer des enregistrements liés aux CUI en dehors de l’enclave, puis à les faire circuler par habitude.

Voici un schéma courant :

• Un plan, un extrait de spécification ou une exigence contractuelle est collé dans une note de dossier suiveur, une instruction de travail PDF ou un modèle d’inspection.
• Cet artefact est exporté, imprimé ou envoyé par e-mail pour répondre à la pression du planning.
• Le fichier se retrouve dans des lecteurs partagés, des boîtes de réception personnelles ou des partages de fichiers non maîtrisés.
• Personne ne peut prouver qui y a accédé, qui l’a modifié, ni si l’atelier a utilisé la dernière révision.

Si vous ne pouvez pas retracer qui l’a vu et quelle révision a été utilisée, le problème n’est pas administratif. Le problème relève de la conception du système.

À l’inverse, une bonne pratique est simple et constante :

• Les dossiers suiveurs référencent les documents maîtrisés par identifiant et révision, et non par contenu copié-collé.
• Les documents maîtrisés sont fournis via des systèmes authentifiés avec journalisation des accès.
• Les exportations sont restreintes, filigranées ou acheminées par des processus de diffusion contrôlée.
• L’accès au point d’utilisation est fondé sur les rôles et limité dans le temps, avec une désactivation claire des accès.

Il ne s’agit pas de viser la perfection. Il s’agit de réduire les voies non maîtrisées qui créent des preuves invérifiables.

Un exemple concret : structurer les preuves autour du cycle de vie d’un dossier suiveur

Considérez un assemblage géré par lot avec un dossier suiveur numérique et deux opérations d’inspection. Il n’est pas nécessaire d’inventer une entreprise fictive pour rendre cela concret. La plupart des ateliers aéronautiques exécutent une variante de ce flux.

Un dossier de preuves prêt pour audit concernant ce dossier suiveur devrait inclure :

• Enregistrement de création du dossier suiveur : qui l’a libéré, selon quelle révision de gamme, avec un lien vers le jeu d’instructions de travail approuvé.
• Preuve de propagation des révisions : une démonstration que, si l’instruction de travail est révisée, soit le dossier suiveur est libéré à nouveau, soit le système empêche la poursuite de l’exécution sous la révision obsolète.
• Application des qualifications : preuve que l’opérateur réalisant l’opération 20 était qualifié sur la procédure requise au moment de l’exécution.
• Intégrité des résultats d’inspection : enregistrements d’inspection liés à la généalogie des lots et des numéros de série, avec modifications contrôlées et piste d’audit.
• Cheminement de non-conformité : si une NCR est ouverte, montrer le lien entre l’étape du dossier suiveur, l’enregistrement de NCR, la disposition et l’autorisation de reprise.

Remarquez ce qui manque. Il n’y a pas de récit de politique qualité. Il y a un ensemble d’enregistrements liés, produits par le système, qui démontrent la maîtrise de l’exécution et l’intégrité des enregistrements.

Comment rendre cela tenable sous contraintes réelles

La plupart des équipes ne manquent pas d’intention. Elles manquent de temps, et elles opèrent sous pression sur les marges. L’objectif est de réduire la préparation d’audit sur mesure en standardisant la production des preuves.

Actions pratiques qui tendent à produire rapidement des résultats :

• Définir un système d’enregistrement unique pour l’identité, et obliger le MES et les outils qualité à l’utiliser.
• Standardiser les modèles de dossiers suiveurs afin que les références contrôlées soient des identifiants, et non du contenu intégré.
• Imposer un comportement de révision contrôlé au point d’utilisation. Les instructions obsolètes ne devraient pas être disponibles tout en étant déconseillées. Elles devraient être indisponibles.
• Rendre les journaux d’audit consultables par les responsables de processus, et pas seulement par l’IT. Si les journaux existent mais que personne ne les examine, ils constituent une preuve faible.
• Construire un dossier de preuves répétable pour une famille de produits représentative, puis déployer ce modèle à plus grande échelle.

C’est une réflexion d’infrastructure. Vous concevez le système de sorte que les opérations normales génèrent, comme sous-produit, des artefacts aptes à démontrer la conformité.

Appel à l’action mesuré

Si vous cherchez à aligner les preuves CMMC et NIST 800-171 avec les flux de travail MES et qualité, échangez avec un ingénieur qui comprend à la fois les attentes d’audit et la réalité de l’exécution. Contactez Connect 981 pour examiner les limites de votre système et votre approche de conditionnement des preuves avant que les évaluations ne se transforment en interruptions de production.

Sources

• DFARS 252.204-7021 Contractor Compliance With the CMMC Level Requirements
• DFARS 252.204-7025 Notice of CMMC Level Requirements
• DFARS Subpart 204.75 Cybersecurity Maturity Model Certification
• NIST SP 800-171 Rev. 3 Protecting Controlled Unclassified Information
• NIST SP 800-171A Rev. 3 Assessment Methodology