3 Pendant des années, les fournisseurs de la défense ont considéré la Cybersecurity Maturity Model Certification (CMMC) comme une échéance lointaine. Cette période est révolue. Les règles définitives sont en vigueur, et la certification devient une condition pour remporter et conserver des contrats avec le département de la Défense américain (DoD). Si votre entreprise traite des informations non classifiées contrôlées (Controlled Unclassified Information, CUI), le stockage qui les héberge entre pleinement dans le périmètre, et une lacune à ce niveau peut mettre un contrat en péril. Ce guide s’adresse à la personne responsable de ce stockage. Il explique ce que certifie réellement la CMMC, comment les niveaux modifient ce que votre stockage doit faire, les contrôles spécifiques applicables aux données au repos, comment délimiter une enclave CUI pour que l’évaluation reste abordable, et que faire compte tenu du déploiement progressif qui s’étend jusqu’en 2028. Il est pédagogique et indépendant des fournisseurs, conçu pour vous aider à décider plutôt que pour vous vendre quoi que ce soit. Ce qu’est la CMMC, et pourquoi elle compte désormais La CMMC est le programme du DoD qui vérifie que les sous-traitants de la base industrielle de défense (Defense Industrial Base, DIB) protègent réellement les informations sensibles qu’ils traitent. Elle repose sur deux fondations connues : les exigences de protection de base de la FAR 52.204-21 pour les informations contractuelles fédérales (Federal Contract Information, FCI), et les 110 exigences de sécurité de la publication spéciale NIST SP 800-171 pour les CUI. Le niveau le plus sensible s’appuie en outre sur la NIST SP 800-172. Ce qui a changé, c’est l’application. La règle du programme CMMC (32 CFR Part 170) est entrée en vigueur en décembre 2024, et la règle d’acquisition qui intègre la clause CMMC aux contrats (la règle DFARS, clause 252.204-7021) est entrée en vigueur le 10 novembre 2025. Au travers d’un déploiement en quatre phases, un niveau CMMC devient une condition d’attribution pour les appels d’offres concernés. Autrement dit, il s’agit désormais d’une clause contractuelle, et non plus d’une recommandation. (Les documents fédéraux récents mentionnent le Department of War aux côtés du Department of Defense ; ce guide utilise le terme habituel DoD.) FCI ou CUI Cette distinction conditionne tout. Les FCI sont des informations fournies par le gouvernement ou produites pour lui dans le cadre d’un contrat et qui ne sont pas destinées à être rendues publiques. Les CUI forment une catégorie plus large et plus sensible, qui inclut une grande partie des données techniques, plans et spécifications que les fournisseurs de la défense manipulent au quotidien. Ne traiter que des FCI vous oriente vers le niveau le plus bas. Traiter des CUI, ce que font la plupart des fournisseurs, place la barre beaucoup plus haut. Les trois niveaux CMMC et ce qu’ils exigent du stockage La CMMC définit trois niveaux, proportionnés à la sensibilité des données et aux menaces auxquelles elles sont exposées. Le niveau 1 (Foundational) concerne les sous-traitants qui traitent des FCI mais pas de CUI. Il exige les 15 pratiques de protection de base de la FAR 52.204-21 et autorise une auto-évaluation annuelle. Pour le stockage, il s’agit d’une hygiène fondamentale : contrôler qui a accès, protéger les systèmes et gérer les identifiants. Le niveau 2 (Advanced) est celui de la plupart des fournisseurs de la défense. Il correspond aux 110 exigences de la NIST SP 800-171 et s’applique aux CUI. Selon le contrat, il est satisfait par auto-évaluation ou par une évaluation tierce réalisée par un organisme d’évaluation tiers certifié (Certified Third-Party Assessment Organization, C3PAO). C’est le niveau dont les exigences de stockage méritent le plus d’attention, et sur lequel porte la suite de ce guide. Le niveau 3 (Expert) concerne les CUI les plus critiques, exposées à des menaces persistantes avancées. Il ajoute aux exigences du niveau 2 des exigences supplémentaires issues de la NIST SP 800-172 et implique une évaluation menée par le gouvernement. Moins d’entreprises en ont besoin, mais celles qui sont concernées font face aux attentes les plus strictes en matière de protection et de restauration des données. Le principe est simple : plus le niveau est élevé, plus les exigences imposées au stockage qui héberge les données sont rigoureuses. Le stockage doit-il être « certifié CMMC » ? C’est le point sur lequel la plupart des fournisseurs se trompent ; il vaut donc la peine de le dire clairement. La CMMC certifie votre périmètre d’évaluation, c’est-à-dire votre environnement et la frontière que vous définissez autour de lui. Elle ne certifie pas un produit de stockage isolément. Il n’existe pas de baie de stockage « certifiée CMMC » que l’on pourrait acheter pour cocher la case. Ce qui compte, c’est que le stockage qui stocke, traite ou transmet des CUI mette en œuvre les contrôles requis et puisse en apporter la preuve. Tout stockage qui touche des CUI entre dans le périmètre. Ce simple fait transforme l’architecture de stockage en décision de conformité, car l’endroit où vous laissez résider les CUI détermine la part de votre parc qu’un évaluateur devra examiner. Ce qui nous amène à l’idée la plus utile de ce guide : l’enclave CUI. Plutôt que de laisser les CUI se disperser sur chaque serveur, partage et ordinateur portable, les entreprises les plus performantes de la DIB les concentrent dans un périmètre défini et à accès contrôlé. Bien menée, cette approche réduit le périmètre de l’évaluation, clarifie les preuves et diminue le risque d’une non-conformité coûteuse. Les contrôles CMMC et NIST 800-171 pertinents pour le stockage Inutile de mémoriser les 110 exigences pour prendre de bonnes décisions de stockage. Quelques familles de contrôles font l’essentiel du travail en ce qui concerne les données au repos. Un chiffrement validé FIPS des CUI, au repos et en transit La NIST 800-171 et la CMMC exigent que la cryptographie protégeant la confidentialité des CUI soit validée FIPS (contrôle 03.13.11, auparavant noté 3.13.11). La nuance qui piège souvent : l’exigence porte sur un module cryptographique validé dans le cadre du Cryptographic Module Validation Program (CMVP) du NIST, avec un certificat actif. Utiliser un algorithme robuste comme AES-256 n’équivaut pas à utiliser un module validé. Demandez explicitement si le stockage utilise un module validé FIPS 140-3, et notez que le gouvernement achève la transition de FIPS 140-2 vers 140-3. Contrôle d’accès, authentification multifacteur et moindre privilège Le stockage des CUI doit limiter l’accès aux utilisateurs et processus autorisés, imposer l’authentification multifacteur pour les accès privilégiés et à distance, et appliquer le moindre privilège jusqu’au niveau des partages, des buckets et des objets. L’objectif est que seules les personnes et les systèmes qui doivent atteindre les CUI le puissent, et que chacun d’eux soit identifié. Protection des supports La 800-171 consacre une famille entière aux supports, et le stockage en fait directement partie. Cela implique de marquer les supports contenant des CUI, de les contrôler et de les assainir, de les protéger pendant leur transport et, surtout, de protéger les sauvegardes sur site et hors site par un chiffrement validé FIPS. Les sauvegardes de CUI restent des CUI. Audit et traçabilité Vous devez pouvoir montrer qui a accédé aux CUI, quand et depuis où, et vos journaux doivent résister à toute altération. Un stockage qui produit des enregistrements d’audit complets et exportables et les transmet à vos outils de supervision rend ce contrôle beaucoup plus facile à satisfaire et à prouver. Intégrité et restauration Protéger les CUI ne consiste pas seulement à les garder secrètes ; il s’agit aussi de les garder intactes et restaurables. Les recommandations traitent de plus en plus la capacité de restauration comme un enjeu de sécurité : des sauvegardes immuables ou isolées (air gap) capables de survivre à une attaque par ransomware font donc réellement partie d’une posture défendable, et ne sont pas un simple plus. Délimiter une enclave CUI pour rendre la CMMC abordable Comme tout ce qui touche aux CUI entre dans le périmètre, l’architecture est votre principal levier sur le coût et la difficulté de la certification. Dispersez les CUI partout et c’est l’ensemble de votre environnement qui devient le périmètre d’évaluation. Concentrez-les et vous réduisez le problème. Une enclave de stockage consolidée et à accès contrôlé pour les CUI produit plusieurs effets à la fois. Elle garde le périmètre évalué restreint, de sorte que l’évaluateur examine moins d’éléments. Elle centralise les contrôles (chiffrement, accès, journalisation), ce qui rend les preuves cohérentes. Et elle réduit le risque que des CUI se retrouvent dans un système qui n’a jamais été durci pour les accueillir. Pour la plupart des fournisseurs, décider où les CUI ont le droit de résider est la mesure précoce la plus efficace d’un programme CMMC. Sur site, cloud gouvernemental ou cloud privé : choisir où résident les CUI Il n’existe pas de lieu unique idéal pour les CUI. De nombreuses entreprises de la DIB choisissent délibérément de les conserver sur site ou dans un environnement privé contrôlé, à la fois pour un contrôle maximal et parce qu’elles refusent de placer des données techniques sensibles dans un cloud commercial généraliste. D’autres adoptent une offre de cloud communautaire gouvernemental conçue pour les CUI. Chacune de ces voies peut satisfaire la CMMC dès lors que les contrôles et les preuves sont en place. Deux contraintes doivent guider la décision. D’abord, la résidence des données et l’accès : les CUI doivent généralement rester sur le sol américain, avec un accès limité au personnel autorisé. Ensuite, point souvent négligé, une grande partie des données techniques de défense est également soumise à l’ITAR, qui restreint l’accès aux ressortissants américains (US persons). Ce recoupement pousse fréquemment les entreprises vers des architectures leur permettant de contrôler précisément qui et quoi peut atteindre les données. Le modèle de déploiement relève autant du contrôle et de la souveraineté que du coût. Que faire maintenant, selon la phase de déploiement Le déploiement est progressif, et caler votre travail sur son calendrier évite à la fois la panique et l’excès de confiance. Pendant la première phase, qui court de novembre 2025 à novembre 2026, les exigences d’auto-évaluation commencent à apparaître dans les appels d’offres concernés, et les responsables des contrats peuvent exiger une évaluation tierce. L’objectif pratique est aujourd’hui une véritable posture de niveau 2 et un score défendable, et non un exercice sur papier. À partir de novembre 2026, la deuxième phase rend obligatoire la certification de niveau 2 par un C3PAO pour les contrats concernés impliquant des CUI. La capacité d’évaluation est limitée et les délais sont réels : les entreprises qui attendront d’avoir besoin du certificat pour commencer seront en retard. Les phases suivantes introduisent le niveau 3 et visent une mise en œuvre complète d’ici 2028. Le message pour un responsable du stockage est clair : les contrôles que vous mettez en place aujourd’hui sont ceux qu’un évaluateur examinera ; construisez donc pour l’évaluation que vous devrez passer, et non pour l’auto-déclaration qui suffit encore aujourd’hui. Check-list pour le stockage dans un environnement CMMC Utilisez-la comme premier filtre : Chiffrement validé FIPS 140-3 (CMVP) des CUI au repos et en transit (demandez le certificat) Authentification multifacteur et contrôle d’accès basé sur les rôles sur chaque stockage de CUI Protection des supports : marquage, manipulation contrôlée, assainissement et sauvegardes chiffrées sur site et hors site Sauvegardes immuables ou isolées (air gap) capables de survivre à un ransomware et de permettre la restauration Journaux d’audit complets et infalsifiables, exportables vers vos outils de supervision Une enclave CUI définie qui garde le périmètre d’évaluation restreint Contrôles de résidence des données et accès réservé aux US persons lorsque l’ITAR s’applique Synthèse Un stockage conforme à la CMMC repose sur quelques choix rigoureux. Concentrez les CUI dans une enclave définie pour garder un périmètre restreint. Chiffrez-les avec un module validé, et pas seulement avec un algorithme robuste. Protégez vos sauvegardes et assurez-vous de pouvoir les restaurer. Gardez des accès stricts et des journaux complets. Choisissez ensuite le modèle de déploiement, sur site, cloud gouvernemental ou cloud privé, qui correspond à vos besoins de contrôle, de coût et de souveraineté. Et retenez l’idée qui permet de faire le tri dans le discours des fournisseurs : le stockage n’est pas « certifié CMMC » en soi. C’est une infrastructure incluse dans le périmètre que vous faites certifier. Concevez bien ce périmètre, et les décisions de stockage deviennent beaucoup plus simples. Questions fréquentes Le stockage est-il certifié CMMC ? Non. La CMMC certifie l’environnement évalué d’un sous-traitant et son périmètre, pas un produit de stockage individuel. Le stockage entre dans le périmètre lorsqu’il stocke, traite ou transmet des CUI, et il doit mettre en œuvre les contrôles requis. Quel niveau CMMC les sous-traitants de la défense doivent-ils atteindre ? Cela dépend des données. Les entreprises qui ne traitent que des FCI ont généralement besoin du niveau 1 ; celles qui traitent des CUI, soit la plupart des fournisseurs, ont besoin du niveau 2 ; les programmes impliquant les CUI les plus critiques peuvent exiger le niveau 3. La CMMC exige-t-elle un chiffrement validé FIPS pour les CUI au repos ? Oui. La NIST 800-171 et la CMMC exigent une cryptographie validée FIPS pour protéger les CUI, c’est-à-dire un module validé par le CMVP du NIST avec un certificat actif. Vérifiez spécifiquement la validation FIPS 140-3. Un stockage sur site peut-il satisfaire au niveau 2 de la CMMC ? Oui. La conformité consiste à respecter les contrôles et à en apporter la preuve, et non à utiliser un cloud particulier. De nombreuses entreprises de la DIB conservent leurs CUI sur site ou dans un environnement privé contrôlé précisément pour cette raison. Qu’est-ce qu’une enclave CUI et pourquoi est-elle importante pour le stockage ? Une enclave CUI est un périmètre défini et à accès contrôlé dans lequel les CUI sont autorisées à résider. Y concentrer les CUI permet de garder un périmètre d’évaluation CMMC restreint, des contrôles cohérents, ainsi que des coûts et des risques réduits. Pour aller plus loin (contenus pédagogiques) : une introduction au chiffrement validé FIPS 140 (en anglais), notre guide sur le stockage objet conforme FedRAMP (en anglais) pour les services cloud, et la façon dont le stockage immuable et isolé (air gap) (en anglais) facilite la restauration. Pour les détails officiels du programme, consultez les ressources CMMC du DoD CIO (en anglais).
