CMMC et NIST SP 800-171 : auditer l'identité Microsoft pour les sous-traitants de la défense
Si votre entreprise manipule des informations Controlled Unclassified Information pour le Département de la Défense, le CMMC n'est plus une préoccupation lointaine. Une grande partie de ses exigences sont des exigences d'identité — qui peut accéder à quoi, prouvé comment, et journalisé comment. Pour la plupart des sous-traitants, cela signifie Entra ID et Active Directory.
Le référentiel en version courte
Le Département de la Défense utilise le CMMC pour vérifier que les entreprises de la base industrielle de défense protègent deux types d'informations gouvernementales : les Federal Contract Information (FCI) et les Controlled Unclassified Information (CUI).
Le modèle a trois niveaux. Le niveau 1 couvre la protection de base des FCI. Le niveau 2 est celui où atterrissent la plupart des sous-traitants : il s'aligne sur les 110 exigences de sécurité de NIST SP 800-171 et s'applique quand vous manipulez des CUI. Le niveau 3 ajoute des exigences tirées de NIST SP 800-172 pour les programmes les plus sensibles.
Vérifiez l'état actuel du déploiement. Les exigences CMMC entrent progressivement dans les contrats, et la révision applicable de NIST SP 800-171 conditionne la numérotation et la formulation des exigences. Confirmez ce qui s'applique à votre véhicule contractuel avec votre contracting officer ou votre évaluateur — ne le supposez pas d'après un article de blog.
Pourquoi c'est en grande partie un problème d'identité
Regardez la pondération des familles d'exigences de 800-171 et le tableau est clair. Access Control est de loin la plus grande famille. Ajoutez Identification and Authentication et Audit and Accountability, et une part substantielle de votre évaluation repose sur la configuration de votre annuaire.
Access Control
Les exigences se traduisent directement en questions auxquelles Entra ID et Active Directory permettent de répondre :
- Moindre privilège — combien de comptes détiennent des rôles d'administration, et en ont-ils besoin en permanence ? L'accès privilégié permanent est le constat classique.
- Séparation des tâches — les comptes privilégiés et quotidiens sont-ils distincts, ou une même personne administre-t-elle tout depuis son compte de tous les jours ?
- Contrôle de l'accès distant — les stratégies d'accès conditionnel qui gouvernent d'où et depuis quel appareil l'accès est permis.
- Terminaison et verrouillage de session — durée de session et réglages d'inactivité.
- Contrôle des connexions externes — accès invité, partage externe, fédération avec d'autres tenants.
Identification and Authentication
C'est la famille où vit l'authentification multifacteur, et elle est sans ambiguïté : le MFA pour les comptes privilégiés et pour l'accès réseau est une exigence, pas une recommandation. En pratique, les évaluateurs trouvent des failles non pas parce que le MFA est absent, mais parce qu'il est appliqué partiellement — une stratégie d'accès conditionnel avec un groupe d'exclusion qui a grossi en silence, un compte de secours que personne n'a documenté, un protocole hérité encore actif qui contourne entièrement la stratégie.
La famille couvre aussi la gestion des identifiants, la complexité et la réutilisation des mots de passe, et l'interdiction des comptes partagés — chaque utilisateur identifié de manière unique.
Audit and Accountability
Pouvez-vous déterminer qui a fait quoi, et quand ? Pour les environnements Microsoft, cela signifie le journal d'audit unifié réellement activé, les journaux de connexion et d'audit d'annuaire conservés sur une période utile, et idéalement exportés vers un stockage qui survit à la fenêtre de rétention par défaut.
La réalité on-premises des sous-traitants de la défense
Les sous-traitants de la défense sont, en tant que groupe, plus on-premises que l'entreprise tech moyenne. Postes d'ingénierie, partages de fichiers contenant des CUI, applications héritées — énormément de choses s'authentifient contre Active Directory on-premises.
Cela crée un risque précis : l'outillage d'évaluation centré cloud rend compte d'Entra ID et s'arrête là. Pendant ce temps, les contrôleurs de domaine qui gouvernent l'accès aux systèmes qui détiennent réellement les CUI restent inexaminés. Délégation non contrainte, appartenance surdimensionnée aux Domain Admins, configuration Kerberos faible et comptes de service aux mots de passe périmés sont directement pertinents pour les exigences Access Control et Identification — et tous invisibles d'une vue cloud-only.
Si vous manipulez des CUI, votre annuaire on-premises est dans le périmètre. Auditez-le avec la même rigueur que le cloud.
Le problème de l'auto-évaluation
Que vous vous auto-évaluiez ou engagiez un évaluateur tiers, vous devez produire un score et pouvoir le défendre. Deux choses rendent cela difficile à la main :
- Le volume. Vérifier manuellement plus de cent exigences, sur un annuaire, un tenant cloud et une suite collaborative, est un exercice de plusieurs semaines qui périme dès que quelqu'un change une stratégie.
- La répétabilité. Un score n'a de sens que si vous pouvez le reproduire de la même façon le trimestre suivant. L'évaluation manuelle n'est pas reproductible — deux personnes vérifiant le même environnement arrivent à des conclusions différentes.
Un audit de configuration automatisé et en lecture seule répond aux deux. Il exécute les mêmes vérifications de la même façon à chaque fois, date le résultat, et vous montre le delta depuis la dernière exécution.
Ce qu'un audit couvre et ne couvre pas
Pour être direct sur le périmètre : un audit de configuration vous donne la preuve technique pour les exigences d'identité, d'accès et de journalisation. Il ne traite pas les nombreuses exigences procédurales de 800-171 — protection des supports, sécurité physique, screening du personnel, planification de la réponse à incident, sensibilisation à la sécurité. Celles-là demandent un travail de politique et de processus, quel que soit l'outillage.
Ce qu'il vous donne, c'est une base technique défendable : chaque constat rattaché à une référence de contrôle reconnue, classé par criticité, avec la remédiation détaillée — et un rapport que vous remettez à un évaluateur plutôt qu'un jeu de captures de portails.
Par où commencer
- Lancez un audit en lecture seule sur Entra ID, Active Directory on-premises et Azure pour établir où vous en êtes réellement.
- Corrigez d'abord les fondamentaux : couverture MFA, y compris les chemins qui la contournent, nombre de rôles privilégiés, délégation sur le domaine, rétention des journaux d'audit.
- Rattachez les constats à vos familles d'exigences avec le responsable de votre évaluation.
- Relancez à intervalle régulier pour que le score soit à jour à l'arrivée de la fenêtre d'évaluation, pas reconstruit après coup.
Ni avis juridique ni avis d'évaluation. Le périmètre CMMC, la détermination du niveau et les exigences d'évaluation dépendent de vos contrats et se décident avec votre contracting officer et votre évaluateur.