Pour une PME canadienne qui souhaite travailler dans le secteur de la défense, les acronymes commencent rapidement à s’accumuler : PCCC, CMMC, NIST, ITSP… À première vue, on pourrait croire que le Canada et les États-Unis ont créé deux systèmes complètement différents, obligeant les fournisseurs présents des deux côtés de la frontière à recommencer leur travail de conformité à zéro. Heureusement, la réalité est plus nuancée.
Le Programme canadien de certification en cybersécurité, ou PCCC, a justement été conçu de manière à maintenir une forte compatibilité avec le Cybersecurity Maturity Model Certification, mieux connu sous l’acronyme CMMC, utilisé par le Département de la Défense américain.
Pour les fournisseurs canadiens, comprendre cet alignement permet de prendre de meilleures décisions dès maintenant et d’éviter de bâtir deux programmes de cybersécurité indépendants.
Deux programmes nationaux, un objectif commun
Le PCCC est le programme officiel canadien de certification en cybersécurité destiné notamment aux fournisseurs du secteur de la défense. Selon le gouvernement du Canada, son objectif est de protéger les renseignements contractuels de nature délicate et de renforcer la résilience de la chaîne d’approvisionnement de la défense.
Aux États-Unis, le CMMC poursuit une logique comparable. Il vise à vérifier que les entreprises qui traitent certaines informations liées aux contrats de défense disposent réellement des protections exigées.
Les deux pays conservent cependant leur propre gouvernance, leurs propres mécanismes d’évaluation et leurs propres obligations contractuelles. Une entreprise ne doit donc pas supposer qu’une certification obtenue dans un pays constitue automatiquement une certification dans l’autre.
Le Canada précise toutefois que le PCCC a été conçu pour réduire les chevauchements et qu’une certification CMMC valide pourra, dans certaines situations, être reconnue au cas par cas lorsque sa portée correspond aux exigences canadiennes.
Un alignement technique important
C’est sur le plan des contrôles que la proximité devient particulièrement intéressante. Le gouvernement du Canada indique que le PCCC repose sur les mêmes fondements techniques que les exigences américaines associées au CMMC. La norme canadienne ITSP.10.171 du Centre canadien pour la cybersécurité reprend notamment des contrôles dérivés du cadre NIST utilisé aux États-Unis.
Concrètement, les thèmes abordés se ressemblent fortement : gestion des accès, authentification, journalisation, protection des systèmes, configuration, réponse aux incidents, formation, surveillance et protection des renseignements.
Pour une PME canadienne travaillant déjà à satisfaire aux exigences du PCCC, les investissements réalisés dans ces domaines ne sont donc pas perdus si elle souhaite éventuellement accéder au marché américain.
Cela ne signifie pas pour autant que les deux démarches sont interchangeables. Les contrats, les informations visées, le périmètre évalué et le niveau de certification requis doivent toujours être vérifiés séparément.
Le périmètre est aussi important que les contrôles
L’une des erreurs les plus coûteuses consiste à réfléchir uniquement en termes de technologies. Un pare-feu, une authentification multifacteur ou un outil de détection ne suffisent pas, à eux seuls, à définir un environnement conforme.
Il faut également savoir quels utilisateurs auront accès aux renseignements concernés, dans quels systèmes ils seront stockés, avec quelles applications ils seront traités et comment ils circuleront entre les différents intervenants. C’est pourquoi la définition du périmètre constitue une étape stratégique.
Une entreprise qui mélange ses opérations commerciales courantes et ses activités de défense dans le même environnement risque d’élargir considérablement la portion de son infrastructure devant être analysée, documentée et contrôlée. À l’inverse, un environnement dédié permet de mieux isoler les données, les utilisateurs et les processus visés.
C’est précisément la logique sur laquelle repose TurboDef : offrir un environnement sécurisé consacré aux activités liées à la défense plutôt que d’obliger une PME à transformer l’ensemble de son système informatique.
Préparer le Canada sans perdre de vue les États-Unis
Pour les entreprises qui envisagent de travailler avec les deux marchés, la bonne approche consiste donc à construire une base de cybersécurité cohérente. Les contrôles d’accès, la journalisation, la gestion documentaire, la surveillance et les preuves de conformité peuvent être pensés dès le départ pour faciliter les deux démarches.
Cette approche rejoint d’ailleurs ce que TechNuCom explique dans son article sur le rôle que peut jouer un ERP bien gouverné dans la cybersécurité : la protection ne dépend pas uniquement des outils de sécurité traditionnels, mais aussi de la manière dont les données, les accès et les processus sont structurés.
Pour une PME, cette cohérence peut faire toute la différence entre une conformité vécue comme une succession de projets coûteux et une démarche structurée qui soutient progressivement son développement dans le secteur de la défense.
Vous souhaitez évaluer comment votre environnement actuel pourrait répondre aux exigences canadiennes tout en préparant vos ambitions américaines?