CMMC et NIST SP 800-171 : auditer l'identité Microsoft
Si votre entreprise manipule des informations non classifiées contrôlées pour le compte du ministère de la Défense américain, CMMC n'est plus une préoccupation lointaine. Une large part de ses exigences sont des exigences d'identité — qui peut accéder à quoi, prouvé par quoi, et journalisé comment. Pour la plupart des fournisseurs, cela veut dire Microsoft : le tenant cloud et l'annuaire on-premises.
Le cadre en version courte
Le ministère de la Défense américain utilise CMMC pour vérifier que les entreprises de sa base industrielle protègent deux types d'informations gouvernementales : les informations contractuelles fédérales (FCI) et les informations non classifiées contrôlées (CUI).
Le modèle comporte trois niveaux. Le niveau 1 couvre la protection de base des FCI. Le niveau 2 est celui où atterrit la plupart des fournisseurs : il s'aligne sur les 110 exigences de sécurité du NIST SP 800-171 et s'applique dès que vous manipulez des CUI. Le niveau 3 y ajoute des exigences tirées du NIST SP 800-172 pour les programmes les plus sensibles.
Vérifiez l'état d'avancement du déploiement. Les exigences CMMC entrent dans les contrats progressivement, et la révision applicable du NIST SP 800-171 change la numérotation et la formulation des exigences. Confirmez ce qui s'applique à votre véhicule contractuel auprès de votre officier de contrat ou de votre évaluateur — ne le déduisez pas d'un article de blog.
Pourquoi c'est largement un problème d'identité
Regardez le poids des familles d'exigences du 800-171 et l'image est nette. Le contrôle d'accès est de loin la plus grosse famille. Ajoutez-y l'identification et l'authentification et l'audit et la traçabilité, et une part substantielle de votre évaluation repose sur la configuration de votre annuaire.
Contrôle d'accès
Les exigences se traduisent directement en questions auxquelles Entra ID permet de répondre :
- Moindre privilège — combien de comptes détiennent des rôles d'administration, et en ont-ils besoin en permanence ? L'accès privilégié permanent est le constat classique.
- Séparation des tâches — les comptes privilégiés et les comptes du quotidien sont-ils distincts, ou une même personne administre-t-elle tout depuis sa session courante ?
- Contrôle de l'accès distant — les stratégies d'accès conditionnel qui régissent depuis où et depuis quel appareil l'accès est permis.
- Verrouillage et fin de session — durée de vie des sessions et réglages d'inactivité.
- Contrôle des connexions externes — accès invité, partage externe, fédération avec d'autres tenants.
Identification et authentification
C'est la famille où vit l'authentification multifacteur, et elle est sans ambiguïté : la MFA pour les comptes privilégiés et pour l'accès réseau est une exigence, pas une recommandation. En pratique, les évaluateurs trouvent des trous non pas parce que la MFA est absente mais parce qu'elle est partiellement appliquée — une stratégie d'accès conditionnel avec un groupe d'exclusion qui a grossi discrètement, un compte de secours que personne n'a documenté, un protocole hérité encore actif qui contourne entièrement la politique.
La famille couvre aussi la gestion des identifiants, la complexité et la réutilisation des mots de passe, et l'interdiction des comptes partagés — chaque utilisateur identifié de façon unique.
Audit et traçabilité
Pouvez-vous déterminer qui a fait quoi, et quand ? Pour un environnement Microsoft, cela veut dire un journal d'audit unifié réellement activé, des journaux de connexion et d'annuaire conservés sur une période utile, et idéalement exportés quelque part qui survit à la fenêtre de rétention par défaut.
Deux périmètres, un seul corpus de preuves
Une organisation qui tourne sous Microsoft n'en exploite rarement qu'un seul des deux. Le tenant cloud et l'annuaire on-premises portent chacun leur part de l'exigence, et un évaluateur qui ne regarde que le premier passe à côté de l'endroit où se trouve l'essentiel du risque.
| Périmètre | Ce qu'il apporte à l'exigence |
|---|---|
| Entra ID & Microsoft 365 | Robustesse de l'authentification, accès conditionnel, rôles à privilèges, consentement applicatif, accès invité, politiques de messagerie et de partage, rétention des journaux d'audit. |
| Active Directory | Appartenance aux groupes privilégiés, comptes de service, délégations ACL, configuration Kerberos, modèles de certificat, approbations, couverture LAPS — et les chemins d'escalade qui les relient. |
La correspondance normative est la même dans les deux, et c'est ce qui fait que les preuves s'additionnent au lieu de rester dans deux piles séparées.
Le problème de l'auto-évaluation
Que vous vous auto-évaluiez ou que vous fassiez appel à un évaluateur tiers, vous devez produire un score et pouvoir le défendre. Deux choses rendent l'exercice difficile à la main :
- Le volume. Vérifier plus d'une centaine d'exigences manuellement, sur un annuaire, un tenant cloud et une suite collaborative, est un exercice de plusieurs semaines qui devient obsolète dès que quelqu'un modifie une stratégie.
- La reproductibilité. Un score n'a de sens que si vous pouvez le reproduire à l'identique le trimestre suivant. Une évaluation manuelle ne l'est pas — deux personnes qui examinent le même environnement arrivent à des conclusions différentes.
Un audit de configuration automatisé et en lecture seule répond aux deux. Il exécute les mêmes vérifications de la même façon à chaque fois, date le résultat, et vous montre l'écart depuis la dernière exécution.
Ce qu'un audit couvre, et ce qu'il ne couvre pas
Pour être direct sur le périmètre : un audit de configuration vous donne la preuve technique pour les exigences d'identité, d'accès et de journalisation. Il n'adresse pas les nombreuses exigences du 800-171 qui sont procédurales — protection des supports, sécurité physique, contrôle du personnel, planification de la réponse à incident, sensibilisation. Celles-là demandent un travail de politique et de processus, quel que soit l'outillage.
Ce qu'il vous donne, c'est une base technique défendable : chaque constat rattaché à une référence de contrôle reconnue, classé par gravité, avec la remédiation écrite — et un rapport que vous pouvez remettre à un évaluateur plutôt qu'un jeu de captures d'écran de portails.
Par où commencer
- Lancer un audit en lecture seule sur les deux périmètres — tenant et annuaire — pour établir où vous en êtes réellement.
- Corriger d'abord les fondamentaux : couverture MFA, y compris les chemins qui la contournent, nombre de rôles privilégiés, délégations sur le domaine, rétention des journaux d'audit.
- Rattacher les constats à vos familles d'exigences avec la personne qui porte votre évaluation.
- Rejouer selon un calendrier, pour que le score soit à jour quand la fenêtre d'évaluation arrive, et non reconstitué après coup.
Ceci n'est ni un avis juridique ni un avis d'évaluation. Le périmètre CMMC, la détermination du niveau et les exigences d'évaluation dépendent de vos contrats et se décident avec votre officier de contrat et votre évaluateur.