Le Certificate of Networthiness (CoN) reposait sur une logique binaire : un produit passait ou ne passait pas les tests avant déploiement sur un réseau DoD. Le Risk Management Framework (RMF) impose une gestion continue du risque, avec des contrôles alignés sur le NIST SP 800-53 et un cycle de vie qui ne s’arrête pas à l’autorisation initiale. Aligner ces deux logiques demande de repenser la structure documentaire, les rôles et le calendrier des preuves.
Cartographie des contrôles SP 800-53 sur les anciens livrables CoN
Le CoN exigeait trois blocs de preuves : sécurité réseau, conformité protocolaire et aptitude au déploiement. Ces blocs ne disparaissent pas avec le RMF, mais ils se redistribuent dans les familles de contrôles SP 800-53.
A lire en complément : Arkevia ou coffre-fort concurrent : quel service protège le mieux vos bulletins de paie ?
La documentation de sécurité réseau (scans de ports, règles de pare-feu, durcissement des OS) se retrouve principalement dans les familles SC (System and Communications Protection) et SI (System and Information Integrity). Les preuves de conformité protocolaire migrent vers les familles CM (Configuration Management) et SA (System and Services Acquisition). Les tests de déploiement opérationnel s’intègrent dans CA (Security Assessment and Authorization).
Nous recommandons de construire une matrice de traçabilité entre les anciens livrables CoN et les contrôles RMF. Sans cette matrice, les équipes produisent des doublons ou, pire, laissent des contrôles sans preuve. Chaque livrable historique doit pointer vers un ou plusieurs contrôles SP 800-53, avec un responsable nommé et une fréquence de mise à jour.
A voir aussi : Faut-il encore faire confiance à VERY leak en 2026 ?
Cycle d’autorisation continue RMF et rupture avec la logique CoN ponctuelle
Le CoN délivrait une certification à un instant T. Une fois obtenu, le produit pouvait rester déployé sans réévaluation formelle tant que sa version ne changeait pas. Le RMF casse cette logique avec le concept d’autorisation continue (ongoing authorization).
Concrètement, chaque mise à jour logicielle déclenche une réévaluation partielle des contrôles impactés. Les équipes habituées au CoN doivent intégrer un processus de revue incrémentale dans leur pipeline de livraison. Un patch de sécurité mineur ne nécessite pas de reprendre l’ensemble du Security Assessment Report, mais il faut documenter l’impact sur les contrôles modifiés et mettre à jour le Plan of Action and Milestones (POA&M).
Les organisations qui conservent un rythme annuel de réévaluation prennent un risque : le RMF attend une surveillance quasi permanente, avec des rapports de vulnérabilités traités en continu et un POA&M vivant.
Alignement simultané avec l’AI RMF pour les composants embarquant de l’IA
Depuis octobre 2024, le mémo fédéral M-24-18 impose aux agences américaines d’intégrer des exigences alignées sur le NIST AI Risk Management Framework dans les clauses de marchés pour les solutions utilisant de l’intelligence artificielle, y compris sur des sites relevant du DoD.
Pour les produits qui visaient historiquement un Certificate of Networthiness, cela ajoute une couche d’exigences qui dépasse les contrôles SP 800-53 classiques :
- Documentation des usages d’IA intégrés au produit, avec identification des modèles, des jeux de données d’entraînement et des cas d’usage opérationnels prévus
- Gestion des biais et robustesse des modèles, avec des tests adversariaux documentés dans le dossier d’autorisation RMF
- Gouvernance des modèles sur l’ensemble du cycle de vie, incluant la traçabilité des versions de modèles déployés et les critères de retrait
Nous observons que la plupart des équipes traitent encore l’AI RMF et le RMF cybersécurité comme deux chantiers séparés. Cette approche multiplie les efforts de documentation et crée des incohérences dans les modèles de menaces. Un dossier d’autorisation unique couvrant RMF et AI RMF réduit la charge de preuve et garantit la cohérence des analyses de risques.
CMMC 2.0 et Certificate of Networthiness : contrainte contractuelle supplémentaire
La Cybersecurity Maturity Model Certification 2.0, intégrée dans les contrats DoD via une modification du Title 48 CFR, ajoute une obligation de certification de maturité cyber pour les sous-traitants. Cette exigence se superpose au RMF sans le remplacer.
Un fournisseur qui détenait un CoN et qui continue à fournir le DoD doit désormais satisfaire simultanément :
- Les contrôles RMF SP 800-53 pour l’autorisation du système
- Le niveau CMMC correspondant au type d’information traitée (CUI ou FCI)
- Les exigences AI RMF si le produit embarque des composants d’intelligence artificielle
La tentation est de traiter chaque cadre de conformité en silo. Les équipes qui l’ont fait se retrouvent avec trois jeux de preuves partiellement redondants et des audits désynchronisés. Un référentiel de preuves partagé entre RMF, CMMC et AI RMF est la seule approche viable pour maintenir la conformité sans multiplier les coûts.
Transition CoN vers RMF : structurer le transfert de responsabilités
Rôles RMF absents du processus CoN
Le CoN impliquait principalement l’éditeur et l’autorité de validation réseau. Le RMF introduit des rôles supplémentaires : l’Authorizing Official (AO), le Security Control Assessor (SCA) et l’Information System Security Manager (ISSM). Ces rôles n’existaient pas dans le workflow CoN, et leur absence crée des blocages lors de la transition.
La désignation de l’AO, en particulier, ne peut pas être reportée. Sans AO identifié, aucune autorisation d’exploitation (ATO) ne peut être délivrée, ce qui bloque le déploiement même si toutes les preuves techniques sont prêtes.
Calendrier de migration des preuves existantes
Les preuves produites pour un CoN encore valide ne sont pas perdues. Les résultats de scans, les rapports de tests d’interopérabilité et les configurations durcies peuvent alimenter le dossier RMF, à condition de les reformater selon la structure attendue (Security Plan, SAR, POA&M). Nous recommandons de ne pas attendre l’expiration du CoN pour engager cette migration : les équipes qui attendent se retrouvent à reconstituer des preuves périmées sous pression calendaire.
L’alignement entre Certificate of Networthiness et RMF n’est pas un simple changement d’étiquette réglementaire. La surveillance continue, l’intégration de l’AI RMF pour les composants IA et la superposition du CMMC 2.0 transforment la charge de conformité. Les organisations qui construisent dès maintenant un référentiel de preuves unifié et désignent les rôles RMF manquants évitent les blocages au moment de l’autorisation d’exploitation.
