Preuves continues pour le CMMC niveau 2 et le NIST 800-171
Pourquoi les sous-traitants de la défense abandonnent l'auto-évaluation annuelle
01Votre score n'est exact que le jour où vous le calculez. Tout ce qui suit n'est qu'une supposition.
En continu, pas une fois par an
Les contrôles sont évalués chaque jour à partir de la télémétrie réelle, au lieu d'être reconstitués une fois par an pour l'évaluateur.
Les CUI connues à tout moment
Les informations non classifiées contrôlées (CUI) sont identifiées et étiquetées au sein de la couche de données : vous savez toujours où elles se trouvent et qui y a accédé.
Des preuves qui se vérifient d'elles-mêmes
Chaque état de contrôle repose sur un événement système signé, et non sur une capture d'écran prise la semaine précédant l'arrivée du C3PAO.
Un seul moteur, plusieurs référentiels
Le même événement satisfait aux obligations CMMC, FedRAMP et NIST CSF sans second programme de collecte de preuves.
Ce que vos équipes défense et conformité peuvent automatiser
02Un seul moteur sur tout le cycle de reporting du DoD : de l'assainissement des CUI à l'évaluation CMMC continue et à la gestion du POA&M.
Conformité CMMC 2.0 continue
Rattachez la télémétrie réseau en direct aux contrôles NIST 800-171 et CMMC niveau 2/3 en temps réel, au-delà des auto-évaluations annuelles statiques.
Suivi des données CUI et FCI
Identifiez, étiquetez et surveillez les informations non classifiées contrôlées sur l'ensemble de votre infrastructure, au fil de leur passage dans la couche de données.
Génération automatisée du SSP
Rédigez et mettez à jour votre plan de sécurité du système (SSP) de façon dynamique, à partir de la configuration réelle et des données d'événements de votre environnement en temps réel.
Gestion du POA&M en temps réel
Générez et suivez automatiquement les tâches du plan d'action et jalons (POA&M) à la milliseconde où une défaillance de contrôle technique est détectée.
Surveillance de l'enclave sécurisée
Ingérez et validez en continu les journaux de protection du périmètre pour garantir l'isolation totale de vos environnements de données fédérales.
Préparation à la déclaration d'incidents
Détectez les menaces avancées grâce à la classification par IA et rédigez automatiquement la déclaration de cyberincident au DoD imposée sous 72 heures, avec les éléments d'investigation requis.
Vérification des accès et des identités
Corrélez les journaux d'authentification et les événements d'accès sur l'ensemble du pipeline pour garantir une application stricte du « moindre privilège » pour l'accès aux CUI.
Intégration du risque de la chaîne d'approvisionnement
Surveillez et ingérez les états de conformité de vos sous-traitants pour garantir que les exigences CMMC se répercutent sur l'ensemble de vos fournisseurs.
Correspondance multi-référentiels
Satisfaites simultanément aux exigences CMMC, FedRAMP et NIST CSF en orchestrant un seul événement de sécurité sur plusieurs domaines de conformité fédérale.
Auto-évaluation annuelle ou moteur fédéral continu
03La plupart des outils de préparation produisent un score une fois par an. Dépliez une ligne pour voir ce que la différence produit.
Un atelier annuel produit un score SPRS qui commence à dériver dès le lendemain de sa soumission.
Livrable habituel Score dans un tableur, sans traçabilité des événements.
La télémétrie en direct est rattachée à chaque pratique NIST 800-171 au fil des événements : l'état des contrôles est à jour à tout moment.
Preuves produites
- Chronologie par pratique de chaque événement réussi ou échoué
- Alertes de dérive horodatées avec l'événement système déclencheur
Les analyses de découverte localisent les CUI après leur diffusion dans des partages, des boîtes mail et des sauvegardes hors de l'enclave.
Livrable habituel Ticket de remédiation listant les fichiers exposés.
Les CUI et FCI sont identifiées et étiquetées dans le flux : les données contrôlées sont suivies dès leur apparition.
Preuves produites
- Journal d'étiquetage par flux de données avec la politique de traitement appliquée
- Cartographie des systèmes dont la position hors enclave est prouvée
Un document rédigé une fois et modifié à la main, décrivant une architecture qui a changé depuis.
Livrable habituel Document Word statique avec une date de révision périmée.
Le SSP est généré à partir de la configuration et des données d'événements réelles : il décrit l'environnement tel qu'il fonctionne aujourd'hui.
Preuves produites
- SSP versionné avec la source de configuration de chaque énoncé
- Journal des modifications reliant chaque révision à l'événement qui l'a provoquée
Les écarts sont découverts pendant la préparation de l'évaluation, des semaines ou des mois après la défaillance réelle du contrôle.
Livrable habituel Liste POA&M assemblée juste avant l'audit.
Un élément POA&M est ouvert, attribué et suivi dès qu'un contrôle technique échoue, avec la preuve de la défaillance jointe.
Preuves produites
- Entrées POA&M avec horodatage de détection et historique de remédiation
- Preuve de clôture montrant le contrôle de nouveau conforme
Chaque référentiel fonctionne comme un programme distinct, avec ses propres responsables, questionnaires et collectes de preuves.
Livrable habituel Preuves dupliquées pour chaque référentiel.
Un seul événement est rattaché à tous les référentiels qu'il satisfait : CMMC, FedRAMP et NIST CSF progressent ensemble.
Preuves produites
- Cartographie de couverture inter-référentiels par événement de contrôle
- Rapport d'écarts ne montrant que les exigences réellement non couvertes
Comment fonctionne le moteur
04Quatre étapes exécutées en continu sur tout le cycle de reporting du DoD.
Ingérer
Journaux du périmètre de l'enclave, événements d'identité, télémétrie des terminaux et attestations des sous-traitants convergent vers un pipeline gouverné unique.
Classifier
Les CUI et FCI sont identifiées et étiquetées à la volée : les données contrôlées sont suivies partout où elles circulent.
Évaluer
Chaque événement est noté au regard des pratiques NIST 800-171 et CMMC niveau 2/3, avec ouverture d'un élément POA&M dès qu'un contrôle échoue.
Prouver
Le SSP, le POA&M et les rapports d'incident sont générés à partir de ces preuves et maintenus prêts pour l'audit de votre C3PAO.
Les contrôles CMMC que DECIMA exécute
059 pratiques NIST 800-171 prouvées en continu sur l'ensemble de l'enclave, pour un score exact chaque jour.
- AC.L2-3.1.1Accès au système limité aux utilisateurs et appareils autorisés7 sourcesAutomatisé
- AC.L2-3.1.5Moindre privilège revu au regard de l'usage réel4 sourcesDécision humaine
- IA.L2-3.5.3Authentification multifacteur pour les comptes à privilèges5 sourcesAutomatisé
06Découvrez DECIMA en action
Déposez des preuves, observez DECIMA évaluer chaque contrôle automatiquement et découvrez comment les décisions de conformité sont scellées pas à pas.
Console de preuvesExécution en direct
CMMC 2.0 niveau 2
Informations non classifiées contrôlées au titre du DFARS 252.204-7012 : plan système, POA&M et contrôle d'accès.
- Documents
- 3
- Contrôles
- 4
- Cadres
- 1
Votre décision
CMMC AC.L2 — Revue des accès selon le moindre privilège
Signalé pour remédiation. Le responsable du contrôle est notifié et l'écart reste visible dans le dossier.
- Empreinte des preuves
- a41f9c07e2b5…d38e
- Scellé le
- 31 octobre 2026
- Signé par
- Responsable conformité
Score SPRS et affirmation
Le dossier scellé devient le score que voit le département de la Défense et l'affirmation que signe votre haut responsable.
- NoterScore calculé sur les 110 pratiques, un point ouvert dans le plan d'actionTerminé
- AffirmerAffirmation de niveau 2 rédigée pour le haut responsableTerminé
- SoumettreScore et date d'évaluation publiés dans SPRSTerminé
- ScellerEmpreinte du dossier calculée, dossier joint à la soumissionTerminé
- Score SPRS
- 107 sur 110
- Affirmation
- Niveau 2, en attente de signature
Soumission de démonstration — rien n'est publié dans SPRS depuis cette page.
C'est exactement ce que reçoit l'auditeur — la même exécution, les mêmes artefacts, les mêmes décisions.
Vos questions sur le CMMC
07Ce que demandent les sous-traitants de la défense avant de passer aux preuves continues.
Cessez de préparer l'évaluation. Restez prêt en permanence.
Confiez-nous une enclave et nous vous montrerons les preuves CMMC qu'un moteur continu en produit.
Réserver une session de travail