{"id":689,"date":"2026-02-10T18:37:00","date_gmt":"2026-02-10T23:37:00","guid":{"rendered":"https:\/\/saogcyber.ca\/le-veritable-cout-dun-perimetre-devaluation-mal-defini\/"},"modified":"2026-10-07T16:55:14","modified_gmt":"2026-10-07T20:55:14","slug":"le-veritable-cout-dun-perimetre-devaluation-mal-defini","status":"publish","type":"post","link":"https:\/\/saogcyber.ca\/fr\/le-veritable-cout-dun-perimetre-devaluation-mal-defini\/","title":{"rendered":"Le v\u00e9ritable co\u00fbt d\u2019un p\u00e9rim\u00e8tre d\u2019\u00e9valuation mal d\u00e9fini"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\tUn p\u00e9rim\u00e8tre d\u00e9finit bien plus qu\u2019un simple p\u00e9rim\u00e8tre r\u00e9seau. Il d\u00e9termine quels actifs, personnes, installations, prestataires de services, contr\u00f4les et \u00e9l\u00e9ments de preuve font partie de l\u2019\u00e9valuation. \n\t\t\t\t\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

L\u2019objectif n\u2019est pas d\u2019avoir le plus petit p\u00e9rim\u00e8tre possible. Il s\u2019agit d\u2019avoir le p\u00e9rim\u00e8tre le plus restreint, mais exact et d\u00e9fendable, qui refl\u00e8te la mani\u00e8re dont l\u2019information prot\u00e9g\u00e9e est r\u00e9ellement trait\u00e9e et prot\u00e9g\u00e9e. <\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t
\n
\n

L\u2019objectif n\u2019est pas d\u2019avoir le plus petit p\u00e9rim\u00e8tre possible. Il s\u2019agit d\u2019avoir le p\u00e9rim\u00e8tre le plus restreint, mais exact et d\u00e9fendable, qui refl\u00e8te la mani\u00e8re dont l\u2019information prot\u00e9g\u00e9e est r\u00e9ellement trait\u00e9e et prot\u00e9g\u00e9e. <\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Des p\u00e9rim\u00e8tres trop larges ou incomplets cr\u00e9ent des risques diff\u00e9rents\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un p\u00e9rim\u00e8tre trop large<\/strong> peut accro\u00eetre les efforts de mise en \u0153uvre, de collecte de preuves, de surveillance et d\u2019\u00e9valuation en int\u00e9grant des syst\u00e8mes et des d\u00e9pendances suppl\u00e9mentaires dans le champ d\u2019application. Toutefois, cela ne signifie pas que chaque exigence s\u2019applique de mani\u00e8re identique \u00e0 chaque actif. Au CMMC niveau 2, par exemple, les actifs CUI, les actifs de protection de s\u00e9curit\u00e9, les actifs g\u00e9r\u00e9s par le risque du contractant et les actifs sp\u00e9cialis\u00e9s font l\u2019objet de modalit\u00e9s d\u2019\u00e9valuation diff\u00e9rentes. <\/p>\n

Un p\u00e9rim\u00e8tre incomplet<\/strong> est plus grave. Si des informations non classifi\u00e9es contr\u00f4l\u00e9es (CUI), des informations sp\u00e9cifi\u00e9es (SI) ou les services de s\u00e9curit\u00e9 prot\u00e9geant ces informations se trouvent en dehors du p\u00e9rim\u00e8tre d\u00e9clar\u00e9, l\u2019organisation peut faire l\u2019objet de constats, de reprises de travaux ou d\u2019une remise en cause de la validit\u00e9 du champ de son \u00e9valuation. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Ce qui doit \u00eatre inclus dans le p\u00e9rim\u00e8tre\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Pour le CMMC niveau 2,<\/strong> le p\u00e9rim\u00e8tre inclut les actifs qui traitent, stockent ou transmettent des CUI, ainsi que les actifs et services externes qui assurent des fonctions de s\u00e9curit\u00e9 pour l\u2019environnement \u00e9valu\u00e9. Des actifs ne peuvent \u00eatre hors p\u00e9rim\u00e8tre que s\u2019ils ne peuvent pas traiter de CUI et ne fournissent pas de protection de s\u00e9curit\u00e9 pour les actifs CUI. <\/p>\n

Pour le CPCSC,<\/strong> la d\u00e9finition du p\u00e9rim\u00e8tre inclut les syst\u00e8mes, dispositifs, personnes, installations, processus et prestataires externes qui traitent ou prot\u00e8gent des SI. Le p\u00e9rim\u00e8tre peut couvrir l\u2019ensemble de l\u2019entreprise ou \u00eatre limit\u00e9 \u00e0 une enclave d\u00e9limit\u00e9e, mais il doit refl\u00e9ter les acc\u00e8s r\u00e9els et les flux d\u2019information. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Restreint et d\u00e9fendable\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Une enclave peut r\u00e9duire les co\u00fbts et la complexit\u00e9, mais uniquement si la s\u00e9paration est efficace.<\/strong> L\u2019isolation physique ou logique, la protection du p\u00e9rim\u00e8tre, les restrictions d\u2019acc\u00e8s et les contr\u00f4les des flux d\u2019information doivent emp\u00eacher l\u2019information prot\u00e9g\u00e9e de circuler vers des syst\u00e8mes que l\u2019organisation a d\u00e9clar\u00e9s hors p\u00e9rim\u00e8tre.<\/p>\n

Le p\u00e9rim\u00e8tre doit suivre le processus m\u00e9tier, et non le prix d\u2019\u00e9valuation souhait\u00e9.<\/strong> Les courriels, les plateformes infonuagiques, l\u2019administration \u00e0 distance, les sauvegardes, les imprimantes, les supports amovibles, la surveillance de la s\u00e9curit\u00e9, les fournisseurs de services g\u00e9r\u00e9s et le travail \u00e0 domicile peuvent tous \u00e9largir le p\u00e9rim\u00e8tre s\u2019ils traitent ou prot\u00e8gent de l\u2019information prot\u00e9g\u00e9e.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Documentez les flux et les d\u00e9pendances\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un p\u00e9rim\u00e8tre d\u00e9fendable s\u2019appuie sur une documentation \u00e0 jour, notamment :<\/span><\/span><\/p>\n

    \n
  • un diagramme des flux de donn\u00e9es montrant o\u00f9 l\u2019information prot\u00e9g\u00e9e entre, est cr\u00e9\u00e9e, stock\u00e9e, transmise, imprim\u00e9e, sauvegard\u00e9e et d\u00e9truite ;<\/span><\/span><\/li>\n
  • un sch\u00e9ma r\u00e9seau montrant les limites logiques et physiques, les connexions, l\u2019acc\u00e8s \u00e0 distance et les services externes ;<\/span><\/span><\/li>\n
  • un inventaire des actifs avec des cat\u00e9gories d\u2019actifs et une attribution de propri\u00e9t\u00e9 claires ;<\/span><\/span><\/li>\n
  • une justification du p\u00e9rim\u00e8tre expliquant pourquoi des actifs sont inclus ou exclus ;<\/span><\/span><\/li>\n
  • un plan de s\u00e9curit\u00e9 du syst\u00e8me (System Security Plan) \u00e0 jour ou une description \u00e9quivalente de l\u2019environnement et de ses d\u00e9pendances ; et<\/span><\/span><\/li>\n
  • des contrats, des descriptions de service et des matrices de responsabilit\u00e9s pour les prestataires externes pertinents.<\/span><\/span><\/li>\n<\/ul>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t
    \n\t\t\t\t\t

    Cinq questions auxquelles r\u00e9pondre avant de commencer la rem\u00e9diation\n\n<\/h2>\t\t\t\t<\/div>\n\t\t
    \n\t\t
    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    1<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    \n
    \n

    Quelles CUI ou SI l\u2019organisation re\u00e7oit-elle, cr\u00e9e-t-elle ou g\u00e9n\u00e8re-t-elle ?<\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    2<\/span><\/div>\n
    <\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    \n
    \n

    O\u00f9 sont-elles trait\u00e9es, stock\u00e9es, transmises, imprim\u00e9es, sauvegard\u00e9es et d\u00e9truites ?<\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    3<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Quelles personnes, quels syst\u00e8mes, quelles installations et quels prestataires peuvent y acc\u00e9der ou les prot\u00e9ger ?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    4<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    Quels actifs peuvent techniquement les traiter, m\u00eame si la politique indique qu\u2019ils ne le devraient pas ?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t
    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t

    5<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

    \n\t\t\t\t
    \n\t\t\t\t\t\t\t\t\t
    \n
    \n

    Quels \u00e9l\u00e9ments de preuve d\u00e9montrent que les actifs exclus ne peuvent pas les traiter ni les prot\u00e9ger ?<\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

    \n\t\t\t\t\t\t\t\t\t
    \n
    \n
    \n
    \n
    \n
    \n

    Une d\u00e9finition correcte du p\u00e9rim\u00e8tre avant la rem\u00e9diation \u00e9vite des investissements inutiles, r\u00e9duit les reprises de travaux li\u00e9es \u00e0 l\u2019\u00e9valuation et offre aux dirigeants une base d\u00e9fendable pour les d\u00e9cisions d\u2019architecture et de financement.<\/span><\/strong><\/p>\n<\/div>\n<\/div>\n<\/section>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

    Un p\u00e9rim\u00e8tre d\u00e9finit bien plus qu\u2019un simple p\u00e9rim\u00e8tre r\u00e9seau. Il d\u00e9termine quels actifs, personnes, installations, prestataires de services, contr\u00f4les et \u00e9l\u00e9ments de preuve font partie de l\u2019\u00e9valuation. <\/p>\n","protected":false},"author":1,"featured_media":690,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_thinkrank_schema_form_data":"","_thinkrank_selected_schema_type":"","_thinkrank_additional_schemas":"","_thinkrank_canonical_url":"","_thinkrank_og_title":"","_thinkrank_og_description":"","_thinkrank_og_image":"","_thinkrank_twitter_title":"","_thinkrank_twitter_description":"","_thinkrank_twitter_image":"","_thinkrank_imported_from":"","_thinkrank_focus_keywords":[],"_thinkrank_focus_keyword":"","_thinkrank_robots_meta_enabled":0,"_thinkrank_robots_meta":"","_thinkrank_advanced_robots_meta":"","_thinkrank_exclude_from_search":0,"_thinkrank_exclude_from_archives":0,"_thinkrank_primary_category":0,"page_builder":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[30],"tags":[],"class_list":["post-689","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-architecture-de-securite"],"_links":{"self":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/689","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/comments?post=689"}],"version-history":[{"count":1,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/689\/revisions"}],"predecessor-version":[{"id":691,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/689\/revisions\/691"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media\/690"}],"wp:attachment":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media?parent=689"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/categories?post=689"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/tags?post=689"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}