Le département de la Défense des États-Unis (DoD) gère l'un des écosystèmes de cybersécurité les plus vastes et les plus complexes au monde. Afin de garantir que chaque personne contribuant à cet environnement possède les qualifications professionnelles requises, le DoD applique depuis longtemps des cadres de référence basés sur des directives régissant la formation, la certification et l'aptitude opérationnelle des effectifs. Pendant plus d'une décennie, la directive DoD 8570.01-M a constitué le fondement des exigences en matière de personnel de cybersécurité. Cependant, face à l'évolution des menaces et à la nécessité d'une structure plus moderne, axée sur les compétences, le DoD a remplacé la directive 8570 par une initiative plus large, plus flexible et plus complète : la directive DoD 8140.
Bien que ces deux cadres partagent le même objectif général – garantir que le personnel de cybersécurité du DoD soit formé, certifié et opérationnel –, ils diffèrent considérablement par leur structure, leur méthodologie et leur portée. Cet article propose une analyse comparative formelle et approfondie des directives DoD 8140 et DoD 8570, en expliquant leurs principales différences et leurs implications pratiques pour les contractuels, les civils, les militaires et les professionnels de la cybersécurité travaillant au sein du DoD.
DoD 8570 : Norme de certification fondamentale
La directive DoD 8570.01-M, publiée pour la première fois en 2005, a établi les exigences minimales de certification en cybersécurité pour les personnes ayant un accès privilégié aux systèmes d’information du ministère de la Défense. Cette directive imposait des certifications commerciales spécifiques, telles que Security+, CISSP, CEH et autres, associées à des catégories professionnelles bien définies. Pendant de nombreuses années, la norme 8570 a fait office de guide de référence pour déterminer les qualifications minimales de certification requises pour les techniciens, les gestionnaires et les prestataires de services en cybersécurité.
DoD 8140 : Cadre moderne et complet pour les professionnels de la cybersécurité
La norme DoD 8140 a été créée pour développer, mettre à jour et, à terme, remplacer la norme 8570. Alors que la norme 8570 était fortement axée sur les certifications, la norme 8140 introduit une structure complète pour les professionnels de la cybersécurité, alignée sur les normes nationales et englobant les connaissances, les compétences, les aptitudes, l’expérience et le développement professionnel. La directive DoD 8140 établit le Cadre de gestion des effectifs cybernétiques du DoD (DCWF), qui intègre tous les aspects de l'identification, de la qualification et de la formation du personnel.
En résumé :
DoD 8570 = Exigences de certification par rôle
DoD 8140 = Cadre de gouvernance des effectifs cybernétiques à l'échelle de l'entreprise
La directive DoD 8570 s'applique principalement au personnel de la sécurité de l'information (SI) et de la cybersécurité exerçant des fonctions techniques ou de gestion.
La directive DoD 8140, quant à elle, étend le périmètre des effectifs cybernétiques pour inclure :
Cybersécurité
Informatique cybernétique
Effets cybernétiques
Renseignement cybernétique
Gestion des programmes cybernétiques
Données cybernétiques
Sciences et ingénierie cybernétiques
Ce périmètre élargi reflète les réalités actuelles de la cybersécurité, où les responsabilités couvrent l'analyse, le développement, le renseignement, les opérations, l'ingénierie et la supervision des programmes.
La directive DoD 8140 aligne les effectifs du ministère de la Défense en matière de cybersécurité sur le Cadre de compétences de l'Initiative nationale pour l'éducation à la cybersécurité (NICE), garantissant :
Une structure standardisée pour l'ensemble des agences fédérales
Des définitions cohérentes des rôles professionnels
Des exigences claires en matière de compétences
La directive DoD 8570 est antérieure à NICE et, par conséquent, n'était pas pleinement alignée sur les normes nationales en matière d'effectifs.
En vertu de la directive DoD 8570, le personnel était affecté à l'une des catégories suivantes :
IAT (Techniques en assurance de l'information) Niveaux I à III
IAM (Gestion de l'assurance de l'information) Niveaux I à III
IASAE (Architectes et ingénieurs de systèmes d'assurance de l'information) Niveaux I à III
Rôles de CSSP (Fournisseur de services de cybersécurité) : analyste, auditeur, intervenant en cas d'incident, support infrastructure, superviseur
Ces catégories sont toujours respectées dans le cadre de la directive 8140, mais ne constituent qu'une partie d'une structure plus large.
Conformément à la norme DoD 8140, les rôles professionnels sont définis à l'aide du DCWF et comprennent plus de 50 rôles distincts, permettant une cartographie beaucoup plus précise des responsabilités.
La norme DoD 8570 s'appuyait presque exclusivement sur les listes de certifications comme critères de qualification.
La norme DoD 8140 utilise un modèle par compétences, intégrant :
Les certifications restent importantes, mais elles ne constituent plus le seul critère de conformité.
Alors que la norme 8570 exigeait le renouvellement des certifications, la norme 8140 met l'accent sur la formation continue et les activités d'apprentissage par le biais :
Ceci reflète l'évolution du ministère de la Défense vers un modèle de préparation cybernétique dynamique et évolutif.
Bien que la norme 8140 remplace structurellement la norme 8570, les tableaux de certification de cette dernière restent valides et intégrés au cadre de la norme 8140. Les certifications telles que :
sont toujours reconnues et associées aux rôles professionnels appropriés.
Quels sont les changements ?
Avec la norme 8140, les exigences de certification sont réévaluées et mises à jour afin de s’adapter à l’évolution des rôles professionnels et des menaces. Les nouvelles certifications et les technologies émergentes peuvent être intégrées plus efficacement au cadre, ce qui offre une flexibilité accrue.
Gestion des dossiers et identification du personnel
La norme 8140 du Département de la Défense (DoD) impose un suivi du personnel plus strict et plus standardisé, en attribuant à chaque membre du personnel de cybersécurité un code de rôle professionnel officiel au sein des systèmes désignés. Cela garantit une meilleure supervision et une évaluation plus efficace de l'état de préparation.
Validation des programmes de formation
Conformément à la directive DoD 8140, les organismes de formation doivent aligner leurs programmes sur les compétences du DCWF (Département de la Défense et des Forces armées canadiennes), et non plus seulement sur les objectifs de certification. Ceci garantit une préparation fondée sur les compétences, au-delà de la simple obtention de la certification.
Gouvernance et supervision
La directive DoD 8140 exige :
Ces exigences complètent les exigences administratives plus limitées de la directive 8570.
Les contractuels doivent se conformer aux mêmes exigences relatives au personnel que le personnel gouvernemental. Conformément à la directive 8140, cela inclut désormais :
Une adéquation des rôles professionnels
Une vérification des certifications
Une formation continue
Un suivi et une documentation
Le non-respect de ces exigences peut empêcher l'exécution du contrat ou l'accès privilégié aux systèmes du DoD.
Les civils bénéficient de :
La norme 8140 améliore la mobilité et l’harmonisation entre les différentes composantes du DoD.
Les opérateurs cybernétiques militaires doivent satisfaire aux exigences de certification et de formation alignées sur la norme 8140 dans les délais prescrits. Ce cadre garantit une capacité cybernétique plus homogène entre les différentes branches des forces armées.
Une plus grande clarté de carrière
La norme 8140 du DoD définit plus clairement les rôles professionnels, permettant aux professionnels d’identifier :
Ceci améliore la planification et la progression de carrière.
Des normes professionnelles plus élevées
L’évolution vers des exigences fondées sur les compétences signifie que les professionnels doivent démontrer non seulement l’obtention de certifications, mais aussi leur capacité à mettre en pratique leurs compétences.
Mobilité accrue des effectifs
L'alignement de la norme DoD 8140 avec le NICE facilite la transition des professionnels de la cybersécurité entre :
les composantes du ministère de la Défense
les agences fédérales
les fonctions au sein de la communauté du renseignement
les postes dans l'industrie
Développement professionnel continu
L'accent mis par la norme DoD 8140 sur la formation continue garantit un niveau de préparation permanent, améliorant ainsi la qualité globale des effectifs et la résilience des missions.
Domaine
DoD 8570
DoD 8140
Modèle principal
Basé sur la certification
Basé sur les compétences
Étendue des effectifs
Rôles en matière de sécurité de l’information et de cybersécurité
Effectifs complets en cybersécurité (7 éléments)
Nombre de rôles
Environ 14 catégories
Plus de 50 rôles
Alignement
Spécifique au DoD
Aligné sur le NICE
Formation
Certification uniquement
Compétences, tâches, expérience, formation
Flexibilité
Limitée
Très adaptable
Gouvernance
Suivi de base des certifications
Gestion complète du cycle de vie des effectifs
La norme DoD 8140 représente une modernisation significative de la gouvernance des effectifs en cybersécurité au sein du département de la Défense. Alors que la directive DoD 8570 a établi les exigences fondamentales de certification, la directive 8140 étend cette structure à un cadre complet, fondé sur les compétences et aligné sur les normes nationales. Cette transition garantit que les effectifs cybernétiques du DoD restent compétents, adaptables et prêts à défendre les systèmes d'information du pays face à un environnement de menaces de plus en plus complexe.
Pour les contractuels, les civils et les militaires, il est essentiel de comprendre les différences entre ces directives afin de garantir la conformité, de maintenir le niveau de préparation et de s'orienter dans les parcours professionnels en constante évolution au sein du domaine cybernétique du DoD.
.jpg&w=640&q=75)
Copyright © 2024 - Tous droits réservés.
