Communiqué de presse

La plateforme prend en charge 79 des 98 contrôles ITSP.10.171 Niveau 2, avec des options de déploiement au Canada pour la souveraineté des données et une double conformité aux cadres CPCSC et CMMC américain.

Kiteworks, qui aide les organisations à gérer efficacement les risques liés à l’envoi, au partage, à la réception et à l’utilisation de données privées, annonce aujourd’hui la prise en charge de la plateforme pour le Programme canadien de certification en cybersécurité (PCCCS) — le cadre de certification en cybersécurité obligatoire du Canada pour les fournisseurs de la défense. Avec l’entrée en vigueur des exigences d’auto-évaluation de niveau 1 dans certains contrats de défense dès l’été 2026, et les niveaux 2 et 3 en cours de développement pour une introduction progressive, les contrôles ITSP.10.171 pré-mappés de Kiteworks, les options de déploiement au Canada et la génération de preuves prêtes pour l’audit permettent aux fournisseurs de la défense d’accélérer leur certification et de conserver leur éligibilité aux contrats.

Le PCCCS, géré par Services publics et Approvisionnement Canada en partenariat avec le ministère de la Défense nationale, le Conseil canadien des normes et le Centre canadien pour la cybersécurité, impose aux fournisseurs de la défense qui traitent certaines informations — informations sensibles non classifiées du gouvernement du Canada — de prouver leur conformité à l’ITSP.10.171, une adaptation canadienne du NIST SP 800-171.

Le programme définit trois niveaux de certification progressifs :

• Le niveau 1 exige une auto-évaluation annuelle portant sur 13 contrôles fondamentaux
• Le niveau 2 introduit une évaluation triennale par des organismes de certification accrédités sur 98 contrôles, ainsi qu’une attestation annuelle
• Le niveau 3 ajoute 200 contrôles évalués tous les trois ans par le gouvernement du Canada

Les fournisseurs qui ne peuvent pas prouver leur conformité seront exclus des marchés de la défense. Les données de préparation américaines issues du même ensemble de contrôles NIST 800-171 illustrent l’ampleur du défi : seuls 46 % des sous-traitants de la défense se considèrent prêts pour le niveau 2, 57 % n’ont pas réalisé d’analyse des écarts et 62 % ne disposent pas de contrôles de gouvernance adéquats.

L’alignement du PCCCS sur le NIST SP 800-171 est volontaire, afin de garantir l’interopérabilité avec les alliés Five Eyes du Canada et de permettre aux fournisseurs canadiens de la défense de démontrer un niveau de sécurité équivalent à celui des sous-traitants américains certifiés CMMC. Pour les fournisseurs qui soumissionnent à la fois sur des contrats de défense canadiens et américains, les deux programmes partagent le même ensemble de contrôles fondamentaux — ainsi, l’investissement dans l’un accélère directement la certification dans l’autre.

« Les fournisseurs canadiens de la défense font face aux mêmes exigences de contrôle NIST 800-171 qui ont posé problème aux sous-traitants américains depuis des années — avec en plus la complexité des obligations canadiennes en matière de souveraineté des données et le fait que les niveaux 2 et 3 sont encore en développement », explique Frank Balonis, CISO et SVP of Operations chez Kiteworks. « Kiteworks accompagne les sous-traitants de la défense dans la certification CMMC depuis la création du programme. Le PCCCS repose sur la même norme de base, ce qui signifie que nos contrôles pré-mappés, notre architecture de sécurité validée FedRAMP et notre génération de preuves de conformité fonctionnent pour les deux programmes à partir d’un seul déploiement. Les fournisseurs canadiens n’ont pas besoin de repartir de zéro — ils ont besoin d’une plateforme déjà éprouvée face à ces exigences précises. »

Principales fonctions Kiteworks pour accompagner la certification PCCCS :

• Contrôles ITSP.10.171 pré-mappés : Kiteworks couvre 79 des 98 contrôles du niveau 2 (soit 80 %), couvrant les familles de sécurité ITSP.10.171 les plus pertinentes pour la gouvernance des échanges de données — notamment le contrôle d’accès, l’audit et la responsabilité, l’identification et l’authentification, la protection des supports, la protection des systèmes et des communications, l’intégrité des systèmes et des informations, et la gestion des risques liés à la supply chain. Les 19 contrôles non couverts par Kiteworks sont organisationnels, physiques ou liés aux processus — formation, filtrage du personnel, accès physique et documentation des politiques — des domaines qui nécessitent intrinsèquement une gouvernance humaine.
• Preuves d’audit sans limitation : La journalisation complète des accès, transferts et décisions de politique sur chaque fichier s’effectue en temps réel, sans limitation, sans délai ni surcoût de licence. L’intégration SIEM via syslog et le Splunk Forwarder natif transmettent les preuves aux équipes de sécurité. Lorsqu’un organisme de certification accrédité intervient, les preuves d’audit sont prêtes en quelques heures.
• Souveraineté des données canadiennes : Déploiement sur site, cloud privé dans des data centers canadiens ou hybride — combiné à une isolation à locataire unique, des clés de chiffrement détenues par le client et le géorepérage — garantit que les informations concernées ne quittent jamais la juridiction canadienne. Cela répond aux préoccupations de 40 % des organisations canadiennes qui citent les changements dans les accords de partage de données Canada–États-Unis comme leur principale inquiétude réglementaire, et de 21 % qui considèrent le CLOUD Act américain comme une menace directe à la souveraineté.
• Chiffrement validé FIPS 140-3 : Utilise le chiffrement AES-256 double au repos et TLS 1.3 en transit, avec des modules cryptographiques validés conformes aux exigences ITSP.10.171 en matière de confidentialité des transmissions et du stockage.
• Certification conjointe PCCCS-CMMC : Puisque l’ITSP.10.171 et le NIST SP 800-171 sont techniquement équivalents, le même déploiement Kiteworks permet la certification à la fois pour le PCCCS (contrats canadiens) et pour la CMMC (contrats du Department of War américain). Kiteworks est autorisé FedRAMP et fournit des rapports de conformité CMMC 2.0 avec un addendum de contrôles couvrant les 110 pratiques, favorisant l’interopérabilité Five Eyes et les marchés transfrontaliers.
• Architecture de défense en profondeur : Appliance virtuelle durcie avec pare-feu réseau intégré, WAF et détection d’intrusion basée sur l’IA : la sécurité devient une fonction du produit, non une responsabilité du client. L’architecture réseau par défaut en mode refus et le cloisonnement interne zéro trust répondent aux exigences de protection des périmètres et d’intégrité des systèmes.
• Plan de contrôle pour l’échange sécurisé de données : Kiteworks centralise la messagerie électronique, le partage sécurisé de fichiers, le transfert sécurisé de fichiers, le SFTP, les formulaires web, les API et les intégrations IA sur une seule plateforme, régie par un moteur de règles unique, un journal d’audit unique et une seule architecture de sécurité. Les fournisseurs de la défense mappent les contrôles une seule fois et les appliquent partout — sur tous les canaux par lesquels transitent les informations concernées.

Le Guide de la solution Kiteworks pour le PCCCS, incluant la cartographie détaillée des 98 exigences ITSP.10.171 de niveau 2, est disponible ici.

À propos de Kiteworks

Kiteworks s’est donné une mission : aider les organisations à gérer efficacement les risques liés à l’envoi, au partage, à la réception et à l’utilisation de données privées. La plateforme Kiteworks fournit aux clients un échange de données sécurisé qui assure la gouvernance, la conformité et la protection des données via un plan de contrôle unifié. Kiteworks unifie, suit, contrôle et sécurise les flux de données sensibles, à l’intérieur de l’organisation, mais aussi avec l’extérieur. Ce faisant, elle améliore considérablement la gestion des risques et assure la conformité réglementaire de tous les échanges de données privées. Basé dans la Silicon Valley, Kiteworks protège plus de 100 millions de personnes et des milliers d’entreprises et d’agences gouvernementales dans le monde.

Contact presse
David Schutzman
PR Manager
david.schutzman@kiteworks.com