Sagentix Cybersécurité et IA
Le niveau 1, à la main
et avec la plateforme.
Si vos mesures de protection fonctionnent déjà, le niveau 1 du PCCC demande environ 65,4 heures de votre personnel à la main, et 17,4 dans Sagentix Cybersécurité et IA. Si vous partez de rien, c’est 95,1 contre 31,8. Niveau 1 du CMMC : 66,3 contre 17,6, ou 107,3 contre 38,5 en partant de rien.
Ce sont des estimations de notre propre modèle d’effort, recalculées à partir du catalogue en direct de la plateforme le 22 octobre 2026. Ce ne sont pas des chiffres gouvernementaux. Vous trouverez ci-dessous chaque minute que le modèle compte, le seul chiffre gouvernemental qui existe, et pourquoi il mesure moins.
Les chiffres
Heures de personnel pour atteindre un niveau 1 autoévalué, pour une petite organisation qui le fait pour la première fois. Une entreprise à mi-chemin se situe entre les deux colonnes.
PCCC niveau 1
−73,4 %
d’heures de personnel avec la plateforme, pour une entreprise mature
| Heures de personnel | Entreprise mature | Nouvelle entreprise |
|---|---|---|
| À la main (modèle Sagentix) | 65,4 h | 95,1 h |
| Avec Sagentix Cybersécurité et IA | 17,4 h | 31,8 h |
| Heures épargnées | 48 h | 63,3 h |
| Heures en moins | 73,4 % | 66,5 % |
Entreprise mature
- Énoncés d’évaluation
- 97
- Énoncés dont la preuve est recueillie automatiquement
- 32 %
- Énoncés où la plateforme aide
- 88,7 %
- Énoncés que seules des personnes peuvent faire
- 11,3 %
Une autoévaluation annuelle de 13 contrôles (Services publics et Approvisionnement Canada, 2026). Le modèle compte 21 contrôles NIST derrière eux et 6 politiques. Source : modèle d’effort Sagentix (sagentix-effort-2), calculé le 22 octobre 2026.
CMMC niveau 1
−73,4 %
d’heures de personnel avec la plateforme, pour une entreprise mature
| Heures de personnel | Entreprise mature | Nouvelle entreprise |
|---|---|---|
| À la main (modèle Sagentix) | 66,3 h | 107,3 h |
| Avec Sagentix Cybersécurité et IA | 17,6 h | 38,5 h |
| Heures épargnées | 48,7 h | 68,8 h |
| Heures en moins | 73,4 % | 64,1 % |
Entreprise mature
- Énoncés d’évaluation
- 95
- Énoncés dont la preuve est recueillie automatiquement
- 30,5 %
- Énoncés où la plateforme aide
- 88,4 %
- Énoncés que seules des personnes peuvent faire
- 11,6 %
Les 15 mesures de protection de la clause FAR 52.204-21, que la règle du DoD divise en 17 exigences de la NIST SP 800-171 Rev. 2 (U.S. Department of Defense, 2024). Le modèle compte 19 contrôles NIST derrière elles et 6 politiques. Source : modèle d’effort Sagentix (sagentix-effort-2), calculé le 22 octobre 2026.
La plateforme suggère un statut pour chaque exigence à partir des preuves; votre personnel fixe chaque statut, et le résultat est une autoévaluation. Les heures avec la plateforme comprennent 75 minutes de configuration. Une entreprise mature a déjà ses mesures de protection en place et doit seulement le montrer; le département de la Défense des États-Unis chiffre son propre niveau 1 selon cette hypothèse. Une nouvelle entreprise met d’abord chaque exigence en place, d’après les étapes de fournisseur que la plateforme donne pour sa pile (100 étapes pour le niveau 1 du PCCC sur Microsoft 365).
Votre pile change la réponse
La plateforme lit plus de paramètres sur certaines piles que sur d’autres. Nous publions la plus lente.
| Avec la plateforme | PCCC niveau 1 | CMMC niveau 1 |
|---|---|---|
| Microsoft 365 avec Intune | 17,2 h 36,1 % automatique nouvelle entreprise 31,8 h | 17,4 h 34,7 % automatique nouvelle entreprise 38,5 h |
| Google Workspace avec des ordinateurs Mac | 17,4 h 32 % automatique nouvelle entreprise 30,9 h | 17,6 h 30,5 % automatique nouvelle entreprise 36,7 h |
Comment un chiffre est obtenu
L’unité de travail est l’énoncé d’évaluation, compté une fois par contrôle, quel que soit le nombre d’exigences qui le partagent.
Pour chaque contrôle NIST que touche un niveau, nous prenons les énoncés de détermination que liste sa procédure d’évaluation de la SP 800-53A Rev. 5 (National Institute of Standards and Technology, 2022), et classons chacun dans l’une de trois catégories : une observation (un paramètre que l’on peut voir), un registre (un journal ou un registre tenu dans le temps) ou une attestation (un compte rendu écrit de la façon dont vous vous y prenez). Ce classement est le nôtre. Chaque catégorie reçoit un temps à la main et un temps avec la plateforme :
| Activité | À la main | Avec la plateforme |
|---|---|---|
| Énoncé d’observation À la main : trouver le paramètre, en faire une capture ou une exportation datée, la classer sous l’énoncé. Automatisé : une vérification du collecteur lit le paramètre chaque jour; une personne lit le résultat. | 20 min | 2 min quand une vérification du collecteur le lit |
| Énoncé de registre À la main : concevoir le registre, en remplir les lignes, le classer. Avec un modèle : le registre arrive en CSV avec les colonnes que demande un évaluateur; une personne remplit les blancs et le téléverse, et l’application le vérifie aussitôt. Prérempli (inventaire des appareils et examen des comptes, lorsque les outils de la pile signalent chaque appareil ou compte) : les lignes y sont déjà; une personne complète les cellules marquées [à remplir]. | 30 min | 11 min avec un modèle de registre |
| Énoncé d’attestation À la main : rédiger l’énoncé de la façon dont l’organisation s’y prend. Assisté : le copilote pose de trois à cinq questions simples et rédige l’énoncé à partir des réponses; une personne le modifie et l’accepte. | 15 min | 5 min |
| Politique, par famille de contrôles Par famille de contrôles que touche le niveau. À la main : rédiger une politique à partir de la NIST SP 800-53 et d’un modèle, en fixer chaque valeur, la mettre en forme. Générée : le générateur de politiques la rédige complète et à l’image de l’entreprise à partir du profil d’entreprise; une personne revoit les valeurs choisies et l’approuve (30 minutes, l’estimation du centre de commande dans src/routes/command.ts). | 240 min | 30 min |
| Énoncé de mise en œuvre, par exigence Par exigence : l’énoncé de mise en œuvre que lit un évaluateur. Assisté : rédigé par le copilote à partir des preuves et des réponses de la personne, préremplies à partir de l’écran Procédures; la personne le modifie et l’accepte. | 20 min | 4 min |
| Décision d’état, par exigence Par exigence : décider de l’état à partir des preuves et l’enregistrer. À la main : lire les preuves, décider, le noter. Avec la plateforme : la suggestion de chaque exigence et ses raisons sur une seule liste; une personne lit chaque ligne et accepte celles qui sont cochées d’un seul geste. | 3 min | 0,5 min |
| Nouvelle entreprise seulement : mettre une exigence en place Nouvelle entreprise seulement : mettre chaque exigence en place avant d’en faire la preuve, d’après les étapes de fournisseur que l’application donne pour la pile (src/data/requirement_steps.json; les étapes sans plateforme logicielle quand la pile n’en a pas). À la main : trouver le paramètre dans la documentation du fournisseur (45 minutes), 10 minutes par étape, 15 minutes pour l’essayer. Avec la plateforme : 8 minutes par étape, puisque le menu et la valeur exacts sont donnés, et 2 minutes pour confirmer lorsqu’une vérification du collecteur lit le paramètre (15 lorsqu’une personne doit l’essayer). L’inscription de chaque personne (un téléphone pour l’AMF, un portable pour le chiffrement) n’est pas comptée. | 45 min, puis 10 par étape, puis 15 pour l’essai | 8 min par étape, puis 2 pour confirmer (15 sans vérification) |
| Configuration, une fois Une fois, avec la plateforme seulement : confirmer le profil d’entreprise (10 minutes) et connecter les sources d’identité, d’appareils et de site Web dont la pile a besoin (environ 15 minutes chacune, selon l’estimation de src/routes/command.ts). | aucune | 75 min |
38
Observations
énoncés du niveau 1 du PCCC qu’une vérification du collecteur peut lire
36
Registres
dont 32 ont un modèle de registre aujourd’hui
23
Attestations
rédigées à partir d’une courte entrevue, révisées par une personne
Ce que Lean Six Sigma a changé
Nous avons cartographié chaque étape qu’une personne franchit jusqu’au niveau 1 du PCCC autoévalué, retiré le gaspillage trouvé, puis recalculé.
Six changements ont été livrés le 20 octobre 2026. Ensemble, ils font passer le niveau 1 du PCCC d’une entreprise mature de 19,5 à 17,4 heures de personnel sur la plateforme, et le niveau 1 du CMMC de 19,9 à 17,6. Le côté « à la main » ne bouge pas : seul compte le travail que la plateforme a retiré.
| Gaspillage | Ce qui a changé | Effet |
|---|---|---|
| Mouvement | Tous les états suggérés sur une seule liste, acceptés d’un seul geste (src/routes/suggestions.ts). Avant : chacune des 13 exigences ouverte par deux volets imbriqués pour lire une suggestion et appuyer sur un bouton. | Décision d’état avec la plateforme : 2 → 0,5 minute par exigence. |
| Mouvement | Une ligne enregistrée reste ouverte (public/app/frameworks.js). Avant : chaque enregistrement redessinait le tableau et refermait la ligne en cours. | Compris dans les minutes de K1 et de K4. |
| Ressaisie (traitement superflu) | L’inventaire des appareils et l’examen des comptes contiennent déjà les appareils et les comptes signalés par le collecteur (src/guides/record-prefill.ts). Avant : des feuilles vierges. | Ces registres : 12 → 8 minutes par énoncé, sur les piles dont les outils les signalent. |
| Ressaisie (traitement superflu) | L’entrevue de l’énoncé part des réponses de l’écran Procédures; l’adaptation d’une politique et le formulaire de politique lisent le profil d’entreprise (src/ai/copilot/statements.ts, src/routes/evidence.ts). Avant : les mêmes faits tapés deux ou trois fois. | Énoncé de mise en œuvre avec la plateforme : 5 → 4 minutes par exigence. |
| Défauts (reprise cachée) | Le résultat de la vérification d’un registre téléversé (lignes remplies, colonnes manquantes, cellules à remplir) s’affiche au téléversement (public/app/frameworks.js). Avant : découvert seulement en rouvrant l’exigence, puis corrigé et téléversé de nouveau. | Registres avec un modèle : 12 → 11 minutes par énoncé. |
| Pas un gaspillage : l’étape Mesurer du DMAIC | La plateforme mesure les délais à partir de ses propres enregistrements pour l’organisation de Sagentix (src/effort/measured.ts), afin que des temps mesurés remplacent ces hypothèses. | Aucune minute ne change; les délais mesurés sont publiés à côté du modèle. |
Le seul chiffre gouvernemental, et ce qu’il laisse de côté
Il chiffre l’évaluation. Notre chiffre à la main compte aussi le travail évalué.
Le département de la Défense des États-Unis chiffre l’autoévaluation et la déclaration du niveau 1 du CMMC d’une petite entité à 5 977 $US par année (U.S. Department of Defense, 2024, p. 83181). Ses postes totalisent 28,16 heures : 14 pour un directeur, 12 pour un fournisseur de services externe et 2,16 pour un spécialiste des TI (notre somme).
Il ne compte aucun travail de mise en place des mesures de protection, parce que « it is assumed the contractor or subcontractor has implemented the applicable security requirements » (U.S. Department of Defense, 2024, p. 83181). Notre modèle compte ce travail : les politiques, les registres et les preuves de chaque énoncé. Les deux chiffres répondent donc à des questions différentes, et nous ne présentons jamais celui du DoD comme le côté « à la main ».
Pour une entreprise qui part de rien, le chiffre public le plus proche vient d’une règle américaine proposée. Elle évalue la main-d’œuvre nécessaire pour mettre en œuvre la NIST SP 800-171 Rev. 2 à 1 560 heures en moyenne la première année d’une petite entreprise (U.S. Department of Defense et al., 2025, p. 4284). Cela couvre bien plus que le niveau 1, et la règle n’a jamais été finalisée : le Federal Register ne contenait aucune règle définitive le 20 octobre 2026.
Pour le niveau 1 du PCCC, nous n’avons trouvé aucune estimation du gouvernement du Canada de l’effort des fournisseurs lors de notre recherche du 20 octobre 2026. Si une estimation est publiée, elle figurera ici.
Ce qui changerait ces chiffres
Les minutes sont les nôtres. Aucun client n’a encore été chronométré. La première mesure réelle est l’autoévaluation du niveau 1 du PCCC de Sagentix elle-même, en cours sur la plateforme; à la fin, sa piste de vérification remplacera ces estimations par des temps mesurés, et cette page le dira.
Un énoncé qui a une vérification du collecteur compte comme automatisé même quand la vérification ne le couvre qu’en partie; une personne lit tout de même le résultat. Les temps d’attestation et de politique supposent que la rédaction par IA est activée. Sans elle, ces énoncés comptent au taux « à la main ».
Mesuré, et non plus modélisé. La plateforme chronomètre désormais le travail qu’elle enregistre pour l’organisation de Sagentix : le délai d’exécution, du premier au dernier événement, attente comprise, qui borne donc le modèle par le haut. Aucune activité n’a encore les 5 observations nécessaires pour publier une médiane (0 à ce jour).
Le chiffre de la plateforme baisse à mesure que l’automatisation arrive. Le flux est recalculé chaque jour à partir du catalogue (frameworks built 2026-10-18; 2049 collector checks; 9 record templates; 98 requirements with provider steps), et chaque nuit une ligne datée est gardée dès que les chiffres d’un niveau changent.
L’évolution des chiffres
- 21 octobre 2026, PCCC niveau 1 : 17,4 h avec la plateforme contre 65,4 h à la main (−73,4 %)
- 21 octobre 2026, CMMC niveau 1 : 17,6 h avec la plateforme contre 66,3 h à la main (−73,4 %)
Vous voulez les heures pour votre propre pile ?
Nous regardons les sources que vous utilisez et vous disons ce que la plateforme peut en lire aujourd’hui.
Références
- U.S. Department of Defense, General Services Administration, & National Aeronautics and Space Administration. (2025, 15 janvier). Federal Acquisition Regulation: Controlled unclassified information (Proposed rule). Federal Register, 90, 4278–4317. https://www.federalregister.gov/documents/2025/01/15/2024-30437/federal-acquisition-regulation-controlled-unclassified-information
- National Institute of Standards and Technology. (2022). Assessing security and privacy controls in information systems and organizations (NIST Special Publication 800-53A, Rev. 5). https://doi.org/10.6028/NIST.SP.800-53Ar5
- Services publics et Approvisionnement Canada. (2026, 29 septembre). Aperçu du programme : Programme canadien de certification en cybersécurité. Gouvernement du Canada. https://www.canada.ca/fr/services-publics-approvisionnement/services/securite-industrielle/exigences-securite-contrats/certification-fournisseurs-secteur-defense-canada-concernant-cybersecurite/apercu-programme.html
- U.S. Department of Defense. (2024, 15 octobre). Cybersecurity Maturity Model Certification (CMMC) program (Final rule). Federal Register, 89, 83092–83237. https://www.federalregister.gov/documents/2024/10/15/2024-22905/cybersecurity-maturity-model-certification-cmmc-program