Référentiels de conformité

La conformité consiste à respecter les exigences de sécurité définies par les lois, les réglementations ou les normes du secteur. Les référentiels fournissent aux organisations un ensemble structuré et reconnu de contrôles à mettre en œuvre et à démontrer.

La conformité n’est pas synonyme de sécurité, mais un bon référentiel favorise de réelles améliorations.

ISO/IEC 27001 est une norme internationale relative à un ISMS (système de management de la sécurité de l’information). Elle est fondée sur les risques : vous identifiez les risques, sélectionnez des contrôles (issus de l’annexe A) et vous améliorez continuellement.

• La certification est délivrée par des auditeurs accrédités.
• L’accent est mis sur le processus de management, et pas uniquement sur la technologie.

SOC 2 (contrôles des systèmes et de l’organisation) est un rapport d’attestation, courant chez les fournisseurs de logiciels en tant que service, fondé sur les critères des services de confiance de l’AICPA : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée.

• Type I : contrôles conçus à un instant donné.
• Type II : contrôles fonctionnant efficacement pendant une période donnée.

PCI DSS (norme de sécurité des données de l’industrie des cartes de paiement) s’applique à toute organisation qui stocke, traite ou transmet des données de titulaires de cartes. Elle est prescriptive et comporte des exigences concrètes.

• Chiffrez les données des titulaires de cartes et utilisez une segmentation réseau.
• Limitez l’access selon le principe du besoin d’en connaître.
• Effectuez régulièrement des vérifications et une surveillance.

Vous rencontrerez également :

• GDPR : protection des données et vie privée dans l’EU.
• HIPAA : données de santé aux US.
• NIST CSF / 800-53 : référentiel et catalogue de contrôles des US.

De nombreux référentiels se recoupent ; les contrôles peuvent donc être mis en correspondance entre plusieurs référentiels.

Les référentiels se situent sur un continuum :

• Fondé sur les risques (ISO 27001) : vous choisissez des contrôles proportionnés à vos risques.
• Prescriptif (PCI DSS) : des exigences obligatoires précises, quel que soit le contexte.

Connaître le type de référentiel vous indique dans quelle mesure vous pouvez adapter les contrôles.

La définition du périmètre est la première étape concrète. Le périmètre détermine les systèmes, les données et les processus auxquels le référentiel s’applique.

Pour PCI DSS, la segmentation peut réduire le périmètre (et les coûts) en isolant les systèmes contenant des données de titulaires de cartes du reste du réseau.

Les référentiels organisent les exigences en contrôles, souvent regroupés en familles telles que le contrôle de access, la cryptographie, la journalisation et la réponse aux incidents.

Chaque contrôle nécessite un responsable, une mise en œuvre et des preuves de son bon fonctionnement.

Les résultats diffèrent selon le référentiel :

• Certification (ISO 27001) : certificat de réussite ou d’échec délivré par un organisme accrédité.
• Attestation (SOC 2) : rapport d’opinion d’un auditeur partagé sous NDA.
• Validation (PCI DSS) : un AOC et/ou un ROC émis par un QSA.

La conformité n’est pas un événement ponctuel. Les normes exigent un fonctionnement continu, une réévaluation périodique et des améliorations.

• ISO 27001 exige des audits de surveillance.
• SOC 2 Type II couvre une période de plusieurs mois.
• PCI DSS exige des analyses trimestrielles et une évaluation annuelle.

La plupart des organisations doivent appliquer plusieurs référentiels simultanément. Établissez une mise en correspondance des contrôles afin qu’un contrôle bien mis en œuvre (par exemple MFA) satisfasse simultanément l’exigence correspondante dans ISO 27001, SOC 2 et PCI DSS, en évitant le travail en double.

Associez chaque référentiel à sa nature.

Les référentiels de conformité structurent et démontrent la sécurité :

• ISO 27001 = certification d’un ISMS fondé sur les risques.
• SOC 2 = attestation relative aux critères des services de confiance pour les fournisseurs de services.
• PCI DSS = norme prescriptive pour les données de titulaires de cartes.
• Définissez le périmètre, désignez les responsables des contrôles et mettez en correspondance les contrôles qui se recoupent afin de gagner en efficacité.