Cadres de gestion des risques : NIST CSF et ISO 27001

Les équipes de sécurité font face à une infinité de contrôles potentiels et à des ressources limitées. Les cadres de gestion des risques fournissent des vocabulaires structurés, des catalogues de contrôles et des méthodes d’évaluation qui aident les organisations à hiérarchiser leurs investissements en sécurité, à communiquer les risques à la direction et à démontrer leur conformité.

Le NIST CSF (version 2.0) organise les activités de cybersécurité en six fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. Chaque fonction contient des catégories et des sous-catégories correspondant à des résultats de sécurité précis. Il est largement adopté dans les infrastructures critiques des US et au-delà.

La fonction Identifier couvre la gestion des actifs, l’évaluation des risques, la stratégie de gestion des risques et la gestion des risques liés à la chaîne d’approvisionnement. Vous ne pouvez pas protéger ce dont vous ignorez l’existence. Des inventaires complets des actifs et des évaluations des risques constituent le fondement de tous les contrôles de sécurité ultérieurs.

La fonction Protéger englobe le contrôle d’accès, la formation, la sécurité des données, le renforcement des processus et la maintenance. La fonction Détecter couvre les anomalies, les événements de sécurité et la surveillance continue. Une fonction Détecter mature évite qu’un attaquant reste longtemps présent en détectant rapidement les intrusions.

La fonction Répondre définit la planification de la réponse aux incidents, les communications, l’analyse, l’atténuation et les améliorations. La fonction Rétablir couvre la planification du rétablissement, les améliorations et les communications. La vérification des plans de réponse aux incidents (IR) et des procédures de rétablissement garantit leur bon fonctionnement au moment voulu.

ISO 27001 est une norme internationale relative aux systèmes de management de la sécurité de l’information (ISMS). Elle précise les exigences pour établir, mettre en œuvre, maintenir et améliorer continuellement un ISMS. La certification ISO 27001 démontre auprès des clients et des autorités de réglementation que la sécurité a été validée par un tiers.

L’annexe A d’ISO 27001:2022 contient 93 contrôles organisés en quatre thèmes : organisationnel (37 contrôles), personnes (8), physique (14) et technologique (34). L’annexe A est un catalogue d’options : sélectionnez les contrôles adaptés à votre profil de risque au moyen de la déclaration d’applicabilité (SoA).

Le processus de traitement des risques de l’ISMS consiste à identifier les actifs, à identifier les menaces et les vulnérabilités, à évaluer la vraisemblance et l’impact, à choisir un traitement (accepter, éviter, transférer ou atténuer), à sélectionner les contrôles de l’annexe A et à documenter le tout dans la déclaration d’applicabilité (SoA). L’examen annuel de l’évaluation des risques permet de maintenir l’ISMS à jour.

Le NIST CSF est un cadre destiné à organiser et à améliorer les pratiques de cybersécurité, et non une norme de certification. ISO 27001 est une norme certifiable dotée d’un périmètre d’ISMS et d’un audit réalisé par un tiers. De nombreuses organisations utilisent les deux : le NIST CSF pour les orientations opérationnelles et ISO 27001 pour la certification et la confiance des clients.

Le NIST CSF définit quatre niveaux de maturité (Partiel → Informé par le risque → Répétable → Adaptatif). Les niveaux de maturité de sécurité du CMMI suivent une logique similaire. Utilisez les évaluations de maturité pour identifier les lacunes et définir des feuilles de route d’amélioration présentant des progrès mesurables et progressifs vers une maturité de sécurité supérieure.

Le NIST CSF et ISO 27001 correspondent aux principales réglementations et référentiels : PCI-DSS, HIPAA, GDPR, SOC 2 et NIST 800-53. L’utilisation d’un cadre simplifie la conformité à plusieurs réglementations : démontrer la mise en œuvre d’un contrôle de la fonction Protéger du NIST CSF satisfait généralement des exigences similaires dans plusieurs cadres réglementaires à la fois.

Quel est l’objectif de la déclaration d’applicabilité (SoA) dans ISO 27001 ?

Le NIST CSF et ISO 27001 proposent des approches complémentaires de la gouvernance de la sécurité. Le NIST CSF organise les activités de sécurité autour des fonctions Gouverner/Identifier/Protéger/Détecter/Répondre/Rétablir pour fournir des orientations opérationnelles, tandis qu’ISO 27001 fournit un cadre ISMS certifiable doté d’un processus formel de traitement des risques et d’un catalogue de contrôles de l’annexe A.