Le cadre de cybersécurité du NIST

Le cadre de cybersécurité NIST (CSF) est un cadre volontaire fondé sur le risque, publié par l’Institut national des normes et de la technologie, organisme des US. Il est volontairement neutre sur le plan technologique et adaptable à toute taille d’organisation ou à tout secteur.

Sa force réside dans une structure simple et mémorisable pour organiser un programme de sécurité. Initialement conçu pour les infrastructures critiques, il est désormais largement utilisé dans le monde comme langage commun pour les risques de cybersécurité.

Le cœur du CSF est le Noyau, organisé en fonctions de haut niveau. Les cinq fonctions classiques sont :

• Identifier — comprendre vos actifs et vos risques.
• Protéger — mettre en place des mesures de protection.
• Détecter — repérer les événements lorsqu’ils se produisent.
• Répondre — agir face aux incidents détectés.
• Rétablir — restaurer et tirer des enseignements.

Le CSF 2.0 (2024) ajoute une sixième fonction, Gouverner, qui encadre les autres par une supervision et une stratégie.

Identifier permet de développer la compréhension de l’organisation nécessaire à la gestion des risques. Vous ne pouvez pas protéger ce que vous ignorez posséder.

• Gestion des actifs : matériel, logiciels, données et services.
• Environnement métier et dépendances critiques.
• Évaluation des risques et stratégie de gestion des risques.
• Risques liés à la chaîne d’approvisionnement.

Cette fonction répond à la question de quoi disposons-nous et quelles menaces pèsent sur ces éléments ? Tout ce qui suit dépend de la qualité de cette étape.

Protéger met en œuvre des mesures de protection pour limiter ou contenir l’impact d’un événement. C’est l’essentiel des contrôles préventifs :

• Gestion des identités et contrôle d’accès (moindre privilège, MFA).
• Sensibilisation et formation.
• Sécurité des données, chiffrement au repos et en transit.
• Maintenance et technologies de protection (durcissement, application de correctifs).

La fonction Protéger réduit la probabilité et l’ampleur potentielle des incidents avant qu’ils ne se produisent.

Détecter définit les activités permettant d’identifier rapidement un événement de cybersécurité. La prévention finit toujours par échouer ; la détection est donc essentielle.

• Surveillance continue de la sécurité (SIEM, EDR, capteurs réseau).
• Détection des anomalies et des événements, en connaissant votre référence de fonctionnement.
• Processus de détection vérifiés et maintenus.

L’indicateur est ici le délai de détection : plus une menace reste invisible longtemps, plus les dommages qu’elle cause sont importants.

Répondre couvre les actions entreprises lorsqu’un incident est détecté, afin d’en contenir l’impact.

• Planification de la réponse : un plan documenté de réponse aux incidents.
• Communications internes et externes, y compris avec les services juridiques et les relations publiques (PR).
• Analyse : compréhension du périmètre et de la cause racine.
• Atténuation : confinement et éradication de la menace.

C’est ici que se trouvent les manuels opérationnels SOAR et les guides d’intervention IR. Une réponse bien préparée et répétée réduit l’impact de toute compromission.

Rétablir restaure les capacités perturbées par un incident et réinjecte les enseignements dans le programme.

• Planification du rétablissement et sauvegardes vérifiées.
• Améliorations : revue post-incident qui met à jour les contrôles.
• Communications pendant le rétablissement.

La fonction Rétablir boucle le processus. L’étape de retour d’expérience après un incident transforme une compromission douloureuse en un programme plus solide, plutôt qu’en une erreur répétée.

Le CSF 2.0 a introduit Gouverner comme une fonction qui couvre toutes les autres. Elle établit et surveille la stratégie de gestion des risques de cybersécurité de l’organisation, ainsi que ses attentes et sa politique.

• Rôles, responsabilités et obligation de rendre compte.
• Stratégie de gestion des risques alignée sur les objectifs de l’entreprise.
• Politique et supervision, y compris la participation du conseil d’administration.

La fonction Gouverner montre que la cybersécurité relève de la direction et des risques de l’entreprise, et pas seulement de la technique.

Chaque fonction se subdivise en catégories et en sous-catégories (résultats spécifiques), référencées par des codes.

Le CSF définit des niveaux de mise en œuvre décrivant le degré de maturité et d'intégration de votre gestion des risques, du niveau 1 au niveau 4 :

• Niveau 1 Partiel — au cas par cas, réactif.
• Niveau 2 Fondé sur les risques — pratiques approuvées, mais pas à l'échelle de l'organisation.
• Niveau 3 Reproductible — politiques formelles, appliquées de manière cohérente.
• Niveau 4 Adaptatif — en amélioration continue, guidé par les menaces.

Les niveaux ne constituent pas un score de maturité à maximiser aveuglément ; choisissez celui qui correspond à vos risques et à vos ressources.

Le CSF devient concret grâce aux profils. Établissez-en deux et comparez-les :

• Un profil actuel — les résultats que vous obtenez aujourd'hui.
• Un profil cible — les résultats dont vous avez besoin compte tenu de vos risques et de vos objectifs commerciaux.

L'écart entre les deux constitue votre feuille de route priorisée. Cette analyse des écarts transforme le cadre abstrait en un plan concret et budgétisé : commencez par combler les écarts présentant les risques les plus élevés. C'est ainsi que le CSF guide les décisions d'investissement au lieu de rester un simple document de référence.

Associez une activité à la Fonction appropriée du CSF.

Le cadre de cybersécurité NIST :

• Une structure volontaire, fondée sur les risques et neutre sur le plan technologique, pour organiser un programme de sécurité.
• Fonctions principales : Identifier, Protéger, Détecter, Répondre, Rétablir, ainsi que Gouverner (ajoutée dans le CSF 2.0), qui les englobe toutes.
• Identifier permet de connaître les actifs et les risques ; Protéger prévient ; Détecter repère les événements ; Répondre les contient ; Rétablir restaure les capacités et permet de tirer les leçons.
• Les Fonctions se décomposent en Catégories et Sous-catégories (résultats codifiés) ; un Profil est l'ensemble que vous ciblez.
• Les niveaux de mise en œuvre (de 1 Partiel à 4 Adaptatif) décrivent la maturité ; choisissez celui qui correspond à vos risques, sans chercher à maximiser le niveau aveuglément.