Glossaire de conformité
Qu’est-ce que le NIST CSF 2.0?
Le NIST CSF 2.0 (National Institute of Standards and Technology Cybersecurity Framework, version 2.0, publiée en 2024) est un cadre de cybersécurité volontaire et fondé sur les risques, organisé autour de six fonctions : gouverner, identifier, protéger, détecter, répondre et rétablir.
En une phrase : le NIST CSF 2.0 est le cadre général que la plupart des assureurs en cyberassurance et des acheteurs d’entreprise utilisent pour décrire leur posture de sécurité, organisé en six fonctions en langage clair, de la gouvernance au rétablissement.
Définition
Le NIST CSF a été publié à l’origine en 2014 (version 1.0), puis mis à jour en 2018 (1.1) et en 2024 (2.0). La version 2.0 a ajouté la fonction Gouverner, étendu la portée des infrastructures essentielles à tous les secteurs et accordé plus de place à la gestion des risques de la chaîne d’approvisionnement.
Le cadre est volontaire dans la plupart des contextes, mais il est cité par des organismes de réglementation fédéraux américains, des lois étatiques sur la vie privée, des assureurs en cyberassurance et des processus d’approvisionnement d’entreprises partout dans le monde. Il est conçu pour s’adapter des petites organisations aux grandes entreprises.
Le NIST CSF est accompagné de références informatives qui associent les sous-catégories à des catalogues de contrôles précis (NIST SP 800-53, CIS Controls, ISO 27001, COBIT, ISA/IEC 62443). Ces références informatives font du NIST CSF un cadre général utile au-dessus de cadres plus spécifiques.
Composantes principales
Six fonctions, réparties en catégories et en sous-catégories, mesurées par rapport à des niveaux et à des profils.
Six fonctions
Gouverner (GV), Identifier (ID), Protéger (PR), Détecter (DE), Répondre (RS) et Rétablir (RC). La version 2.0 a ajouté Gouverner.
Catégories et sous-catégories
Les fonctions se divisent en catégories comme la gestion des actifs, l’évaluation des risques et la gestion des identités. Les catégories se divisent en sous-catégories qui énoncent des résultats précis.
Niveaux de mise en œuvre
Quatre niveaux (partiel, éclairé sur les risques, reproductible, adaptatif) qui décrivent comment le risque de cybersécurité est géré dans une organisation.
Profil (actuel et cible)
Les résultats actuels d’une organisation en cybersécurité par rapport à son état cible. L’écart guide les améliorations priorisées.
Références informatives
Correspondances avec des catalogues de contrôles précis (NIST SP 800-53, CIS Controls, ISO 27001, COBIT, ISA/IEC 62443).
Fonction Gouverner (nouvelle dans la version 2.0)
Stratégie, attentes et politique qui orientent le programme de cybersécurité. Passée d’un sous-élément d’Identifier dans la version 1.1 à une fonction à part entière dans la version 2.0.
Pourquoi c’est important
Le NIST CSF est devenu le cadre le plus cité dans les évaluations de cyberassurance. Les assureurs posent des questions sur la maturité NIST CSF parce que la structure en fonctions rend la posture comparable d’un demandeur à l’autre, ce que ne font pas les inventaires de contrôles propres à un cadre.
Pour les FSG, la correspondance avec le NIST CSF est la façon dont les assureurs de la plupart des clients poseront leurs questions sur les contrôles. « Quelle est votre maturité NIST CSF 2.0? » figure chaque année dans plus de questionnaires.
Au-delà de l’assurance, le cadre structure les décisions d’investissement en sécurité. La visibilité (Identifier), la mise en œuvre des contrôles (Protéger), la surveillance (Détecter), la réponse aux incidents (Répondre) et le rétablissement (Rétablir) offrent un vocabulaire de planification même en dehors des contextes de conformité formels.
Comment Lavawall® vous aide avec le NIST CSF 2.0
Lavawall® intègre le NIST CSF 2.0 comme cadre de première classe. Les six fonctions correspondent aux preuves en direct recueillies sur les postes Windows, macOS et Linux et sur les locataires M365, Entra, Azure et Google Workspace.
Les rapports de posture pour la cyberassurance, mis en forme comme la plupart des assureurs l’attendent, sont produits à partir des preuves en direct; les renouvellements d’assurance cessent donc d’être une course contre la montre.
La notation des niveaux et de la maturité montre l’état actuel, l’état cible et l’écart entre les deux, afin que le FSG puisse planifier les correctifs sur le prochain trimestre comme sur le prochain renouvellement.
Questions fréquentes
- Qu’est-ce qui a changé entre NIST CSF 1.1 et 2.0?
- La version 2.0 a ajouté la fonction Gouverner, étendu la portée au-delà des infrastructures essentielles à tous les secteurs et accordé plus de place à la gestion des risques de la chaîne d’approvisionnement.
- Le NIST CSF est-il la même chose que le NIST SP 800-171 ou 800-53?
- Non. Le CSF est le cadre de haut niveau. Le SP 800-53 est un catalogue de contrôles pour les systèmes fédéraux. Le SP 800-171 est l’ensemble de 110 contrôles qui protège les renseignements non classifiés contrôlés chez les entrepreneurs fédéraux. Le CSF renvoie aux deux comme références informatives.
- Le NIST CSF est-il obligatoire?
- Non, il est volontaire dans la plupart des contextes. Des décrets présidentiels américains, certaines lois étatiques sur la vie privée et de nombreuses exigences d’approvisionnement des grandes entreprises y font référence, et les assureurs en cyberassurance l’utilisent couramment comme cadre d’évaluation.