NIST Cybersecurity Framework (CSF)
Le cadre de cybersécurité du NIST Cybersecurity Framework constitue la méthode la plus largement adoptée pour organiser un programme de sécurité dans un langage clair et axé sur les résultats, sans prescrire précisément la manière d’y parvenir. Il s’articule autour de six fonctions — Gouverner, Identifier, Protéger, Détecter, Réagir et Restaurer — et sa véritable force réside dans le fait qu’il ne s’agit pas d’une liste de produits à acheter, mais d’une structure permettant de réfléchir à ce qu’un programme de sécurité abouti doit réellement accomplir, à un niveau de maturité que votre organisation est réellement en mesure de maintenir.
Le CSF 2.0 a ajouté la « gouvernance » en tant que fonction à part entière, ce qui était attendu depuis longtemps — cela formalise l’idée selon laquelle la gestion des risques liés à la cybersécurité relève de la responsabilité du leadership et de la gouvernance, et non d’une simple responsabilité technique. Ce changement est important car les organisations qui tirent le meilleur parti du CSF sont celles qui le considèrent comme un moyen d’aligner les investissements en matière de sécurité sur les risques métier réels et de travailler véritablement avec la direction, plutôt que comme un tableau de bord interne destiné à une équipe technique que personne au-dessus du niveau de directeur ne consulte jamais.
À qui s'adresse ce document ?
Les organisations de toute taille qui souhaitent disposer d’un moyen crédible et reconnaissable de décrire leur posture de sécurité — à l’intention d’un conseil d’administration, d’un assureur, d’un client procédant à une vérification préalable, ou pour elles-mêmes — sans imposer un régime de conformité standardisé à une entreprise qui n’en a pas besoin. Le CSF s’adapte aussi bien à une petite entreprise qu’à une grande, car il est délibérément flexible en matière de mise en œuvre ; ce cadre vous indique quels résultats comptent, et non quel outil spécifique doit les produire.
Comment j’aborderais la question
Je commencerais par une évaluation de l’état actuel par rapport aux six fonctions — en étant honnête sur votre situation réelle, et non sur celle que le modèle de maturité d’un fournisseur vous incite à viser. Ensuite, je vous aiderais à définir des profils cibles adaptés à vos risques et à vos ressources réels, car viser un niveau de maturité que votre organisation ne peut pas soutenir sur le plan opérationnel est pire que d’en choisir un réaliste et de le mettre en œuvre correctement. À partir de là, il faudrait établir une feuille de route hiérarchisée qui comble en priorité les lacunes les plus importantes, ainsi qu’un moyen de suivre les progrès que la direction puisse réellement comprendre sans avoir besoin d’un intermédiaire. Le CSF fonctionne mieux sous la forme d’un dialogue continu, et non d’une évaluation ponctuelle : les risques évoluent, et le cadre est conçu pour être réexaminé.
Si vous souhaitez disposer d’un cadre que les dirigeants utiliseront réellement pour prendre des décisions en matière de sécurité, voyons par où commencer.