Cadre NIST CSF et norme minimale TIC : mesurer la maturité cyber

Informatique de gestion · Master 1

Fonctions du NIST CSF, niveaux de maturité et lien avec la norme minimale suisse pour les TIC.

Introduction

Pour piloter la cybersécurité, la direction a besoin d'un langage commun et d'une mesure de progrès. Le Cybersecurity Framework (CSF) du NIST, publié aux États-Unis puis largement adopté dans le monde, organise les activités en fonctions. La version 2.0 en compte six : gouverner (stratégie, rôles, politiques, gestion des risques de la chaîne d'approvisionnement), identifier (actifs, risques), protéger (accès, formation, sécurité des données), détecter (surveillance, analyse d'événements), répondre (gestion et communication d'incident) et rétablir (reprise après incident).

Le cadre n'est pas une certification mais une méthode : on établit un profil actuel, on définit un profil cible selon le contexte et le risque, puis on planifie les écarts à combler. Des niveaux de maturité permettent de suivre les progrès et de comparer des services ou des fournisseurs. Cette logique diffère d'ISO/IEC 27001, norme certifiable de système de management qui exige des preuves d'amélioration continue et de documentation ; les deux approches se complètent.

En Suisse, l'Office fédéral pour l'approvisionnement économique du pays (OFAE) a publié une norme minimale pour améliorer la résilience informatique, qui s'appuie sur le NIST CSF. Elle s'adresse en priorité aux exploitants d'infrastructures critiques et peut servir de référentiel à toute organisation, par exemple pour évaluer son niveau de maturité et prioriser ses mesures.

Objectifs d'apprentissage

Nommer les fonctions du NIST CSF 2.0 et leur finalité
Construire un profil actuel et un profil cible
Comparer NIST CSF et ISO/IEC 27001
Situer la norme minimale suisse pour les TIC
Prioriser des mesures à partir d'un écart de maturité

Concepts clés

Six fonctions: Gouverner, identifier, protéger, détecter, répondre, rétablir : une vue complète du cycle de la cybersécurité.
Profil actuel et cible: État présent des pratiques et état visé selon le risque, dont l'écart structure le plan d'action.
Maturité: Échelle qui décrit le degré de formalisation et d'efficacité d'une pratique.
CSF et ISO 27001: Le CSF est un cadre de référence non certifiable ; ISO 27001 est un système de management certifiable.
Norme minimale TIC: Référentiel suisse inspiré du NIST CSF pour renforcer la résilience informatique, surtout des infrastructures critiques.

Conclusion

Le NIST CSF fournit un langage structuré pour parler de cybersécurité avec la direction et mesurer des progrès. La norme minimale suisse en propose une déclinaison adaptée, et ISO 27001 complète l'approche lorsqu'une certification est utile.

Pour l'examen : les six fonctions, la logique de profils et d'écarts, la comparaison avec ISO 27001, les limites d'un score de maturité.

Cartes

Quelles sont les six fonctions du NIST CSF 2.0 ?: Gouverner, identifier, protéger, détecter, répondre, rétablir.
Quelle fonction a été ajoutée dans la version 2.0 ?: Gouverner (govern), qui couvre stratégie, rôles, politiques et supervision des risques.
Le NIST CSF est-il certifiable ?: Non : c'est un cadre de référence volontaire, contrairement à ISO/IEC 27001.
Qu'est-ce qu'un profil cible ?: L'état de cybersécurité visé, défini selon les risques, les ressources et les exigences de l'organisation.
Comment utilise-t-on l'écart entre profils ?: On liste les mesures nécessaires, on les priorise par risque et coût, et on planifie leur réalisation.
Quelle fonction couvre la surveillance des événements ?: Détecter.
Quelle fonction englobe la reprise après incident ?: Rétablir.
Sur quel cadre s'appuie la norme minimale suisse pour les TIC ?: Sur le NIST Cybersecurity Framework.
À qui s'adresse en priorité la norme minimale suisse ?: Aux exploitants d'infrastructures critiques, mais elle peut servir de référence à toute organisation.
Pourquoi mesurer la maturité plutôt que cocher des mesures ?: Pour évaluer l'efficacité et la formalisation des pratiques et suivre les progrès dans le temps.
Quelle limite présente un score de maturité unique ?: Il masque les écarts entre domaines et ne remplace pas l'analyse de risque propre au contexte.

Glossaire

NIST CSF: Cadre américain de référence pour structurer la gestion des risques cyber.
Profil: Description des pratiques de cybersécurité d'une organisation selon les catégories du cadre.
Niveau de maturité: Degré de formalisation, de mise en œuvre et d'amélioration d'une pratique.
Infrastructure critique: Ensemble de systèmes dont la défaillance aurait de graves conséquences pour la population ou l'économie.
Chaîne d'approvisionnement: Ensemble des fournisseurs et prestataires dont dépend l'organisation.
Écart (gap): Différence entre l'état actuel et l'état visé.