Référentiels cybersécurité : guide de l’architecture de sécurité informatique

Les référentiels cybersécurité permettent de structurer la cybersécurité en harmonisant les risques, les contrôles et les responsabilités d’une équipe à l’autre pour favoriser la mise en place d’une architecture de sécurité cohérente.

Sommaire

1. Comparatif des référentiels cybersécurité
2. ISO 27001
3. NIST Cybersecurity Framework
4. Contrôles CIS
5. Architecture TOGAF
6. Zachman framework
7. SABSA architecture framework
8. COBIT framework
9. Matrice Mitre Att&ck

Points clés à retenir : les référentiels cybersécurité

• Les référentiels de sécurité en entreprise fournissent un cadre cohérent et une orientation stratégique
• Les différents cadres existants servent différents objectifs et exigent des niveaux de détail et des efforts d’implémentation différents
• Les principaux référentiels cybersécurité sont la norme ISO 27001, le NIST CSF, les contrôles CIS, COBIT, SABSA, TOGAF, Zachman et MITRE ATT&CK
• La matrice aide les entreprises à choisir le référentiel qui correspond à leurs risques et à leurs exigences
• Il est fréquent de combiner plusieurs référentiels
• SoSafe accompagne la gestion du risque humain en axant son action d’après les principaux référentiels de cybersécurité

Les référentiels, des fondements pour l’architecture de sécurité informatique

L’architecture de sécurité informatique offre un cadre structuré pour transformer des mesures isolées en culture homogène de la sécurité. Les référentiels cybersécurité permettent de clarifier la situation de l’entreprise, de définir les responsabilités et d’inscrire la cybersécurité dans la stratégie globale de l’entreprise. Lorsque les bons référentiels cybersécurité sont mis en place, ils offrent aux RSSI une vue d’ensemble sur des paysages informatiques complexes et contribuent à garantir que les contrôles techniques et organisationnels fonctionnent de manière coordonnée, au lieu d’être appliqués au cas par cas.

Problèmes posés par l’absence d’un cadre unifié

Lorsqu’une entreprise n’a pas de référentiel de cybersécurité clair, ses activités de sécurité restent souvent fragmentées. Chaque service a sa propre approche. Des failles apparaissent alors entre ces différentes manières de procéder et les attaquants ont beau jeu de les exploiter. À ceci s’ajoute que les services commerciaux et l’informatique n’ont pas toujours les mêmes points de vue, ce qui ralentit les décisions et complique encore l’implémentation. Dans le même temps, les réglementations et les normes de conformité sont de plus en plus exigeantes. Il devient indispensable d’adopter une approche cohérente, ce qui est beaucoup plus facile à mettre en place et à maintenir lorsque des référentiels cybersécurité robustes ont déjà été appliqués.

Critères de comparaison pour les référentiels de cybersécurité en entreprise

Le choix d’un cadre est une étape centrale dans la conception d’une architecture cohérente pour la sécurité d’une entreprise. Les référentiels existants servent différents objectifs et n’exigent pas le même niveau de détail ni le même travail d’implémentation. Comparez-les de manière structurée pour mieux cerner les domaines dans lesquels chaque cadre est performant, leurs différentes limites et les référentiels de cybersécurité correspondent à votre stratégie d’entreprise, à vos opérations quotidiennes et à la pression réglementaire qui s’applique dans votre situation. Pour étudier les principaux référentiels de cybersécurité, il est particulièrement utile de cibler certains critères.

Voici les critères les plus importants :

• Objectif et portée : certains référentiels de cybersécurité en entreprise, comme COBIT ou la norme ISO 27001 par exemple, se concentrent sur les systèmes de gestion tandis que d’autres, comme les CIS Controls, proposent des listes de mesures concrètes de contrôle.
• Niveau de détail : si l’on compare les référentiels SABSA et TOGAF, par exemple, on voit bien qu’il s’agit de deux styles très différents. SABSA part des risques et des objectifs de l’entreprise, tandis que TOGAF se concentre sur la structure du paysage informatique.
• Effort d’implémentation : TOGAF implique généralement une grande complexité et demande beaucoup de temps et de ressources. Les CIS Controls sont beaucoup moins chronophages et peuvent souvent être déployés étape par étape avec peu d’efforts de base.
• Pertinence pour la conformité : les référentiels COBIT et NIST, par exemple, donnent tous deux des orientations sur la gouvernance, tandis que la norme ISO 27001 favorise, en parallèle, une certification formelle et permet d’apporter la preuve de votre SMSI auprès d’intervenants externes.
• Actualité : TOGAF et COBIT remontent tous deux aux années 1990, mais ont été révisés à plusieurs reprises et sont toujours utilisés, à l’heure actuelle, pour structurer les travaux d’architecture et de gouvernance.
• Compatibilité : les référentiels cybersécurité sont rarement utilisés de manière isolée. TOGAF peut fournir le cadre architectural, que l’on complètera par des modèles de gouvernance ou des référentiels de gestion du risque. Il suffit d’étudier les cadres TOGAF et Zachman, par exemple, pour voir à quel point les méthodes d’architecture peuvent associer différemment l’informatique et la partie commerciale.

Le tableau comparatif ci-dessous récapitule ces différents critères pour les principaux référentiels de cybersécurité en entreprise. Vous aurez ainsi un aperçu rapide des priorités servies par les différents référentiels et de la manière dont ceux-ci peuvent soutenir une architecture de sécurité informatique plus large.

Tableau comparatif des principaux référentiels

Testez notre plateforme de gestion du risque humain

Réserver une démo

Profitez d’une formation basée sur les normes NIST, ISO/CEI27001, CIS Controls et sur d’autres référentiels pour inscrire la sécurité dans votre quotidien.

ISO 27001

Le référentiel ISO 27001 est la norme la plus connue pour les systèmes de management de la sécurité de l’information (SMSI). Il est souvent utilisé comme point d’ancrage pour les référentiels de cybersécurité en entreprise. Il couvre les contrôles techniques et organisationnels et fournit aux entreprises un modèle clair pour exploiter et améliorer un SMSI. Avantage pratique : les entreprises peuvent faire certifier leur SMSI selon la norme ISO 27001 et l’utiliser comme preuve externe lorsqu’elles présentent leur architecture de sécurité informatique à leurs clients, à leurs partenaires ou aux organismes de régulation. La version de 2022 traite des menaces actuelles et peut être mise en correspondance avec des exigences telles que NIS2 et le règlement DORA. C’est l’une des raisons pour laquelle la norme ISO 27001 est très fréquemment adoptée dans les environnements réglementés.

Vidéo : informations pratiques sur la norme ISO 27001

Dans cette vidéo, Jörg Buss, l’un des premiers experts de la norme ISO 27001 en Allemagne, explique comment la sécurité de l’information a évolué au fil du temps et comment les organisations peuvent se préparer aux nouvelles réglementations telles que la directive NIS2.

NIST Cybersecurity Framework

Le référentiel NIST Cybersecurity Framework (NIST CSF) structure le travail de sécurité en 5 fonctions clés : Identifier, Protéger, Détecter, Répondre et Récupérer. Dans la version 2.0, le NIST a ajouté une fonction intitulée Gouverner pour que les rôles, les responsabilités et la prise de décision soient plus visibles. Cette nouvelle version se penche aussi davantage sur les risques liés à la chaîne d’approvisionnement et sur la manière dont les résultats peuvent être mesurés en pratique. NIST CSF n’est pas une norme de certification, mais il est souvent utilisé comme référence et mis en correspondance avec les exigences réglementaires. De nombreuses entreprises l’utilisent pour la gestion de la gouvernance dans leur architecture de sécurité informatique. Parallèlement au référentiel, la norme NIST SP 800-207 décrit l’architecture Zero Trust comme une alternative aux modèles classiques basés sur le périmètre.

Contrôles CIS

Les Contrôles CIS constituent une liste de mesures concrètes à prendre pour parer les cyberattaques les plus fréquentes. Contrairement aux référentiels de cybersécurité plus larges comme NIST CSF ou la norme ISO 27001, les CIS Controls proposent des mesures de protection individuelles, testables et organisées selon un ordre de priorité clairement défini. Elles couvrent des tâches de base comme l’inventaire des actifs et la configuration sécurisée, mais aussi des processus plus avancés comme la réponse aux incidents. La version 8, publiée en 2021, décrit 18 contrôles organisés en trois groupes d’implémentation (de IG1 à IG3), que les entreprises peuvent adopter à leur gré, en fonction de leur taille et de leur niveau de risque. Au sein d’une architecture de sécurité d’entreprise, les Contrôles CIS offrent un moyen d’améliorer rapidement et de manière mesurable le niveau de sécurité de base.

Architecture TOGAF

Le référentiel TOGAF est un modèle très utilisé pour l’architecture d’entreprise. Il propose des méthodes et des processus permettant de coordonner les processus commerciaux, les applications, les données et la technologie. Il ne se concentre pas, en premier lieu, sur la cybersécurité, mais celle-ci peut être intégrée dans la méthode Architecture Development Method (ADM), par exemple dans la phase qui consiste à élaborer une vision globale de l’architecture ou par l’intermédiaire de points de vue dédiés à l’architecture de sécurité. Pour les référentiels de cybersécurité en entreprise, TOGAF peut donc fournir une structure dans laquelle la sécurité peut être intégrée dès le départ. TOGAF n’est pas un référentiel de sécurité conçu pour fonctionner en autonomie. Dans la pratique, il est donc souvent associé à des référentiels de sécurité d’entreprise spécialisés tels que SABSA ou COBIT.

Zachman framework

Souvent décrit comme un métamodèle, le référentiel Zachman est l’une des plus anciennes approches de l’architecture d’entreprise. S’adressant aux entreprises avec des structures complexes, il organise le travail autour de six questions (quoi, comment, où, qui, quand et pourquoi) réparties sur plusieurs niveaux, tels que la planification, les modèles d’entreprise et la technologie. Zachman ne fournit pas un ensemble de contrôles à appliquer dans les référentiels de cybersécurité, mais une matrice qui indique où l’on peut intégrer les questions de cybersécurité dans l’architecture. Il est donc principalement utilisé comme un outil de structuration qui fonctionne parallèlement à des référentiels de sécurité dédiés.

SABSA architecture framework

Le référentiel SABSA (Sherwood Applied Business Security Architecture) suit une approche systématiquement axée sur les risques. Il déduit les exigences de sécurité à partir des objectifs de l’entreprise et les décline sur plusieurs niveaux, du niveau contextuel au niveau des composants. Le risque commercial peut ainsi être associé à la conception de la sécurité et aux opérations quotidiennes. Dans une architecture de sécurité d’entreprise, SABSA permet d’associer étroitement les mesures de sécurité à la valeur commerciale. En pratique, SABSA est souvent combiné à d’autres référentiels de cybersécurité tels que la norme ISO 27001 ou cadre COBIT afin de prendre également en charge la gouvernance et la conformité.

COBIT framework

Le référentiel COBIT est une norme reconnue en matière de gouvernance et de la gestion informatique. Il définit des objectifs de gouvernance, des processus et des indicateurs permettant aux entreprises d’évaluer la contribution de l’informatique et de maîtriser les risques. Les exigences de sécurité peuvent être alignées sur les objectifs de l’entreprise, sur le suivi de la direction et sur les systèmes de contrôle interne. Contrairement à la norme ISO 27001, COBIT n’est pas certifiable en soi, mais il est largement utilisé dans des contextes de gouvernance et d’audit et apparaît souvent dans les référentiels de sécurité d’entreprise qui nécessitent un solide pilotage. Il est particulièrement efficace lorsqu’il est associé à la norme ISO 27001 ou à NIST CSF.

Matrice MITRE ATT&CK

La matrice MITRE ATT&CK est un catalogue libre répertoriant les tactiques, techniques et procédures (TTP) des cyberattaquants, telles qu’elles ont été réellement observées. Elle est régulièrement mise à jour pour tenir compte des nouvelles méthodes d’attaque au fur et à mesure qu’elles apparaissent. Contrairement à la plupart des référentiels cybersécurité, MITRE ATT&CK ne définit pas de politiques ou de structures de gouvernance. Il donne en revanche un point de vue pratique sur le déroulement des attaques dans le monde réel. La matrice MITRE ATT&CK est principalement utilisée, dans les architectures de sécurité d’entreprise, pour la modélisation des menaces, le red teaming et pour développer ou affiner les cas pratiques de détection et de réponse. De nombreuses entreprises l’utilisent également pour des exercices de purple team afin de vérifier que leur système de défense est capable de résister aux scénarios d’attaque les plus probables.

Vidéo : MITRE ATT&CK dans le contexte du cloud et de l’ingénierie du chaos

Dans cette vidéo, Kennedy Tokura explique comment les entreprise peuvent utiliser l’ingénierie du chaos pour renforcer leur architecture de cybersécurité et l’intérêt de la matrice MITRE ATT&CK pour faciliter ce travail.

Les autres référentiels de sécurité en un coup d’œil

Au-delà des modèles établis, il existe des référentiels conçus pour répondre à des besoins ou à des secteurs spécifiques. Utilisés dans un contexte adaptés, ils apportent un complément utile aux référentiels de cybersécurité en entreprise avec des directives adaptées à des contextes plus spécialisés.

Référentiel CIS

Le référentiel CIS complète les Contrôles CIS en y ajoutant un niveau opérationnel. Il fournit une structure qui permet aux entreprises de planifier, suivre et examiner les mesures qu’elles prennent selon l’ordre des priorités et de les intégrer à leur gestion globale de la sécurité. Pour les équipes qui ont déjà intégré les Contrôles CIS dans leurs référentiels de cybersécurité d’entreprise, le référentiel CIS les complète en ajoutant principalement une orientation et de la gouvernance.

Référentiel Essential Eight

Élaboré par l’Australian Cyber Security Centre, le référentiel Essential Eight inclut huit contrôles de base, tels que l’application de correctifs, l’authentification multifacteur et les sauvegardes régulières. L’idée est délibérément pragmatique : les entreprises de taille moyenne et les organismes publics en particulier peuvent utiliser ce référentiel Essential 8 pour renforcer rapidement leur cyber-résilience, sans avoir à mettre en place un vaste programme de gouvernance en amont.

Référentiel DoDAF

Le référentiel DoDAF (Department of Defense Architecture Framework) est principalement utilisé dans le secteur de la défense américain. Il facilite la modélisation des systèmes complexes d’un point de vue architectural et permet ainsi de dégager les dépendances importantes en matière de sécurité. Le référentiel DoDAF est a priori rarement utilisé dans les référentiels de cybersécurité des entités civiles, mais il peut fournir des méthodes utiles pour l’élaboration d’une architecture dans des environnements très complexes et devant répondre à une gouvernance stricte.

Référentiel FEAF

Le référentiel FEAF (Federal Enterprise Architecture Framework) est utilisé dans l’administration fédérale américaine pour le pilotage des systèmes informatiques publics. Son but est d’offrir plus de transparence sur les investissements et de mettre en évidence les risques pour la sécurité dès le début du processus de planification. Pour les entreprises qui ne relèvent pas du secteur public, le référentiel FEAF ne joue généralement qu’un rôle mineur, mais sa logique de gouvernance peut tout de même éclairer les référentiels cybersécurité dans des environnements fortement réglementés.

Quel référentiel de cybersécurité est adapté à votre entreprise ?

Le choix du référentiel dépend fortement des objectifs, des ressources et du niveau de maturité de votre entreprise. La matrice suivante cartographie les principaux référentiels de cybersécurité sur deux axes pour vous permettre de visualiser comment ils accompagnent votre architecture de sécurité d’entreprise et votre travail de cybersécurité au quotidien.

Maîtrisez les référentiels de sécurité

Réserver une démo

Profitez d’une formation basée sur les normes NIST, ISO/CEI27001, CIS Controls et sur d’autres référentiels pour inscrire la sécurité dans votre quotidien.

La matrice s’organise selon deux axes qui permettent de situer les différences entre les référentiels de cybersécurité.

• Stratégique ou opérationnel : le référentiel fournit-il plutôt une structure et une gouvernance, ou dicte-t-il des mesures concrètes que les équipes peuvent mettre en œuvre et tester ?
• Orienté architecture ou orienté menace : l’accent est-il mis sur l’architecture commerciale et informatique, ou sur la défense contre les attaques du monde réel ?
• Stratégique et orienté architecture : TOGAF, le référentiel Zachman, SABSA, DoDAF et FEAF suggèrent des structures pour organiser les architectures d’entreprise et de sécurité. Ils aident à inclure la cybersécurité dans une architecture plus vaste de sécurité d’entreprise en la reliant aux capacités de l’entreprise.
• Stratégique et orienté menace : NIST CSF, COBIT et le référentiel CIS abordent la question de la gouvernance, de la gestion des risques et de la conformité. Dans de nombreuses entreprises, ils forment la couche de pilotage qui chapeaute des référentiels cybersécurité et des ensembles de contrôles plus détaillés
• Opérationnel et orienté architecture : la norme ISO 27001 et les Contrôles CIS définissent des mesures concrètes qui peuvent être intégrées dans les architectures de sécurité et auditées au fil du temps. Ils donnent aux référentiels de sécurité d’entreprise une base de contrôle tangible que l’on peut suivre et améliorer.
• Opérationnel et orienté menace : la matrice MITRE ATT&CK et le référentiel Essential Eight se concentrent sur les techniques d’attaque réelles et les priorités en matière de défense. Ils révèlent dans quelle mesure une architecture de sécurité d’entreprise peut résister aux menaces réelles et les points sur lesquels il est nécessaire de la consolider.

Recommandations pour différentes entreprises

• Entreprises de taille moyenne
  Les Contrôles CIS ou le référentiel Essential Eight permettent de relever le niveau de sécurité de base sans se lancer dans un grand chantier de gestion de la cybersécurité. Tous deux s’intègrent dans des référentiels cybersécurité d’entreprise qui visent principalement à obtenir des résultats rapides et notables.
• Sociétés internationales
  Elles associent souvent la norme ISO 27001 et NIST CSF : la norme ISO, pour obtenir la certification et réussir les audits, NIST CSF pour assurer la gouvernance et la gestion du risque. Ces deux référentiels combinés fournissent un point d’ancrage SMSI et un cadre clair pour piloter l’architecture de sécurité d’entreprise sur les différents sites régionaux.
• Secteurs fortement réglementés
  Ils associent souvent le référentiel COBIT et la norme ISO 27001 en les complétant par des modèles orientés architecture, tels que le cadre FEAF ou DoDAF. Dans ces environnements, les référentiels cybersécurité d’entreprise doivent favoriser une gouvernance claire, des audits et des contrôles documentés. Renforcer le côté purement technique ne suffirait pas.
• Entreprises très exposées aux menaces
  Elles utilisent souvent la matrice MITRE ATT&CK pour analyser les techniques et les schémas d’attaque en vigueur dans le monde réel. En l’associant aux Contrôles CIS, elles traduisent les stratégies des attaquants en mesures de protection ciblées qui peuvent être ancrées dans l’architecture de sécurité existante de l’entreprise.
• Entreprises axées sur l’architecture
  Elles commencent généralement par implémenter les référentiels TOGAF, Zachman ou SABSA, avant de les compléter par des cadres de gouvernance et des catalogues de contrôles opérationnels. Dans ces configurations, les référentiels cybersécurité d’entreprise sont étroitement liés à l’architecture de sécurité d’entreprise et permettent de mettre en relation les objectifs commerciaux, les risques et le travail d’implémentation.