NIST Cybersecurity Framework 2.0 : gouvernance, maturité et implémentation pratique

Le référentiel NIST 2.0 est une mise à jour du NIST Cybersecurity Framework qui intègre une gouvernance plus forte, couvre les risques de la chaîne d’approvisionnement et impose aux équipes de sécurité des résultats mesurables.

Sommaire

1. Qu’est-ce que le référentiel NIST ?
2. NIST 1.1 vs 2.0
3. 6 fonctions clés
4. Implémentation de NIST 2.0
5. Mesurer les niveaux de maturité
6. Certification
7. NIST 2.0 vs ISO 27001

Points à retenir : NIST 2.0

• Encadre la gestion du risque humain conformément au référentiel NIST Cybersecurity Framework, des simulations de phishing aux formations ciblées de sensibilisation à la cybersécurité
• Mise à jour du référentiel NIST Cybersecurity Framework adaptée aux menaces actuelles, aux nouvelles exigences réglementaires et aux risques de la chaîne d’approvisionnement
• Comprend, en outre, une fonction Gouverner spécifique qui place les responsabilités, les politiques et la supervision sur le même plan que les fonctions Identifier, Protéger, Détecter, Répondre et Rétablir
• Utilise des profils et des catégories d’implémentation permettant de mesurer les critères de NIST Cybersecurity Framework en fonction des risques
• Non certifiable, mais largement utilisé comme référence de gouvernance et pouvant être mis en parallèle avec la norme ISO 27001 ou NIS2

Qu’est-ce que le référentiel NIST Cybersecurity Framework ?

Le National Institute of Standards and Technology (NIST) est un institut de recherche non régulateur du ministère du Commerce des États-Unis. Son travail porte aussi bien sur les horloges atomiques, que sur les normes de chiffrement ou les directives de cybersécurité et fait autorité au niveau mondial dans tous ces domaines. La National Vulnerability Database (NVD) répertorie les vulnérabilités de sécurité à l’aide du protocole SCAP (Security Content Automation Protocol). Elle permet ainsi aux entreprises de se tenir informées sur les faiblesses connues et d’automatiser une grande partie de leur surveillance.

Il faut cependant savoir que le référentiel NIST va bien au-delà du simple suivi des vulnérabilités. La publication SP 800-207 du NIST définit ce qu’est l’architecture Zero Trust, un modèle de sécurité qui a révolutionné notre conception de l’accès et l’identité numérique. Le mot d’ordre est « Ne jamais faire confiance, toujours vérifier ». S’il peut paraître simple, ce principe représente une rupture fondamentale avec l’ancien concept basé sur le périmètre. Chaque utilisateur, chaque dispositif, chaque requête est vérifié. Constamment.

Quant au référentiel de cybersécurité NIST lui-même, il a vu le jour en 2014, à la suite à un décret présidentiel américain visant à protéger les infrastructures essentielles. Lorsque la version NIST CSF 2.0 a été publiée le 26 février 2024, son périmètre d’application a été élargi à toutes les organisations, tous secteurs confondus. Gouverner, la sixième fonction clé qui a été ajoutée dans ce cadre, vise à ce que la gestion des risques de cybersécurité ne repose plus uniquement sur le service informatique.

NIST CSF 1.1 vs. 2.0 : les principales nouveautés

La version 2.0 n’est pas une simple mise à jour d’agrément. Si l’on compare les versions 1.1 et 2.0 du référentiel NIST, les changements sont importants : le référentiel de cybersécurité du NIST a été repensé conformément au fonctionnement actuel des entreprises et précise plus exactement qui est impliqué dans la gestion du cyberrisque.

Principales nouveautés dans le référentiel NIST CSF 2.0

• Une sixième fonction clé, Gouverner : la gouvernance n’est plus dispersée dans les autres composants du référentiel. Dans la version NIST CSF 2.0, elle a sa propre fonction clé et se trouve au centre du modèle, déterminant la manière dont les autres fonctions sont planifiées, hiérarchisées et mesurées.
• Un champ d’application plus large : NIST CSF 1.1 s’appliquait, à l’origine, aux infrastructures essentielles. NIST CSF 2.0 s’adresse à un public élargi, c’est-à-dire à des entités de toute taille, de tout secteur et de tout niveau de maturité cyber.
• Gestion des risques liés à la chaîne d’approvisionnement : NIST CSF 2.0 insiste davantage sur les risques liés aux tiers. Avec cette nouvelle version du référentiel, les entreprises disposent désormais aujourd’hui d’orientations plus précises sur la gestion des dépendances aux tiers, les exigences de sécurité s’appliquant aux relations avec les fournisseurs et la priorité à donner aux risques de la chaîne d’approvisionnement, qui ne doivent plus être considérés comme des problèmes secondaires à part.
• Développement sécurisé de logiciels : une plus grande visibilité est également accordée à la sécurité des logiciels. La mise à jour du référentiel établit un lien plus étroit entre la gestion du cyberrisque et les pratiques de développement sécurisé, telles que le DevSecOps et la sécurité de la chaîne d’approvisionnement des logiciels.
• Un langage simple : les formulations utilisées sont plus pratiques qu’auparavant. Ce point a son importance, car le référentiel n’est pas seulement lu par les équipes de sécurité, mais aussi par les dirigeants, les responsables des risques et les équipes opérationnelles qui doivent en appliquer les directives dans la pratique.
• Un alignement plus fort : le lien entre le référentiel NIST CSF 2.0 et d’autres publications du NIST est plus clair, notamment avec la norme SP 800-161 sur la gestion des cyberrisques sur la chaîne d’approvisionnement et la norme SP 800-218 sur le développement sécurisé de logiciels. Le référencement croisé et l’implémentation sont ainsi plus faciles pour les équipes qui s’appuient sur plusieurs référentiels à la fois.

Les deux diagrammes présentés côte à côte font apparaître clairement les changements entre les deux versions. NIST CSF 1.1 présente cinq fonctions dans un cycle. NIST CSF 2.0 comporte, en plus, la fonction centrale Gouverner et pose donc la surveillance et la responsabilité comme faisant partie intégrante de la structure plutôt que comme des éléments implicites agissant en arrière-plan.

Les 6 fonctions clés du référentiel NIST Cybersecurity Framework 2.0

Le référentiel NIST Cybersecurity Framework 2.0 s’articule autour de six fonctions clés : Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. Ensemble, ces fonctions clés forment une structure permettant aux entreprises de comprendre, hiérarchiser et gérer les cyberrisques au niveau de la direction, des opérations, de la technologie, du personnel et des relations avec les tiers.

Gouverner (GV)

Dans le référentiel NIST Cybersecurity Framework 2.0, la gouvernance constitue la base stratégique pour la gestion des risques de cybersécurité. Elle s’applique à la stratégie de gestion du risque, aux rôles et responsabilités, aux politiques, à la surveillance et à la gestion des risques de cybersécurité sur la chaîne d’approvisionnement. La principale nouveauté est que cette version ne considère pas la cybersécurité comme un simple élément de la gestion des risques au sein de l’entreprise, au même titre que les risques financiers, opérationnels et commerciaux, par exemple. Le recours à une plateforme de gestion du risque humain peut aider à appliquer cette fonction en facilitant la mesure du risque humain et en fournissant aux dirigeants des données à même d’éclairer leurs décisions en matière de sécurité plus sûrement que de simples suppositions.

Identifier (ID)

Avant de gérer les risques conformément à NIST CSF 2.0, les entreprises doivent savoir ce qu’elles protègent : il peut s’agir notamment des données, du matériel, des logiciels, des systèmes, des collaborateurs, des fournisseurs et des risques qui y sont associés. La fonction Identifier forme une base à partir de laquelle il est possible de définir la priorité des risques et d’harmoniser le travail de sécurité opérationnelle effectué dans le cadre de la stratégie élargie Gouverner. La formation de sensibilisation à la cybersécurité peut accompagner ce processus en apprenant aux collaborateurs à reconnaître les menaces, à signaler les activités suspectes et à contribuer à une meilleure visualisation des risques organisationnels.

Protéger (PR)

La fonction Protéger se concentre sur les mesures de protection qui réduisent la probabilité et l’impact potentiel des incidents de cybersécurité. Dans le référentiel NIST Cybersecurity Framework 2.0, elle couvre la gestion des identités, l’authentification, le contrôle des accès, la sécurité des données, la sécurité des plateformes, la sensibilisation et la formation, ainsi que la résilience de l’infrastructure technologique. Dans ce contexte, la sensibilisation joue un rôle important. De nombreuses attaques, en particulier les scénarios d’ingénierie sociale, exploitent en effet encore le comportement humain. Si les collaborateurs savent repérer les tentatives de phishing et y réagissent correctement, ils deviennent un élément plus fiable de la défense de l’entreprise.

Détecter (DE)

La détection est le point de jonction entre la théorie et la pratique. Même les entreprises les mieux protégées doivent savoir repérer des situations qui paraissent anormales : une connexion qui ne correspond pas au modèle habituel, un changement soudain dans le comportement d’un utilisateur ou un e-mail de phishing qui va plus loin qu’il ne le devrait. Dans la version NIST CSF 2.0, la fonction Détecter soumet tous ces signaux à une surveillance continue et à une analyse des événements indésirables. Pour gérer le côté humain, il peut être particulièrement utile d’organiser des simulations de phishing qui mettront en lumière les réactions des collaborateurs avant qu’un véritable incident ne survienne.

Répondre (RS)

La détection des incidents n’est utile que si l’entreprise sait comment y réagir. La fonction Répondre consiste à clarifier cette étape : qui enquête, qui se charge de limiter les dommages, qui communique et comment les décisions sont documentées. Ces différents points ne doivent pas être décidés lorsque l’entreprise se trouve en plein milieu d’un incident. Il faut convenir des processus en amont en impliquant la direction, les partenaires, les parties prenantes concernées et, si nécessaire, les autorités. La vraie valeur de cette fonction est la coordination : moins de retards, moins de confusion et plus de chance de limiter l’impact.

Rétablir (RC)

La fonction Rétablir consiste à revenir à un fonctionnement stable après un incident. Pour ce faire, l’entreprise doit activer des plans de restauration, tenir les parties prenantes informées et restaurer les systèmes sans perdre de vue les lacunes qui ont été mises à jour par l’événement. Les entreprises ne peuvent pas se permettre d’attendre qu’un incident survienne pour chercher des solutions. Ce serait un pari trop risqué. Si leurs équipes ont répété le plan de restauration, elles se remettront plus rapidement d’un éventuel incident et sauront en tirer des enseignements utiles : des idées plus précises de ce qu’il faut faire différemment la prochaine fois.

Implémenter le référentiel NIST Cybersecurity Framework 2.0 : une gestion adaptative du risque de cybersécurité étape par étape

L’implémentation de NIST Cybersecurity Framework 2.0 commence généralement par quatre étapes pratiques qui, misent bout à bout, éclairent les entreprises sur leur situation actuelle, les aident à définir leurs objectifs et à établir une feuille de route réalisable pour les atteindre.

Étape 1 : Faites le point sur votre situation actuelle

Commencez par établir le profil actuel de votre entreprise en matière de sécurité selon les critères de NIST CSF 2.0. Quels sont les résultats déjà atteints dans les six fonctions clés ? Quels sont les contrôles déjà en place et quelles sont les lacunes ? Sans cette première analyse, vous risquez de fonder votre implémentation du référentiel NIST Cybersecurity Framework sur de simples conjectures.

Étape 2 : Définissez le profil que vous souhaitez atteindre

Le profil cible que vous allez établir correspond aux résultats que votre entreprise souhaite atteindre grâce au référentiel NIST Cybersecurity Framework 2.0. Vous devez l’aligner sur vos objectifs stratégiques, vos priorités en matière de gestion du risque et les seuils d’appétence et de tolérance au risque définis dans le cadre de la fonction Gouverner. Vous obtiendrez ainsi une image plus réaliste de la situation à atteindre à moyen terme et des points à changer, dans votre entreprise, pour y parvenir.

Étape 3 : Classez vos mesures par ordre de priorité

Prenez comme point de départ l’écart constaté entre votre situation actuelle et votre profil cible. Classez vos constats en fonction des impacts qu’ils peuvent avoir en matière de risque et soyez rationnel quant à ce qui est réellement réalisable avec les ressources disponibles. Notez les priorités que vous avez fixées dans un registre des risques, un rapport détaillé des risques ou un plan d’action étape par étape. Les équipes pourront ainsi se les approprier et les utiliser, au lieu de se contenter de les classer dans un rapport.

Étape 4 : Dressez une feuille de route avec des responsabilités clairement définies

Chaque mesure doit être affectée à quelqu’un : précisez qui en est responsable, combien elle coûte et quand elle doit être réalisée. Mettez en place un processus de surveillance pour suivre les progrès en continu. Une fois les mesures implémentées, actualisez régulièrement votre profil actuel et ajustez le profil cible si nécessaire. Votre travail sur le référentiel NIST Cybersecurity Framework 2.0 restera ainsi en phase avec ce qui se passe réellement dans l’entreprise, au lieu de rester figé sur ce qui a été analysé lors de la dernière évaluation.

Niveaux d’implémentation : vers une sécurité adaptative

Le référentiel NIST Cybersecurity Framework 2.0 décrit quatre niveaux d’implémentation qui ne correspondent pas à des scores formels de maturité, mais permettent aux entreprises de se faire une idée de la cohérence avec laquelle elles gèrent les cyberrisques.

Niveau 1 – Partiel : Les processus de sécurité sont limités, incohérents ou principalement réactifs. La gestion des risques est probablement traitée au cas par cas et l’entreprise n’est pas encore bien préparée à répondre de manière coordonnée aux cyber-incidents.

Niveau 2 – Informé des risques : l’entreprise possède des politiques de sécurité et est bien consciente des principaux risques auxquels elle est exposée. À ce stade, c’est la cohérence qui manque : la sensibilisation ne se traduit pas encore par des pratiques homogénéisées dans toutes les équipes et les sections de l’entreprise. Aucune méthode commune n’a été mise en place pour évaluer et hiérarchiser les décisions en matière de risques.

Niveau 3 – Reproductible : Les pratiques de sécurité sont documentées, intégrées et révisées régulièrement. Au lieu d’improviser, les équipes suivent des procédures claires, ce qui facilite grandement le maintien de la cohérence et la détection précoce des lacunes. À ce stade, il est davantage probable que l’entreprise aura réussi à planifier et à tester ses activités de réponse en cas d’incident NIST Cybersecurity Framework telles que définies par le référentiel, et à les intégrer dans une approche plus globale de gestion du risque.

Niveau 4 – Adaptatif : L’entreprise a intégré la gestion des cyberrisques dans tous ses services et est capable de l’ajuster à mesure que le paysage des menaces évolue. Les analyses de risques ne sont pas envisagées comme des exercices ponctuels, mais font partie intégrante du processus de prise de décision en continu. Les entreprises de niveau 4 ne considèrent pas les cyberrisques comme un sujet à part, mais les traitent sur le même plan que les risques financiers et opérationnels. La sécurité a toute sa place dans la manière dont l’entreprise planifie l’avenir.
La cybersécurité adaptative est une sécurité qui évolue quand le risque change. Les plateformes modernes de gestion du risque humain garantissent l’adaptativité en fournissant des données actualisées sur les comportements des collaborateurs et le niveau de risque. Les entreprises peuvent ainsi adapter leurs formations, leurs interventions et leurs contrôles de manière plus dynamique et renforcer au fur et à mesure le travail de fond fourni sur le référentiel NIST Cybersecurity Framework 2.0.

Comment mesurer les niveaux de maturité du référentiel NIST Cybersecurity Framework 2.0

NIST Cybersecurity Framework 2.0 ne mesure pas la maturité sur la base d’un score unique. En revanche, il donne aux entreprises deux points de référence pratiques : les profils et les niveaux d’implémentation. Les profils actuels reflètent la situation de votre entreprise à l’heure d’aujourd’hui, tandis que les profils cible définissent les objectifs à atteindre dans les différentes fonctions clés du référentiel. Les quatre niveaux d’implémentation, allant de Partiel à Adaptatif permettent, dans un deuxième temps, de préciser la cohérence de votre gestion des cyberrisques et son degré de connexion avec le processus de prise de décision dans l’entreprise.

Les chiffres sont utiles, mais ils ne disent pas tout. Un backlog de correctifs qui ne cesse de s’allonger, une simulation de phishing qui alerte trois mois de suite sur le même service, une réponse qui prend six heures au lieu d’une… les responsables de la sécurité n’ont pas besoin d’un référentiel pour comprendre les répercussions que cela peut avoir. Les KPI donnent du poids à ces observations. Ils détectent des signaux moins évidents, ceux qui n’apparaissent pas encore comme des incidents, mais qui le deviendront probablement. Ces indicateurs doivent être passés régulièrement en revue avec la direction pour prendre des décisions basées sur le risque réel et non sur des suppositions.

À quel moment une entreprise doit-elle viser un niveau supérieur dans le référentiel NIST Cybersecurity Framework 2.0 ? En règle générale, il faut l’envisager lorsque le contexte des risques évoluent, que les exigences réglementaires se durcissent ou que l’entreprise est suffisamment solide pour justifier un investissement de cet ordre. Pour passer à un niveau d’implémentation supérieur, il ne suffit pas de cocher quelques cases. Cette démarche doit être le reflet de réels progrès dans la manière dont votre entreprise identifie les cyberrisques, les hiérarchise et les gère.

De nombreuses entreprises nourrissent l’ambition d’atteindre à long terme le niveau 4, Adaptatif, de NIST CSF 2.0. À ce niveau, la sécurité n’a plus rien de réactif, mais évolue au même rythme que le paysage des menaces. Les entreprises du niveau adaptatif surveillent leurs systèmes en continu, mettent à jour leurs polices à mesure que les risques et les bonnes pratiques changent et ont recours à des données de sécurité dans toutes les équipes, pas uniquement au sein du service sécurité. Les RSSI peuvent également s’appuyer sur un aperçu mesurable de la maturité de l’entreprise pour évaluer leur retour sur investissement dans le référentiel NIST Cybersecurity Framework 2.0. Lorsque les progrès sont étayés par des données, les budgets sont plus faciles à expliquer et à défendre.

Certification : comment fonctionne la certification du référentiel NIST Cybersecurity Framework ?

Contrairement à la norme ISO 27001, le référentiel NIST Cybersecurity Framework 2.0 ne requiert pas de certification officielle ni d’audits externes. Il s’agit de recommandations à appliquer sur la base du volontariat. Elles sont conçues pour s’adapter au contexte de risques de chaque entreprise.

Le NIST ne délivre pas de certificats. En revanche, il existe des qualifications tierces pour les professionnels qui appliquent ce référentiel : un certificat « NIST CSF 2.0 Lead Implementer », par exemple, qui reconnaît la capacité à créer et à gérer des programmes de sécurité basés sur le référentiel NIST Cybersecurity Framework. Ce type de certificat est utile pour les professionnels, mais ne dit rien de la conformité de l’entreprise qui les emploie.

Pour ce qui est du coût de la certification du référentiel NIST Cybersecurity Framework au niveau de l’entreprise, il n’y a aucun frais de certification officiels, dans la mesure où le NIST ne certifie pas les entreprises sur la base du référentiel. Ces dernières sont libres d’adopter le référentiel NIST Cybersecurity Framework 2.0 sans passer par un audit. L’implémentation est généralement documentée par des auto-évaluations, des niveaux d’implémentation et des profils organisationnels. Il n’est pas obligatoire de présenter une preuve formelle, à moins qu’un contrat, un client ou une réglementation ne le demande spécifiquement. La véritable question, pour les responsables de la sécurité, n’est pas tant celle du coût du certificat que celle du niveau de documentation, d’assurance et de preuve requis au niveau de l’entreprise.

NIST Cybersecurity Framework vs ISO 27001 : différences et synergies

Le référentiel NIST Cybersecurity Framework et la norme ISO 27001 poursuivent le même objectif. La différence est dans ce qu’ils vous demandent.

ISO 27001 est une norme. Elle s’accompagne d’exigences obligatoires, d’un audit externe et d’un certificat qui sanctionne le tout. NIST Cybersecurity Framework 2.0 est une directive. Elle vous indique les résultats vers lesquels vous devez tendre et vous laisse une grande liberté quant à la manière de les atteindre. Pas d’auditeur, pas de certificat, pas de méthode d’implémentation unique.

Pour de nombreuses entreprises, c’est la différence entre ces deux cadres qui détermine l’ordre dans lequel elles les exécutent. NIST Cybersecurity Framework 2.0 a tendance à passer en premier : il permet de se faire une idée claire des risques, des contrôles qui fonctionnent réellement et de la façon dont on peut aborder la sécurité avec la direction sans la submerger de détails techniques. La norme ISO 27001 entre en jeu lorsqu’une preuve externe est nécessaire, pour répondre aux exigences d’un client ou d’un organisme de réglementation ou simplement parce que l’entreprise souhaite renforce sa crédibilité par une certification accréditée.

Si l’on voulait considérer qu’il faut faire un choix entre le référentiel NIST Cybersecurity Framework ou la norme ISO 27001, ce serait risquer de se créer plus de problèmes au lieu d’en résoudre. Les équipes de sécurité qui mènent les deux de front trouvent généralement le chevauchement gérable. Pour y parvenir sans avoir à refaire le même travail deux fois, il suffit de faire correspondre les contrôles de NIST CSF 2.0 avec les exigences de l’ISO 27001.

Cet article est rédigé à titre indicatif seulement. Il ne constitue pas un avis juridique et ne remplace pas les conseils juridiques ou réglementaires d’un professionnel. Pour toute question spécifique à votre secteur, à vos contrats ou à votre environnement réglementaire, consultez un conseiller juridique qualifié ou un organisme de certification accrédité.