NIST 800-53 : Un guide pour la conformité

La norme NIST 800-53 offre des orientations solides sur la manière dont les organisations doivent sélectionner et maintenir des contrôles de sécurité et de confidentialité personnalisés pour leurs systèmes d'information. NIST SP 800-53 Révision 5 est l'un des nombreux documents de conformité que vous devez connaître si vous travaillez dans le domaine de la technologie de l'information.

Cet article le décompose pour vous en parties digestes qui mettent l'accent sur la signification pratique et l'application de la norme.

Qu'est-ce que NIST 800-53 ?

NIST 800-53 est une norme de conformité de sécurité créée par le Département du Commerce des États-Unis et l'Institut National des Standards et de la Technologie en réponse aux capacités technologiques en rapide développement des adversaires nationaux. Elle compile les contrôles recommandés par le Laboratoire de Technologie de l'Information (ITL).

Le NIST 800-53 est obligatoire pour tous les systèmes d'information fédéraux des États-Unis, à l'exception de ceux liés à la sécurité nationale, et est neutre sur le plan technologique. Cependant, ses directives peuvent être adoptées par toute organisation exploitant un système d'information contenant des données sensibles ou réglementées. Il fournit un catalogue de contrôles de confidentialité et de sécurité pour se protéger contre une variété de menaces, allant des catastrophes naturelles aux attaques hostiles.

La norme a évolué pour intégrer les contrôles de confidentialité et de sécurité et pour promouvoir l'intégration avec d'autres approches de cybersécurité et de gestion des risques. En particulier, elle s'inscrit dans le cadre des Federal Information Processing Standards (FIPS) ; FIPS exige que les organisations mettent en œuvre une base minimale de contrôles de sécurité tels que définis dans NIST 800-53. La norme NIST aide également les organisations à se conformer au Federal Information Security Modernization Act (FISMA), qui détaille les directives de sécurité et de confidentialité dans le cadre de l'administration des programmes fédéraux.

Alors que l'infrastructure d'information continue de s'étendre et de s'intégrer, la nécessité d'intégrer la confidentialité et la sécurité dans chaque application augmente également, qu'il s'agisse d'un système fédéral ou privé. Avec l'ensemble complet de contrôles et de directives dans NIST 800-53, les organisations privées n'ont pas besoin de réinventer la roue pour maintenir la cybersécurité.

Quel est l'objectif de NIST 800-53 ?

L'objectif de la norme de sécurité et de confidentialité est triple :

• Pour fournir un catalogue complet et flexible de contrôles pour la protection actuelle et future basée sur l'évolution de la technologie et des menaces
• Pour développer une base pour évaluer les techniques et les processus de détermination de l'efficacité des contrôles
• Pour améliorer la communication au sein des organisations grâce à un lexique commun pour la discussion des concepts de gestion des risques

Les contrôles établis par la publication spéciale (SP) 800-53 du NIST sont conçus pour améliorer la gestion des risques pour toute organisation ou système qui traite, stocke ou transmet des informations.

Qui doit se conformer à NIST 800-53 ?

La norme est obligatoire pour les systèmes d'information fédéraux, les organisations et les agences. Toute organisation travaillant avec le gouvernement fédéral doit également se conformer à NIST 800-53 pour maintenir la relation.

Cependant, la norme offre un cadre solide pour toute organisation afin de développer, maintenir et améliorer ses pratiques de sécurité de l'information, y compris les gouvernements étatiques, locaux et tribaux ainsi que les entreprises privées, des PME aux grandes entreprises.

Quels sont les avantages de NIST 800-53 ?

Le principal avantage de la norme est des systèmes d'information plus sécurisés. Les organisations privées se conforment volontairement à NIST 800-53 car ses 18 familles de contrôles les aident à relever le défi de sélectionner les contrôles de sécurité de base appropriés, les politiques et procédures pour protéger la sécurité et la confidentialité des informations.

De plus, cela vous encourage à analyser chaque contrôle de sécurité et de confidentialité que vous sélectionnez pour garantir son applicabilité à votre infrastructure et environnement. Ce processus de personnalisation aide à assurer non seulement la sécurité et la conformité, mais aussi le succès commercial. Il favorise une application cohérente et rentable des contrôles à travers votre infrastructure technologique de l'information.

Enfin, suivre les directives NIST 800-53 vous aide à établir une base solide pour la conformité avec d'autres réglementations et programmes tels que HIPAA, DFARS, PCI DSS et GDPR.

Quelles données la norme NIST SP 800-53 protège-t-elle ?

Bien que la norme ne fournisse pas une liste spécifique des types d'informations, elle offre des recommandations pour classer les types de données que votre organisation crée, stocke et transmet. Par exemple, une classification pourrait être « protégée » ; ces données pourraient inclure les noms des clients, les dates de naissance et les numéros de Sécurité sociale.

Contrôles de sécurité NIST 800-53

NIST 800-53 offre un catalogue de contrôles de sécurité et de confidentialité ainsi que des recommandations pour leur sélection. Chaque organisation devrait choisir des contrôles basés sur les exigences de protection de ses différents types de contenu. Cela nécessite une évaluation minutieuse des risques et une analyse de l'impact des incidents sur les différentes données et systèmes d'information. FIPS 199 définit trois niveaux d'impact :

• Faible — La perte aurait un impact négatif limité.
• Modéré — La perte aurait un impact négatif sérieux.
• Élevé — La perte aurait un impact catastrophique.

Familles de sécurité et de contrôle

Les contrôles NIST 800-53 sont répartis dans les 20 familles suivantes :

Conseils pour la conformité NIST 800-53

Les meilleures pratiques suivantes vous aideront à sélectionner et à mettre en œuvre les contrôles de sécurité et de confidentialité appropriés pour la conformité NIST SP 800-53.

• Identifiez vos données sensibles. Découvrez quel type de données votre organisation traite, où elles sont stockées, et comment elles sont reçues, conservées et transmises. Les données sensibles peuvent être réparties sur plusieurs systèmes et applications ; elles ne se trouvent pas nécessairement seulement là où vous pensez.
• Classifiez les données sensibles. Catégorisez et étiquetez vos données selon leur valeur et leur sensibilité. Attribuez à chaque type d'information une valeur d'impact (faible, modéré ou élevé) pour chaque objectif de sécurité (confidentialité, intégrité et disponibilité), et catégorisez-la au niveau d'impact le plus élevé. Consultez FIPS 199 pour les catégories de sécurité appropriées et les niveaux d'impact qui se rapportent aux objectifs organisationnels, à la mission et au succès commercial de votre organisation. Automatisez la découverte et la classification pour rationaliser le processus et garantir des résultats cohérents et fiables.
• Évaluez votre niveau actuel de cybersécurité avec une évaluation des risques. À un niveau élevé, risk assessment implique l'identification des risques, l'évaluation de la probabilité de leur survenue et de leur impact potentiel, la prise de mesures pour remédier aux risques les plus sérieux, puis l'évaluation de l'efficacité de ces mesures.
• Documentez un plan pour améliorer vos politiques et procédures. Sélectionnez des contrôles en fonction de vos besoins commerciaux spécifiques. L'étendue et la rigueur du processus de sélection doivent être proportionnelles au niveau d'impact du risque atténué. Documentez votre plan et la justification de chaque choix de contrôle et de politique.
• Fournissez une formation continue aux employés. Sensibilisez tous les employés à la gouvernance des accès et aux meilleures pratiques de cybersécurité, telles que la manière d'identifier et de signaler les logiciels malveillants.
• Rendez la conformité un processus continu. Une fois que vous avez mis votre système en conformité avec NIST 800-53, maintenez et améliorez votre conformité avec des audits systématiques réguliers, surtout après un incident de sécurité.

Conclusion

Toutes les agences fédérales et organisations doivent se conformer à NIST 800-53, et si vous traitez avec elles, vous devrez également être en conformité. La conformité n'est pas une exigence pour les organisations qui ne font pas affaire avec le gouvernement fédéral, mais répondre à la norme vous aidera à établir une base solide pour la conformité avec un large éventail d'autres réglementations, telles que HIPAA et GDPR, donc vous n'aurez pas besoin de réinventer la roue à chaque fois.

FAQ

1. Qu'est-ce que la série NIST 800 ?

La série NIST 800 est un ensemble de documents qui décrivent les politiques, procédures et directives du gouvernement fédéral des États-Unis pour la sécurité des systèmes d'information.

1. Qu'est-ce que NIST 800-53 ?

NIST 800-53 est une norme réglementaire qui définit le socle minimal de contrôles de sécurité pour tous les systèmes d'information fédéraux des États-Unis, à l'exception de ceux liés à la sécurité nationale. Elle établit le socle minimal de contrôles de sécurité exigés par le Federal Information Processing Standard (FIPS).

1. Quel est le but de NIST 800-53 ?

Le NIST 800-53 aide les organisations de tous types à concevoir et gérer correctement leurs systèmes de sécurité de l'information et à se conformer à la loi sur la modernisation de la sécurité de l'information fédérale (FISMA). Il propose un vaste catalogue de contrôles pour renforcer la sécurité et la confidentialité.

1. Combien de contrôles sont décrits dans NIST 800-53 ?

NIST 800-53 comprend 20 familles de contrôles composées de plus de 1 000 contrôles distincts. Chaque famille est liée à un sujet spécifique, tel que le contrôle d'accès.

1. Quelle est la version actuelle de NIST 800-53 ?

La révision 5 de NIST 800-53 a été publiée en septembre 2020.

1. Qui doit se conformer à NIST 800-53 ?

NIST 800-53 est obligatoire uniquement pour les systèmes d'information fédéraux de toutes les agences et organisations. Cependant, les directives sont très utiles également pour les gouvernements des États, locaux et tribaux ainsi que pour les entreprises privées.