NIST CSF 2.0 : Quoi de neuf dans le cadre de cybersécurité

Introduction : Pourquoi NIST CSF 2.0 est important

Depuis sa première version en 2014, le NIST Cybersecurity Framework (CSF) est devenu la référence incontournable pour gérer les risques liés à la cybersécurité. Les organisations l’utilisent pour élaborer leurs programmes de sécurité, communiquer les risques et aligner les contrôles techniques avec les objectifs commerciaux. Le 26 février 2024, le NIST a publié CSF 2.0, marquant la première mise à jour majeure depuis la version 1.1 d’avril 2018. Cette mise à jour reflète un changement fondamental dans la manière dont les organisations sont censées aborder la cybersécurité dans l’environnement numérique complexe d’aujourd’hui.

Pourquoi il s'agit d'une mise à jour majeure

CSF 2.0 est façonné par des années d'utilisation réelle, des menaces émergentes et des réalités commerciales changeantes. Quelques changements clés incluent :

• La gouvernance est désormais une fonction essentielle, mettant l'accent sur la responsabilité des dirigeants et la cybersécurité en tant que risque commercial, et non seulement une question technique.
• L'applicabilité du cadre est étendue aux organisations de tous types et secteurs.
• La gestion des risques de la chaîne d'approvisionnement est élevée au rang de priorité stratégique face à la croissance des menaces liées aux tiers et aux fournisseurs.
• De nouvelles ressources de mise en œuvre ont été ajoutées pour aider les organisations à adopter le cadre plus efficacement.

Qui devrait utiliser CSF 2.0

Alors que les versions précédentes du cadre traitaient des infrastructures critiques, CSF 2.0 est conçu pour toutes les organisations, des entreprises mondiales aux petites et moyennes entreprises. Il fournit des conseils aux organisations à différents niveaux de maturité en cybersécurité, les aidant à prioriser les actions en fonction des risques, des ressources et des objectifs commerciaux. Que vous souhaitiez construire un programme de sécurité de zéro ou améliorer un programme existant, CSF 2.0 offre une base solide et évolutive. Les scénarios d'exemple incluent :

• Une startup de santé construisant son premier programme de sécurité.
• Un fabricant confronté à de nouvelles exigences de sécurité de la chaîne d'approvisionnement de la part des clients.
• Un CISO d’entreprise alignant la stratégie de sécurité avec les discussions sur les risques au niveau du conseil d’administration.

Qu'est-ce que le cadre de cybersécurité NIST ?

Le NIST Cybersecurity Framework (CSF) est un ensemble volontaire de lignes directrices et de bonnes pratiques développé par le National Institute of Standards and Technology pour aider les organisations à comprendre, gérer et réduire les risques liés à la cybersécurité. Plus précisément, il organise les activités de cybersécurité autour de six Fonctions Principales : Govern, Identify, Protect, Detect, Respond et Recover.

Le CSF est flexible, basé sur les risques, et peut fonctionner aux côtés des programmes de sécurité existants. Les organisations peuvent l’adapter en fonction de leur taille, niveau de maturité, secteur, environnement réglementaire et tolérance au risque. Le cadre ne prescrit pas d’outils ou de contrôles spécifiques, mais fournit un langage commun et une structure que les responsables de la sécurité, de l’IT et des affaires peuvent utiliser pour aligner les priorités et prendre des décisions éclairées.

CSF vs. normes de conformité

Le CSF n’est pas une liste de contrôle de conformité ni une évaluation réussie/échouée ; c’est un cadre de gestion des risques. Alors que les normes de conformité vous indiquent quoi faire, le CSF vous aide à comprendre pourquoi cela importe et comment définir des priorités basées sur le risque. Les organisations utilisent le CSF pour :

• Évaluez leur posture actuelle en cybersécurité et identifiez les lacunes.
• Définissez les états cibles, c’est-à-dire établissez des objectifs mesurables sur la position que l’organisation doit atteindre pour chaque fonction de sécurité, en fonction de la tolérance au risque et des priorités commerciales.
• Communiquez les risques de cybersécurité aux dirigeants, au conseil d'administration et aux autres parties prenantes en traduisant les problèmes techniques de sécurité dans un langage commercial que tout le monde comprend.
• Soutenez les efforts réglementaires et de conformité en cartographiant les contrôles CSF aux cadres de conformité afin d'éviter les efforts en double.

Composants principaux du framework

Le cadre de cybersécurité NIST est construit autour d'un ensemble de composants qui aident les organisations à structurer, évaluer et améliorer leurs programmes de cybersécurité. Ces composants travaillent ensemble pour traduire les objectifs de gestion des risques de haut niveau en résultats. Les organisations peuvent utiliser le Core pour définir les résultats, les Profiles pour évaluer et planifier, et les Tiers pour comprendre leur niveau de gestion des risques.

Le noyau CSF

Le noyau CSF définit les résultats de cybersécurité qu'une organisation doit s'efforcer d'atteindre. Il organise ces résultats en :

Profils

Les profils aident les organisations à cartographier leurs activités et objectifs en cybersécurité au CSF Core d'une manière qui reflète leur réalité actuelle et leurs objectifs futurs. Ces profils doivent s'aligner sur les exigences commerciales de l'organisation, la tolérance au risque, les obligations légales et réglementaires, ainsi que les ressources disponibles.

En comparant les Profils Actuel et Cible, les organisations peuvent identifier les lacunes, définir des priorités et élaborer des feuilles de route pour renforcer leur posture de sécurité.

Niveaux

Les niveaux aident les organisations à décrire la rigueur et la sophistication de leurs pratiques de gestion des risques en cybersécurité. Ce ne sont pas des niveaux de maturité et on ne s'attend pas à ce que les organisations les traversent. Au lieu de cela, une organisation doit choisir le niveau approprié à son Profil.

Principaux changements dans NIST CSF 2.0

Les mises à jour déployées dans NIST CSF 2.0 reflètent la manière dont la cybersécurité est pratiquée aujourd’hui. Ces changements rendent le cadre plus accessible et pertinent pour les organisations de toutes tailles et de tous secteurs.

Renommé pour une applicabilité plus large

L’un des changements les plus évidents dans CSF 2.0 est le nom lui-même. NIST a supprimé « for Improving Critical Infrastructure » du nom. Il s’appelle désormais simplement « Cybersecurity Framework » et c’est intentionnel. Alors que le CSF ciblait initialement les organisations exploitant des infrastructures critiques, des organisations de toutes tailles et secteurs l’utilisent également depuis des années. Le nouveau nom reflète cette réalité et renforce l’intention de NIST que le framework convienne à toutes les organisations.

Conseils étendus pour les petites et moyennes entreprises (PME)

CSF 2.0 offre un meilleur soutien aux PME qui ne disposent pas d'équipes de sécurité dédiées ni de budgets importants. Il introduit des guides de démarrage rapide et des exemples de mise en œuvre adaptés aux PME ayant une maturité et des ressources limitées en cybersécurité. Ces ajouts aident les PME à se concentrer sur des améliorations pratiques basées sur les risques plutôt que d'essayer de mettre en œuvre l'ensemble du cadre d'un coup, facilitant ainsi une adoption simple et réalisable.

Langage plus clair et terminologie mise à jour

NIST a pris en compte les retours et a simplifié le langage et la structure du cadre, le rendant plus clair et cohérent. Les définitions sont plus claires, le jargon est réduit et la terminologie est mise à jour pour refléter les pratiques, technologies et structures organisationnelles modernes en cybersécurité. Cela rend le cadre plus facile à comprendre et à appliquer, en particulier pour les parties prenantes non techniques telles que les cadres, les gestionnaires de risques et les membres du conseil.

Nouvelles ressources de mise en œuvre

CSF 2.0 est livré avec des ressources améliorées qui aident les organisations à traduire les exigences de haut niveau en actions concrètes, rendant la mise en œuvre moins intimidante. Celles-ci incluent :

• Exemples de mise en œuvre pour chaque sous-catégorie, avec des conseils sur la manière d’atteindre les résultats.
• Guides de démarrage rapide adaptés à différents rôles et types d’organisation.
• Outils de référence qui cartographient les résultats CSF vers d'autres cadres que vous pourriez déjà utiliser.
• Profils Communautaires, qui fournissent des conseils spécifiques à l'industrie et servent de point de départ pour les organisations ayant des environnements de risque similaires.

La nouvelle fonction ‘Govern’

S’il y a un changement qui indique la direction de la cybersécurité, c’est celui-ci : Govern est désormais une Fonction autonome. Dans les versions précédentes du cadre, les activités liées à la gouvernance étaient dispersées dans d’autres fonctions. En les regroupant dans une nouvelle Fonction, le NIST fait une déclaration claire : la cybersécurité n’est pas seulement un problème informatique, mais un risque d’entreprise. Une cybersécurité efficace nécessite l’implication de la direction, la responsabilité et l’alignement avec les objectifs organisationnels. La direction exécutive et le conseil d’administration ont un rôle défini à jouer dans la définition de la direction, la définition de la tolérance au risque et la supervision de la stratégie de cybersécurité.

Catégories au sein de Govern

La fonction Govern du NIST CSF est composée de six catégories qui se concentrent sur le leadership, la responsabilité et la gestion des risques au niveau organisationnel.

Pourquoi la gouvernance maintenant ?

Au fil du temps, la cybersécurité est passée d’une question informatique à une responsabilité au niveau du conseil d’administration. Plusieurs violations très médiatisées ont prouvé qu’une mauvaise gouvernance peut entraîner des conséquences financières, opérationnelles et réputationnelles. Les évolutions réglementaires, telles que les règles de divulgation de cybersécurité de la US SEC et la directive NIS2 de l’UE, exigent désormais explicitement que la haute direction et les conseils d’administration jouent un rôle actif dans la supervision des risques liés à la cybersécurité. En élevant la gouvernance au rang de Fonction Centrale, CSF 2.0 reconnaît formellement que l’efficacité de la cybersécurité dépend de l’implication de la direction, de la responsabilité et de l’intégration avec la gestion des risques d’entreprise.

Mises à jour des cinq fonctions originales

Alors que Govern attire l’attention en tant que nouvelle addition, le NIST a également affiné les cinq Fonctions originales dans CSF 2.0 pour améliorer la clarté, l’utilisabilité et le soutien aux pratiques modernes de cybersécurité.

Identifier (ID)

L'accent est ici mis sur la compréhension de votre contexte organisationnel et du risque cybersécuritaire. Il ne s'agit pas seulement de cataloguer les actifs, mais de savoir pourquoi ils sont importants et quels risques ils comportent. Les directives relatives à la gestion des actifs, à l'environnement commercial et à l'évaluation des risques ont été affinées pour être plus pratiques et mieux soutenir la prise de décision basée sur les risques.

Protéger (PR)

Les mises à jour de la fonction Protect clarifient les contrôles liés à Identity Management et à l’accès, à la sécurité des données et à la formation à la sensibilisation à la sécurité. Les directives s’adressent à des environnements modernes tels que les infrastructures cloud, les systèmes hybrides, les effectifs à distance et la dépendance accrue aux services tiers.

Détecter (DE)

La fonction Detect inclut des conseils améliorés sur la surveillance continue, la détection des anomalies et l'analyse des événements indésirables. Elle met l'accent sur la détection rapide des événements de cybersécurité et l'importance de la visibilité à travers les systèmes, les réseaux et les sources de données pour réduire l'impact des incidents.

Répondre (RS)

Dans la fonction de réponse, CSF 2.0 offre des résultats plus exploitables pour les activités de réponse aux incidents, y compris la planification de la réponse, la gestion des incidents, l'analyse, l'atténuation, ainsi que les communications internes et externes. Cela aide les organisations à répondre plus efficacement lorsque des incidents de cybersécurité surviennent.

Récupérer (RC)

La récupération, ce n’est pas seulement remettre les systèmes en ligne. Le CSF 2.0 élargit les directives sur la planification de la récupération, les activités d’amélioration, l’exécution fluide des processus de récupération et le maintien d’une communication claire tout au long de la période de récupération afin que les parties prenantes sachent où en sont les choses.

Guide étendue sur les Profils et les Niveaux

CSF 2.0 explique comment les organisations devraient utiliser les Profils et les Niveaux de Mise en œuvre comme des outils pratiques, pas seulement comme des concepts théoriques.

Création de profils organisationnels

CSF 2.0 fournit des directives plus claires et plus exploitables pour développer des Profils Organisationnels qui reflètent à la fois les capacités actuelles et les objectifs futurs. Les organisations sont encouragées à :

• Évaluez leur Profil Actuel en cartographiant les pratiques existantes par rapport aux résultats du CSF. Qu'est-ce que vous faites déjà bien ? Où sont les lacunes ?
• Définissez un Profil Cible basé sur les objectifs commerciaux, la tolérance au risque et les exigences réglementaires.
• Effectuez une analyse des écarts pour identifier les différences entre les Profils Actuel et Cible.
• Priorisez les efforts de remédiation en fonction du risque, de l'impact et des ressources.

Profils communautaires

Les profils communautaires sont nouveaux dans CSF 2.0 et représentent une révolution pour les organisations qui ne souhaitent pas repartir de zéro. Ces profils sont développés par des groupes industriels, des agences gouvernementales et d'autres organisations sectorielles (santé, services financiers, fabrication, etc.) afin de fournir des conseils adaptés à des industries, technologies et cas d'utilisation spécifiques. Les profils communautaires servent de point de départ pratique ou de référence, permettant aux organisations de bénéficier d'une expertise partagée et de traiter les risques communs dans leur secteur.

Utiliser efficacement les niveaux

CSF 2.0 renforce que les Niveaux de Mise en œuvre sont destinés à fournir un contexte, et non à classer ou noter les organisations. Les niveaux aident les organisations à décrire l'efficacité avec laquelle elles gèrent le risque de cybersécurité et à communiquer leur niveau aux parties prenantes internes et externes, y compris les conseils d'administration, les régulateurs, les clients et les partenaires.

Le cadre précise également que toutes les organisations n'ont pas besoin d'atteindre le Niveau 4. Une petite organisation à but non lucratif et une banque multinationale ne devraient pas viser le même Niveau, et c'est tout à fait normal. Le Niveau approprié dépend de facteurs tels que l'appétit pour le risque, le modèle économique, les obligations réglementaires et les ressources.

Nouveaux domaines d'intérêt dans NIST CSF 2.0

La mise à jour du cadre de cybersécurité NIST met davantage l'accent sur des domaines devenus critiques en raison des menaces évolutives, des environnements complexes et des attentes réglementaires.

Gestion des risques de la chaîne d'approvisionnement

Les risques liés à la chaîne d'approvisionnement et aux tiers reçoivent une attention importante dans CSF 2.0 et sont abordés tout au long du cadre. La nouvelle fonction Govern comprend des catégories dédiées à la gestion des risques des tiers et des fournisseurs, offrant aux parties prenantes et aux cadres dirigeants une meilleure supervision d'un incident cybernétique. Les équipes de sécurité doivent savoir qui a accès aux systèmes, comment cet accès est utilisé et comment réagir en cas de compromission.

SolarWinds et des incidents similaires ont mis en lumière comment les vulnérabilités chez les fournisseurs, les prestataires de logiciels et les partenaires de services peuvent avoir un impact étendu. En conséquence, CSF 2.0 encourage les organisations à considérer le risque de la chaîne d'approvisionnement comme une préoccupation stratégique et à l'intégrer dans la gouvernance globale et la gestion des risques.

Technologies émergentes

CSF 2.0 a mis à jour ses directives pour mieux refléter les environnements technologiques modernes et répondre aux défis actuels en matière de sécurité. Cela inclut des considérations pour les systèmes basés sur le cloud, les modèles de travail à distance et hybrides, les déploiements de l’Internet des objets (IoT) et l’utilisation croissante de l’intelligence artificielle et de l’apprentissage automatique. Le cadre fournit des conseils pratiques pour sécuriser ces technologies sans prétendre qu’elles ne sont que des variations d’anciens problèmes sous de nouveaux noms.

Intégration de la confidentialité

La cybersécurité et la confidentialité vont de pair. Une violation de données est à la fois une défaillance de sécurité et une violation de la confidentialité. CSF 2.0 reconnaît ce chevauchement et offre une meilleure alignement avec le NIST Privacy Framework. Cela permet aux organisations d'intégrer les considérations de confidentialité dans leurs programmes de cybersécurité, gérant ainsi les deux risques de manière coordonnée.

Alignement sur les normes internationales

CSF 2.0 s'aligne mieux avec les normes internationales et industrielles, facilitant la cartographie des résultats CSF aux cadres de contrôle existants pour les organisations. Il fournit des cartographies supplémentaires et des références informatives plus claires aux normes telles que ISO/IEC 27001, CIS Controls et NIST SP 800-171, ce qui permet aux organisations de démontrer leur conformité à plusieurs cadres sans dupliquer les efforts.

Mise en œuvre de NIST CSF 2.0

Que vous migriez depuis CSF 1.1 ou que vous commenciez à zéro, voici comment aborder la mise en œuvre de manière pratique et gérable.

Analyse des écarts à partir de CSF 1.1

Si vous utilisez déjà CSF 1.1, la bonne nouvelle est que CSF 2.0 s’appuie sur ce que vous connaissez. Commencez par réaliser une analyse des écarts par rapport à CSF 2.0. L’approche suivante permet aux organisations d’identifier les lacunes et les domaines prioritaires tout en assurant une transition en douceur.

1. Examinez la nouvelle fonction Govern en évaluant les pratiques de gouvernance existantes par rapport aux catégories GV, telles que la stratégie de gestion des risques, la supervision et la gestion des risques de la chaîne d'approvisionnement. Vous faites probablement déjà une partie de ce travail ; il s'agit maintenant de le formaliser.
2. Cartographiez les contrôles existants aux catégories et sous-catégories mises à jour pour comprendre où les pratiques actuelles sont déjà alignées.
3. Identifiez les lacunes, en accordant une attention particulière aux domaines qui ont reçu une plus grande importance dans CSF 2.0, tels que la gestion des risques liés aux tiers et à la chaîne d'approvisionnement.
4. Mettez à jour les Profils Organisationnels pour refléter la structure CSF 2.0. Votre Profil Actuel doit prendre en compte la nouvelle fonction Govern et votre Profil Cible doit refléter où vous souhaitez être dans le cadre mis à jour.

Stratégie d’adoption progressive

Une approche progressive rend la mise en œuvre gérable et crée de l'élan au fur et à mesure.

Comment Netwrix prend en charge la mise en œuvre de NIST CSF 2.0

Netwrix propose des produits qui soutiennent directement les fonctions clés du CSF en matière d’identité, de données, de gouvernance, de surveillance et de réponse. Il aide les organisations à gagner en visibilité, contrôler l’accès, détecter les menaces et consolider les preuves pour démontrer la conformité.

Identifier : Visibilité sur les actifs et les données informatiques

Un programme solide de cybersécurité commence par connaître les actifs et les données que vous possédez, où ils se trouvent et quels risques ils comportent. Netwrix soutient la Fonction d'Identification en fournissant une visibilité approfondie dans les environnements IT hybrides. Il permet aux organisations de découvrir les actifs, de classifier les données sensibles et de comprendre où se trouvent les informations critiques et réglementées sur les serveurs de fichiers, bases de données, SharePoint, Office 365 et le stockage cloud.

• Netwrix Auditor offre une visibilité sur les modifications, configurations et accès dans les systèmes informatiques tels que Active Directory, les serveurs de fichiers et Microsoft 365, permettant aux organisations d’identifier les failles de sécurité et de suivre l’activité des utilisateurs.
• Netwrix Data Classification permet aux organisations de découvrir et de classifier les informations sensibles, les aidant à identifier les données insuffisamment protégées ou réglementées dans les dépôts locaux et cloud.

Ensemble, ces solutions offrent une visibilité complète des actifs qui soutient directement les exigences de la Fonction Identifier pour la gestion des actifs et l’évaluation des risques.

Gérer : contrôles d’accès et application des politiques

• Netwrix Privilege Secure fournit Privileged Access Management (PAM), permettant un accès just-in-time et réduisant les privilèges administratifs permanents. Il offre également la surveillance et l’enregistrement des sessions pour la supervision et la responsabilité des activités privilégiées.
• Avec des capacités de remédiation des risques alimentées par l'IA, la plateforme Netwrix 1Secure identifie non seulement les risques de sécurité des données, mais fournit également des étapes de remédiation adaptées, en se concentrant sur les autorisations à haut risque pouvant exposer les données.

Ces capacités correspondent directement aux résultats de Govern liés aux rôles, responsabilités, supervision et contrôle d'accès des fournisseurs ou tiers.

Détecter : Suivi des modifications et détection des anomalies

La surveillance continue et la détection précoce aident à limiter l'impact des incidents cybernétiques. Netwrix renforce la Fonction Detect en améliorant la visibilité des activités suspectes et des changements inattendus.

• Netwrix Auditor fournit des analyses de sécurité pour identifier les lacunes en matière de sécurité, détecter les anomalies dans le comportement des utilisateurs et enquêter sur les schémas de menaces à temps pour répondre aux menaces potentielles.
• La plateforme surveille en temps réel les modifications des systèmes critiques, y compris les modifications d'Active Directory, les modèles d'accès aux fichiers, les changements de configuration et l'activité des utilisateurs privilégiés. Elle alerte également les équipes de sécurité lorsqu'elle détecte une activité inhabituelle ou des écarts par rapport au comportement normal.

Cela prend en charge les résultats de CSF Detect liés à la détection d'anomalies, à la surveillance et à l'analyse des événements indésirables.

Récupérer : pistes d’audit et rapports

La récupération ne se limite pas à la restauration des systèmes ; elle nécessite responsabilité, preuves médico-légales et communication claire. Netwrix prend en charge la fonction de récupération grâce à une récupération rapide, un support d’audit et des capacités de reporting.

• Netwrix Auditor conserve des enregistrements détaillés des activités et des historiques de modifications qui peuvent être utilisés pour des analyses médico-légales et des enquêtes sur les incidents, fournissant aux équipes de sécurité les preuves nécessaires pour comprendre ce qui s’est passé, qui était impliqué et comment contenir les dégâts.
• Il propose également des outils automatisés de reporting, d’alerte et d’enquête pour soutenir la conformité aux exigences réglementaires et aider les équipes informatiques à traiter efficacement les demandes d’audit.
• Les rapports préconfigurés sont conformes aux exigences des normes PCI DSS, HIPAA, SOX, GDPR et NIST, ce qui facilite la démonstration de l’alignement avec le CSF auprès des conseils d’administration, des auditeurs et des régulateurs lors des phases de Réponse et de Récupération.
• Netwrix Identity Recovery permet aux organisations de récupérer rapidement des objets, des attributs et même des forêts entières d’Active Directory et d’Entra ID afin de restaurer les opérations avec un temps d’arrêt minimal.

Ces capacités soutiennent une gestion efficace des incidents, une analyse post-événement, une communication de récupération et une résilience commerciale, qui sont des résultats clés des fonctions Respond et Recover dans CSF 2.0.

Points clés pour les organisations

Les organisations peuvent utiliser CSF 2.0 pour renforcer les programmes de sécurité, la gouvernance, la résilience et la communication autour des risques. Lorsque vous envisagez de mettre en œuvre ou de passer à NIST CSF 2.0, voici quelques points essentiels à garder à l’esprit.

1. La gouvernance est centrale :
   Dans le NIST CSF 2.0, la gouvernance est centrale. La nouvelle fonction Govern formalise ce que de nombreuses organisations ont appris par expérience : la cybersécurité est un risque d’entreprise qui exige la responsabilité de la direction et la supervision au niveau du conseil d’administration, pas seulement des contrôles techniques.
2. Accessibilité améliorée :
   CSF 2.0 est explicitement conçu pour les organisations de toutes tailles et secteurs. De nouvelles directives et ressources de mise en œuvre rendent le cadre plus utilisable pour les PME ainsi que pour les entreprises matures. Vous n'avez plus besoin d'une grande équipe de sécurité pour bénéficier du cadre.
3. Focus sur la chaîne d'approvisionnement :
   La gestion des risques des tiers et des fournisseurs est désormais intégrée dans tout le cadre. Cela reflète l'impact croissant des dépendances aux fournisseurs et renforce que les fournisseurs doivent répondre aux attentes en matière de cybersécurité.
4. Ressources pratiques :
   CSF 2.0 propose des exemples de mise en œuvre, des guides de démarrage rapide et des Profils Communautaires qui vous donnent une longueur d’avance. Ces ressources traduisent des concepts de haut niveau en étapes concrètes, facilitant l’adoption.
5. Alignement global :
   CSF 2.0 propose une meilleure correspondance avec des cadres tels que ISO/IEC 27001, CIS Controls et NIST SP 800-171. Les organisations peuvent mapper les exigences CSF aux obligations de conformité plutôt que de gérer des programmes de conformité complets séparément.