Que sont les cadres du NIST ?

Les référentiels du NIST constituent un ensemble de lignes directrices, de normes et de bonnes pratiques à caractère volontaire, publiées par l'Institut national des normes et des technologies (NIST) afin d'aider les organisations à gérer les risques liés à la cybersécurité, à protéger leurs données sensibles et à respecter les exigences de conformité. Si vous évaluez votre niveau de sécurité ou si vous vous préparez à un audit SOC 2 ou ISO 27001, la première décision que vous devez prendre consiste à déterminer quel cadre du NIST s'applique à votre situation.

Pourquoi les cadres de référence du NIST sont-ils importants pour les équipes informatiques et de sécurité ?

Les référentiels du NIST ne sont pas de simples listes de contrôle bureaucratiques. Les prestataires du gouvernement fédéral sont tenus par la loi (en vertu de la loi FISMA) de s’y conformer, et les organisations du secteur privé s’y réfèrent de plus en plus comme référence pour démontrer leur maturité en matière de sécurité auprès de leurs clients, des auditeurs et des assureurs spécialisés dans la cybersécurité.

Trois réalités font aujourd’hui des cadres NIST des références pertinentes pour la plupart des équipes informatiques des moyennes entreprises et des grandes entreprises :

• Les demandes de souscription à une cyberassurance demandent désormais systématiquement si vous êtes en conformité avec le NIST CSF
• Les équipes d’achats des entreprises utilisent la conformité aux cadres du NIST comme critère de qualification des fournisseurs
• Les contrôles du NIST correspondent directement aux normes SOC 2, ISO 27001 et HIPAA, ce qui réduit les doublons dans les efforts de mise en conformité

La compréhension de ces cadres vous aide également à vous exprimer de manière crédible lors des audits. Les auditeurs souhaitent constater une réflexion structurée sur les risques, et non des réponses improvisées.

Présentation des principaux cadres du NIST

Le NIST a publié des dizaines de documents, mais quatre cadres représentent la grande majorité des applications concrètes dans les programmes informatiques et de sécurité.

Cadre de cybersécurité du NIST (CSF)

Le cadre de cybersécurité du NIST est la publication du NIST la plus largement adoptée en dehors du gouvernement fédéral. La version 2.0, publiée en février 2024, a élargi les cinq fonctions initiales en y ajoutant une sixième : la gouvernance.

Les six fonctions du CSF sont les suivantes :

1. Gouvernance: établir et surveiller votre stratégie, vos politiques et vos rôles en matière de gestion des risques liés à la cybersécurité
2. Identifier: Comprendre vos actifs, vos fournisseurs et vos risques de cybersécurité (c’est là que la gestion de l’inventaire matériel devient une contribution directe au CSF)
3. Protéger: mettre en œuvre des mesures de protection, notamment des contrôles d’accès, la gestion des configurations et le renforcement de la sécurité des terminaux
4. Détecter: surveiller en permanence les anomalies et les incidents
5. Réagir: mettre en œuvre votre plan de réponse aux incidents
6. Récupérer: Restaurer les systèmes affectés et apporter des améliorations en tirant les leçons de l’expérience

Le CSF est conçu pour être axé sur les résultats. Il vous indique ce que vous devez atteindre, mais pas exactement comment y parvenir. Cette flexibilité est utile pour les petites équipes, mais elle implique également que vous deviez traduire ces fonctions en contrôles techniques spécifiques.

Cadre de gestion des risques du NIST (RMF)

Le cadre de gestion des risques du NIST est un processus structuré en sept étapes, initialement conçu pour les systèmes d’information fédéraux. Il est obligatoire pour les agences fédérales américaines et leurs sous-traitants en vertu de la loi FISMA.

Les sept étapes du RMF sont les suivantes :

1. Préparation
2. Catégoriser le système d’information
3. Sélectionner les contrôles de sécurité
4. Mettre en œuvre les contrôles
5. Évaluer les contrôles
6. Autoriser le système
7. Assurer une surveillance continue

Le RMF est plus normatif que le CSF. Si vous êtes une entreprise SaaS vendant ses services au gouvernement fédéral ou cherchant à obtenir une autorisation FedRAMP, le RMF constitue votre cadre opérationnel principal.

NIST SP 800-53

La publication spéciale 800-53 du NIST est le catalogue de contrôles qui sous-tend le RMF. La révision 5 contient plus de 1 000 contrôles et améliorations de contrôles organisés en 20 familles, notamment le contrôle d’accès (AC), la gestion de la configuration (CM), la réponse aux incidents (IR) et la protection des systèmes et des communications (SC).

La SP 800-53 constitue également le pilier technique du programme FedRAMP. Lorsque les professionnels de la sécurité évoquent les « contrôles NIST », ils font généralement référence aux contrôles de la SP 800-53.

Dans le cadre des activités informatiques concrètes, les contrôles CM-6 (Paramètres de configuration) et CM-7 (Fonctionnalité minimale) de la norme SP 800-53 sont directement liés à la gestion des terminaux, car ils exigent des références documentées et des restrictions concernant les logiciels et services superflus. C'est là que s'inscrit votre guide de renforcement de la sécurité des terminaux.

NIST SP 800-171

La norme NIST SP 800-171 est une version simplifiée des contrôles de la norme SP 800-53, dont le champ d’application est spécifiquement axé sur la protection des informations non classifiées contrôlées (CUI) dans les systèmes non fédéraux. Il s’agit de la norme de conformité de référence pour les sous-traitants du ministère de la Défense et elle est directement liée au programme CMMC (Cybersecurity Maturity Model Certification).

Si votre organisation traite des CUI, la norme SP 800-171 n’est pas facultative, et la certification CMMC de niveau 2 ou 3 nécessitera une évaluation indépendante par rapport à celle-ci.

Relations entre les cadres du NIST

Considérez ces cadres comme des couches :

• Le CSF vous fournit un vocabulaire stratégique, axé sur les résultats, pour la gestion des risques liés à la cybersécurité
• Le RMF vous fournit un processus d’autorisation et de surveillance continue de systèmes spécifiques
• La normeSP 800-53 vous fournit les contrôles spécifiques à mettre en œuvre dans le cadre du processus RMF
• La norme SP 800-171 vous fournit un sous-ensemble ciblé des contrôles de la norme SP 800-53 pour les environnements CUI

Pour la plupart des équipes informatiques du secteur privé, le CSF constitue le point d’entrée. Les organisations qui souhaitent obtenir des contrats fédéraux ou une autorisation FedRAMP passent ensuite au RMF et à la norme SP 800-53. Les entreprises de la chaîne d’approvisionnement de la défense s’appuient sur la norme SP 800-171.

Le CSF du NIST et les cadres de conformité communs

L’un des avantages pratiques de l’alignement sur le CSF du NIST réside dans le fait que ses contrôles correspondent bien aux cadres de référence sur lesquels les auditeurs effectuent leurs tests. Le NIST publie des documents de correspondance qui montrent comment les sous-catégories du CSF s’alignent sur :

• Critères des services de confiance SOC 2 (voir notre guide de conformité SOC 2)
• ISO/IEC 27001
• Règle de sécurité HIPAA
• PCI DSS
• Contrôles CIS v8

Cela signifie que si vous élaborez votre programme de sécurité autour du CSF, vous n’avez pas à repartir de zéro à chaque audit. Vous collectez les preuves une seule fois et les mappez à plusieurs référentiels, ce qui constitue le principe fondamental de l’automatisation de la conformité.

NIST et sécurité des terminaux

Les terminaux sont explicitement abordés dans l’ensemble des référentiels du NIST. La fonction « Protéger » du CSF préconise la gestion des configurations et le principe du moindre privilège. La norme SP 800-53 CM-6 exige des référentiels de configuration documentés pour tous les appareils. La norme SP 800-171 inclut des exigences équivalentes dans sa famille « Protection des systèmes et des communications ».

Concrètement, ces exigences se traduisent par :

• L’application des configurations de référence CIS sur tous les appareils gérés
• Tenir à jour un inventaire de l’ensemble du matériel (exigé à la fois par la fonction « Identify » du CSF et par la norme SP 800-53 CM-8)
• Limiter l’installation de logiciels aux applications approuvées
• Mettre en œuvre une surveillance continue des dérives de configuration
• Gérer systématiquement les vulnérabilités, notamment par le biais de processus de hiérarchisation et de correction des CVE

Si votre parc comprend des appareils personnels non gérés, votre couverture CSF Identify and Protect présente des lacunes évidentes. Les recommandations du NIST à ce sujet vont dans le sens de la nécessité d’une politique structurée de gestion des appareils BYOD, définissant les contrôles applicables et la manière de les vérifier.

L’approche d’Iru en matière d’alignement sur le cadre du NIST

Répondre aux exigences du NIST ne se résume pas à un simple exercice de documentation. Les contrôles doivent être réellement appliqués au niveau des appareils, et c’est là que le choix des outils prend toute son importance.

Iru Endpoint prend en charge les exigences au niveau des appareils prévues par le CSF et la norme SP 800-53. Pour les parcs d’appareils macOS, iOS, iPadOS et tvOS, il applique des configurations de référence issues des benchmarks CIS, tient à jour un inventaire matériel en temps réel pour la couverture du volet « Identify » du CSF, restreint l’installation de logiciels et met en évidence les écarts de configuration avant même qu’un auditeur ne les détecte. Ces capacités correspondent directement aux familles de contrôles CM, AC et SI de la norme SP 800-53, sans nécessiter de travail de corrélation manuel de la part de votre équipe.

Iru Compliance récupère les preuves de conformité générées par Iru Endpoint et les met en correspondance avec les référentiels utilisés par vos auditeurs, notamment SOC 2, ISO 27001 et HIPAA. Lorsqu’un questionnaire de sécurité client vous demande si vous respectez le NIST CSF, la réponse provient des données de surveillance continue, et non d’une feuille de calcul mise à jour la semaine précédant un audit.

Pour les équipes informatiques gérant spécifiquement des parcs Apple, l’approche d’Iru garantit que les configurations conformes aux exigences du NIST sont appliquées dès l’inscription, et non pas mises en place a posteriori après qu’une évaluation des lacunes a mis en évidence le problème.

Choisir le cadre NIST adapté à votre organisation

La plupart des organisations n’ont pas besoin de mettre en œuvre tous les cadres NIST simultanément. Utilisez ce guide pour vous aider à prendre votre décision :

• Vous êtes une entreprise du secteur privé en train de mettre en place un programme de sécurité: commencez par le NIST CSF 2.0. Ses six fonctions vous offrent un langage commun pour les rapports destinés à la direction et une structure compatible avec la plupart des cadres d’audit.
• Vous vendez au gouvernement fédéral ou vous vous conformez au programme FedRAMP: basez-vous sur le RMF et la norme SP 800-53 Rev 5. Faites appel à un organisme d’évaluation tiers (3PAO) dès le début.
• Si vous êtes un prestataire ou un sous-traitant du DoD traitant des informations classifiées (CUI): alignez-vous sur la norme SP 800-171 Rev 3 et préparez-vous à l’évaluation CMMC.
• Vous devez vous conformer à plusieurs référentiels (SOC 2, ISO 27001, HIPAA): utilisez le CSF comme structure unificatrice et tirez parti des correspondances croisées pour réduire la collecte de preuves en double.

Ces référentiels ne s’excluent pas mutuellement. De nombreuses organisations utilisent le CSF comme couche organisationnelle et la norme SP 800-53 comme catalogue de contrôles techniques, qu’elles évoluent ou non dans un contexte fédéral.

Si votre équipe est prête à passer de la compréhension des référentiels à leur mise en œuvre active sur l’ensemble de votre parc d’appareils, réservez une démonstration pour découvrir comment Iru met en correspondance, dans la pratique, les contrôles des terminaux avec les exigences du NIST.