Le NIST Cybersecurity Framework comme carte, pas comme trophée
Nous vous aidons à décrire où en est votre sécurité aujourd'hui, où elle devrait être, et le chemin raisonnable le plus court entre les deux.
Présentation
Ce qu'est le NIST CSF
Le NIST Cybersecurity Framework est un cadre volontaire publié par le National Institute of Standards and Technology américain. Il organise les résultats de cybersécurité en fonctions. La version 2.0 en compte six : Govern, Identify, Protect, Detect, Respond et Recover. Govern, nouvelle dans la 2.0, place la stratégie, les rôles, les politiques et les risques liés à la chaîne d'approvisionnement au centre.
Le cadre vous indique quels résultats viser, pas quels produits acheter. Vous décrivez votre profil actuel, convenez d'un profil cible adapté à vos risques et obligations, et travaillez sur l'écart. Les niveaux de mise en œuvre (tiers) décrivent la rigueur et la prise en compte des risques dans vos pratiques.
Il n'existe pas de certification NIST CSF, ni pour les organisations ni pour les consultants. Celui qui vous en propose une vend autre chose. Ce que vous pouvez obtenir, c'est une évaluation honnête, une cible défendable et un plan.
À qui s'adresse ce service
Les organisations qui veulent décrire leur sécurité de façon structurée et reconnue sans s'engager dans une certification, celles dont les clients ou partenaires américains attendent un alignement sur le NIST CSF, et les équipes qui ont besoin d'un langage commun entre la direction et l'informatique.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Profil actuel
Une évaluation de votre situation pour chaque catégorie et sous-catégorie, fondée sur des entretiens, des documents et des preuves.
Profil cible
Les résultats à atteindre, choisis selon vos risques, les attentes de vos clients et la réglementation qui vous concerne.
Fonction Govern
Stratégie, appétence au risque, rôles et responsabilités, politiques et gestion des risques fournisseurs, la partie que beaucoup d'organisations n'ont jamais écrite.
Analyse d'écarts et feuille de route
Les différences entre l'actuel et la cible, priorisées par risque et par effort, puis traduites en plan avec des responsables.
Correspondance avec d'autres cadres
Si vous rendez aussi compte selon l'ISO/IEC 27001, les CIS Controls, COBIT ou NIS 2, nous établissons les correspondances pour que le travail ne soit fait qu'une fois.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des interlocuteurs et de l'usage du profil, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition
Une proposition commerciale précisant la méthode, le périmètre et le type de contrat qui vous convient.
Profil actuel
Entretiens, revue documentaire et échantillonnage de preuves sur les six fonctions.
Profil cible et écarts
Un atelier avec la direction pour fixer la cible, suivi d'une liste d'écarts classés.
Restitution
Les profils, la feuille de route et un rapport de synthèse exposant le risque derrière chaque écart, présentés à votre équipe.
Clôture
Clôture du projet avec vos retours et, en option, un accompagnement pendant la mise en œuvre de la feuille de route.
Ce que vous recevez
- Profil actuel sur les six fonctions du CSF
- Profil cible et sa justification
- Analyse d'écarts classée par risque et par effort
- Feuille de route avec responsables et jalons
- Correspondance avec l'ISO/IEC 27001 ou d'autres cadres si utile
- Rapport de synthèse pour la direction
Questions
Peut-on être certifié NIST CSF ?
Non. Le cadre est volontaire et n'a pas de schéma de certification. Vous pouvez vous évaluer vous-même ou vous faire évaluer par un tiers indépendant, comme nous le faisons. S'il vous faut un certificat, l'ISO/IEC 27001 est la voie habituelle, et les deux se correspondent bien.
Le NIST CSF est-il réservé aux organisations américaines ?
Non. Il a été écrit pour les infrastructures critiques américaines, mais il est utilisé ailleurs, dans tous les secteurs et toutes les tailles. La version 2.0 s'adresse explicitement à toutes les organisations.
Qu'est-ce qui change avec le CSF 2.0 ?
Le principal changement est la nouvelle fonction Govern, qui intègre la stratégie, les rôles, les politiques et la gestion des risques de la chaîne d'approvisionnement. Les catégories ont aussi été revues et davantage de guides de mise en œuvre ont été publiés.
Quel lien avec l'ISO/IEC 27001 ?
L'ISO/IEC 27001 définit un système de management certifiable, le NIST CSF décrit des résultats. Beaucoup d'organisations expliquent leur posture avec le CSF et la prouvent avec l'ISO/IEC 27001. Nous pouvons établir la correspondance entre les deux.
Services associés
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
- Gouvernance et risquesCIS ControlsÉvaluation et mise en œuvre des CIS Controls avec Black Fox Security : choisir son groupe de mise en œuvre, mesurer chaque safeguard et traiter l'essentiel d'abord.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conseil et réponseRSSI virtuelUn RSSI virtuel de Black Fox Security : stratégie et feuille de route, reporting à la direction, politiques, audits et questionnaires de sécurité clients.
Dessinez votre profil actuel
Dites-nous pourquoi vous vous intéressez au NIST CSF. Nous vous dirons où vous en êtes.