Blog
Blog
Analyses fondées sur les données de correspondance, guides pratiques et avis de Paul Gillet. Flux RSS
Analyse
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.
Analyse · 2026-10-13Exigences MFA comparées dans 11 référentiels de sécuritéQuels référentiels imposent le MFA, à qui et avec quelle rigueur : PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 et HIPAA, comparés côte à côte.
Analyse · 2026-09-29Règle de sécurité HIPAA sous l'angle du NIST CSF 2.0Un programme NIST CSF 2.0 correspond à presque chaque exigence de la Règle de sécurité HIPAA. Ce qui se transpose, les deux exigences qui ne correspondent pas, et ce que le CSF apporte en plus de HIPAA.
Analyse · 2026-09-15Exigences de chiffrement comparées : prescriptions des référentiels et marges de manœuvreComment ISO 27001, PCI DSS, CMMC, HIPAA, RGPD (GDPR) et NIS2 traitent le chiffrement au repos, en transit et la gestion des clés, avec les identifiants d'exigences.
Analyse · 2026-08-18Exigences de réponse aux incidents comparées entre référentielsPlans de réponse aux incidents, tests et délais de notification comparés entre ISO 27001, SOC 2, PCI DSS, NIS2, RGPD, CMMC et HIPAA.
Analyse · 2026-08-04Sécurité physique : le sujet oublié des entreprises cloud-firstExigences de sécurité physique comparées entre ISO 27001, PCI DSS, CMMC, HIPAA et SOC 2, et leur mise en œuvre par les entreprises cloud-first.
Analyse · 2026-07-02Exigences de journalisation et de rétention des journaux comparéesJournalisation d'audit et rétention des journaux comparées entre ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC et NIST, y compris les rares durées de conservation fixes.
Analyse · 2026-05-19Quelle part de PCI DSS v4.0.1 ISO 27001 couvre-t-elle réellement ?ISO 27001 correspond à moins d'un tiers des exigences de PCI DSS v4.0.1. Où se situe le recoupement, pourquoi l'essentiel de PCI représente un travail nouveau même pour un SMSI, et comment le planifier.
Analyse · 2026-04-07RGPD (GDPR) : les articles de sécurité d'une loi sur la vie privéeLe RGPD (GDPR) est une loi sur la vie privée, mais les articles 5, 25, 28, 32 à 35 et 37 à 39 imposent des obligations de sécurité. Leur correspondance avec ISO 27001 et NIST, et ce qu'un SMSI laisse de côté.
Analyse · 2026-02-24Sauvegarde et reprise : exigences comparées entre référentielsFréquence, protection et tests de restauration des sauvegardes comparés entre ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, l'Essential Eight et NIST.
Analyse · 2026-01-06CMMC Level 2 rattaché à SP 800-53 : ce que révèle l'annexe D du NISTChaque pratique CMMC Level 2 remonte à NIST SP 800-53 via l'annexe D de SP 800-171 : fonctionnement, changements de la Rev 5 et la seule pratique restante.
Analyse · 2025-11-25Les sujets de sécurité les moins exigés par les référentielsLes DNS, la veille sur les menaces, la sécurité des API et des applications web sont les sujets que le moins de référentiels exigent. Pourquoi, et pourquoi ce n'est pas une autorisation de les ignorer.
Analyse · 2025-10-14Ce que couvre ISO 27001 dans NIS2, point par pointISO 27001 correspond à chaque point du règlement d'exécution NIS2, mais la certification seule ne vaut pas conformité NIS2. Ce qui se transpose, ce qui ne se transpose pas, et pourquoi.
Analyse · 2025-08-27Correspondances publiées ou jugement éditorial ? Part des correspondances fondée sur des preuvesNous avons étiqueté chaque correspondance entre référentiels comme correspondance publiée ou jugement éditorial. Répartition selon le référentiel et raisons pour lesquelles elle vous concerne.
Analyse · 2025-07-15Le socle commun des référentiels de sécuritéCinq sujets de sécurité figurent dans les 11 grands référentiels, de ISO 27001 et SOC 2 à NIS2 et à l'Essential Eight. Quels sont-ils, et pourquoi les traiter en premier ?
Analyse · 2025-06-03Le déficit de correspondance des CIS Controls : pourquoi seulement 49 des 153 mesures de protection ont une correspondance publiéeLa correspondance publiée par CIS avec le NIST CSF 2.0 ne couvre que 49 des 153 mesures de protection des CIS Controls v8.1. Pourquoi, et quelles conséquences pour les correspondances CIS sur lesquelles vous vous appuyez.
Analyse · 2025-04-17Risques tiers et chaîne d'approvisionnement : qui exige quoiExigences de sécurité fournisseurs et chaîne d'approvisionnement comparées : ISO 27001, SOC 2, PCI DSS, NIS2, RGPD [GDPR], HIPAA, NIST CSF 2.0.
Analyse · 2025-04-02Critères SOC 2 sans équivalent ISO 27001 : pourquoi ils existentLa plupart des critères SOC 2 correspondent à ISO 27001, mais l'intégrité du traitement et la plupart des critères de vie privée non. Lesquels, pourquoi, et que faire s'ils sont dans le périmètre.
Analyse · 2025-03-04NIST CSF 1.1 à 2.0 : où sont passées les sous-catégories retiréesLe NIST a retiré 79 sous-catégories du CSF 1.1 dans le CSF 2.0, en les déplaçant ou en les fusionnant avec d'autres. Le tableau complet indique où chacune a abouti et comment mettre à jour les anciennes correspondances.
Analyse · 2025-01-21NIST CSF 2.0, Gouverner : quels référentiels la couvrent déjà ?Le CSF 2.0 a ajouté une fonction Gouverner couvrant la stratégie de risque, les rôles, la politique, la supervision et le risque lié à la chaîne d'approvisionnement. Quels référentiels la couvrent déjà, et où sont les lacunes.
Analyse · 2024-12-05Quel référentiel de sécurité est le meilleur point de départ ? Nous l'avons mesuréNous avons mesuré la part de dix autres référentiels que couvre chacun des 11 référentiels de sécurité. Le NIST SP 800-53 et l'ISO 27001 sont en tête, mais c'est le demandeur qui décide.
Analyse · 2024-10-22Essential Eight et ISO 27001 : pourquoi la plupart des liens ne sont que « faiblement liés »ISO 27001 couvre en principe chaque stratégie de l'Essential Eight, mais la plupart des contrôles de l'ASD ne sont que faiblement liés à l'Annexe A. Voici ce que cela signifie pour vous.Guide pratique
Guide pratique · 2026-09-01Préparer une évaluation CMMC Level 2 quand on applique déjà SP 800-53Comment les organisations qui appliquent déjà le NIST SP 800-53 peuvent se préparer à une évaluation CMMC Level 2 : périmètre CUI, SSP, réutilisation des preuves et écueils.
Guide pratique · 2026-07-21Comment lire une correspondance et quand s'en méfierCe qu'une correspondance entre référentiels dit et ne dit pas : types de liens, sens, versions, granularité et auteur, avec les vérifications à faire.
Guide pratique · 2026-06-03De ISO 27001 à NIS2 : un plan pratique pour combler les écartsUn plan pas à pas pour une organisation certifiée ISO 27001 désormais soumise à NIS2 : périmètre, enregistrement, obligations de la direction, notification et mesures approfondies.
Guide pratique · 2026-04-21Due diligence fournisseurs : un processus pour plusieurs référentielsUn processus unique de due diligence fournisseurs pour ISO 27001, SOC 2, PCI DSS, RGPD (GDPR), HIPAA et NIS2 : hiérarchisation, rapports d'assurance, contrats et suivi.
Guide pratique · 2026-03-10Du rapport d'écarts au plan de projet : responsables, preuves et calendrierComment transformer une analyse d'écarts par rapport à un référentiel en plan de projet : chantiers, séquencement, estimations, responsables et preuves suivies jusqu'à l'audit.
Guide pratique · 2026-01-21Preuves de gestion des changements acceptées par les auditeursQuelles preuves de gestion des changements passent les audits SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS et NIS2, des pull requests aux changements d'urgence.
Guide pratique · 2025-12-09Revues des accès utilisateurs qui satisfont chaque auditeurComment mener des revues des accès utilisateurs conformes aux audits ISO 27001, SOC 2, PCI DSS, HIPAA et CMMC : périmètre, fréquence, relecteurs et preuves.
Guide pratique · 2025-10-28Mener une analyse d'écarts entre deux référentiels, avec suiviMéthode pratique d'analyse d'écarts entre deux référentiels de sécurité : périmètre, validation des correspondances et tableau de suivi.
Guide pratique · 2025-09-11Une seule évaluation des risques pour ISO 27001, SOC 2 et HIPAAComment mener une seule évaluation des risques de sécurité de l'information qui satisfait ISO 27001, SOC 2 et la HIPAA Security Rule, et ce que vérifie chaque audit.
Guide pratique · 2025-07-29Choisir le niveau de maturité cible d'Essential EightComment choisir un niveau de maturité cible Essential Eight : ce que chaque niveau protège, qui doit viser le niveau 2 ou 3, et comment progresser.
Guide pratique · 2025-06-17Rédiger une déclaration d'applicabilité qui résiste à l'auditComment rédiger une déclaration d'applicabilité ISO 27001:2022 : contenu obligatoire, justification des exclusions et constats d'audit fréquents.
Guide pratique · 2025-05-20Rendre compte au conseil avec les profils NIST CSF 2.0Utiliser les profils actuel et cible de NIST CSF 2.0 pour rendre compte de la cybersécurité au conseil : quoi montrer et comment le relier à vos référentiels.
Guide pratique · 2025-05-01Cadrer un premier rapport SOC 2 sans trop s'engagerDéfinir le périmètre d'un premier rapport SOC 2 : système, critères des Trust Services Criteria, carve-out, contrôles utilisateurs et erreurs coûteuses.
Guide pratique · 2025-03-18Cartographier un jeu de politiques pour plusieurs référentielsComment structurer un jeu unique de politiques de sécurité qui satisfait ISO 27001, SOC 2, NIST, PCI DSS et NIS2, et ce que chaque référentiel exige par écrit.
Guide pratique · 2025-02-04Élaborer une procédure de notification d'incident pour les délais de 24 et 72 heures de NIS2Comment élaborer une procédure de notification des incidents significatifs NIS2 : déterminer la significativité, l'alerte précoce sous 24 heures, la notification sous 72 heures et le rapport final à un mois.
Guide pratique · 2024-12-24Des preuves réutilisables entre SOC 2, ISO 27001 et PCI DSSQuelles preuves d'audit servent simultanément à SOC 2, ISO 27001 et PCI DSS, ce dont chaque auditeur a besoin en plus des autres, et comment les collecter une seule fois.
Guide pratique · 2024-11-06Un seul jeu de contrôles pour SOC 2 et ISO 27001 : faire tourner les deux sans tout faire deux foisComment piloter SOC 2 et ISO 27001 à partir d'un seul jeu de contrôles : ce qui se recoupe, ce que chacun ajoute, comment structurer les contrôles et les preuves, et comment aligner les audits.Avis
Avis · 2026-06-17Pourquoi nous étiquetons chaque correspondance « Correspondance » ou « Éditorial »Pourquoi ControlMapping marque chaque correspondance de référentiels comme correspondance publiée ou jugement éditorial, et pourquoi la traçabilité visible compte pour les données de conformité.
Avis · 2026-05-05Le cas en faveur de données de conformité ouvertes et gratuitesLes correspondances entre référentiels sont enfermées dans des outils payants et des tableurs. Pourquoi elles doivent être ouvertes, sourcées et gratuites.
Avis · 2026-03-24Ce que 20 ans de cybersécurité m'ont appris sur les auditsLeçons de deux décennies d'audits de sécurité : les preuves l'emportent sur le récit, le périmètre décide de tout, et les contrôles échouent quand personne n'en est responsable.
Avis · 2026-02-05Politiques de sécurité rédigées par l'IA : raccourci utile ou risque d'audit ?L'IA générative peut rédiger des politiques de sécurité en quelques minutes. Où cela aide, où cela crée des constats d'audit, et comment l'utiliser sans produire de politiques vides.
Avis · 2025-12-23La conformité n'est pas la sécurité, mais les correspondances aident sur les deux plansPourquoi réussir un audit ne rend pas une organisation sûre, où conformité et sécurité convergent, et comment la correspondance libère du temps.
Avis · 2025-11-11Arrêtez d'acheter des outils de conformité avant d'avoir rédigé les politiquesPourquoi les organisations qui achètent des outils de conformité ou de sécurité avant de définir leur mode de fonctionnement finissent souvent avec des logiciels inutilisés, et l'ordre de travail qui permet de l'éviter.
Avis · 2025-09-25Le problème des correspondances des éditeurs que vous ne pouvez pas vérifierLes plateformes de conformité relient un contrôle à plusieurs référentiels via des correspondances impossibles à inspecter. Risques et exigences à poser.
Avis · 2025-08-12Responsabilité des dirigeants au titre de NIS2 : cela changera-t-il le comportement des conseils d'administration ?NIS2 impose aux organes de direction d'approuver et de superviser la cybersécurité, et de suivre une formation, sous peine de responsabilité. Cela changera-t-il le comportement des conseils, et que doivent-ils faire ?
Avis · 2025-07-01Une petite entreprise a-t-elle besoin d'ISO 27001 ?Quand ISO 27001 se justifie pour une petite entreprise, quand SOC 2 ou une base technique doit passer en premier, et comment garder une certification proportionnée.
Avis · 2025-02-18Fatigue des référentiels : un pivot, le reste en correspondanceLes organisations soumises à plusieurs référentiels de sécurité s'épuisent à gérer chacun séparément. Pourquoi choisir un référentiel pivot et y faire correspondre les autres fonctionne mieux.
Avis · 2025-01-07Faut-il utiliser l'Essential Eight hors d'Australie ?L'Essential Eight de l'ASD est une base de référence australienne aux conseils universels. Pourquoi des organisations ailleurs pourraient l'adopter, et comment elle s'articule avec ISO ou NIST.
Avis · 2024-11-20Pourquoi « êtes-vous certifié SOC 2 ? » est la mauvaise questionIl n'existe aucune certification SOC 2. Ce que la question demande vraiment, ce qu'un rapport SOC 2 montre et ne montre pas, et de meilleures questions à poser aux fournisseurs.