Quel référentiel de sécurité est le meilleur point de départ ? Nous l'avons mesuré

« Quel référentiel faut-il adopter en premier ? » est l'une des premières questions que se pose tout programme de sécurité, et les réponses habituelles relèvent de l'opinion. Nous voulions un chiffre : si vous mettez en œuvre le référentiel X, quelle part de chaque autre référentiel avez-vous déjà couverte ?

ControlMapping met en correspondance les exigences de onze référentiels entre eux, ce qui nous permet de le mesurer. Pour chaque référentiel, nous avons pris chacun des autres à tour de rôle et compté combien de ses exigences ont au moins une correspondance avec le premier, puis calculé la moyenne sur les dix.

Le classement

Si vous avez	Part moyenne des autres référentiels mise en correspondance	Couvre la plupart des	Couvre le moins de
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

Part = exigences de l'autre référentiel ayant au moins une correspondance (crosswalk ou éditoriale) avec celui-ci, en moyenne sur les 10 autres référentiels. Calculé en temps réel à partir des mêmes données que le analyse des écarts.

Deux référentiels se distinguent. NIST SP 800-53 est mis en correspondance avec la plus grande part de tout le reste, ce qui n'a rien de surprenant : c'est un catalogue de plusieurs centaines de contrôles conçu pour couvrir presque tous les sujets de sécurité et de confidentialité, et le NIST publie des correspondances officielles à partir de ce document vers le CSF 2.0 et l'ISO 27001. ISO 27001 vient ensuite, car l'Annexe A couvre le même périmètre à un niveau plus élevé et les clauses du système de management ajoutent une dimension de gouvernance que la plupart des référentiels abordent.

À l'autre extrémité, l'Essential Eight est celui qui correspond le moins, par conception. Il s'agit de huit stratégies d'atténuation ciblées, et non d'un programme complet ; sa mise en œuvre laisse donc la plupart des autres référentiels inchangés. Le RGPD (GDPR) obtient un score faible pour une raison similaire : seuls ses articles relatifs à la sécurité entrent dans le périmètre.

Lisez attentivement les chiffres

Trois points à garder à l'esprit :

• Correspondance ne vaut pas conformité. Une correspondance signifie que deux exigences traitent du même sujet. Le contrôle de gestion des vulnérabilités de l'ISO 27001 et l'exigence de scan trimestriel du PCI DSS sont mis en correspondance, mais répondre au premier ne satisfait pas la seconde.
• Les référentiels granulaires semblent faciles à couvrir. Presque tous les référentiels paraissent couvrir la quasi-totalité des CIS Controls. Le CIS compte 153 mesures de protection spécifiques ; la plupart des référentiels en touchent donc chacune au niveau du sujet, et la plupart des liens CIS relèvent de notre jugement éditorial, car la correspondance publiée par le CIS ne couvre que 49 mesures de protection. Considérez la colonne CIS comme « abordé », et non « réalisé ».
• Les référentiels spécifiques semblent difficiles à couvrir. PCI DSS et SP 800-53 sont les plus difficiles à couvrir pour les autres, car ils contiennent de nombreuses exigences détaillées que les référentiels plus généraux ne formulent pas explicitement.

C'est le demandeur qui décide

La mesure indique quel référentiel offre la base la plus large. Elle ne vous dit pas celui dont vous avez besoin, et c'est généralement ce point qui tranche la question :

• Les grands clients américains demandent un rapport SOC 2. Si un contrat en dépend, commencez par là.
• Les clients internationaux, les appels d'offres et les régulateurs demandent une certification ISO 27001.
• Les travaux pour l'administration fédérale américaine impliquent SP 800-53 (et FedRAMP pour le cloud) ; les contrats de défense impliquent CMMC Level 2.
• Les paiements par carte impliquent PCI DSS, quelle que soit votre autre activité.
• Les fournisseurs numériques de l'UE et les secteurs critiques ont besoin de NIS2.
• Personne ne le demande encore ? L'ISO 27001 ou le NIST CSF 2.0 offrent la base la plus large. Le CSF est gratuit et plus léger à mettre en place au départ ; l'ISO ajoute une certification lorsque vous en avez besoin. SP 800-53 couvre le plus, mais sa taille en fait une première étape lourde pour la plupart des entreprises privées.

Étendez ensuite, ne recommencez pas

Quel que soit le référentiel choisi au départ, le second coûte moins cher que le premier. Lancez une analyse d'écarts depuis le référentiel que vous avez vers celui dont vous avez besoin : vous obtenez, exigence par exigence, la liste de ce qui se reporte et de ce qui est nouveau, avec les éléments probants pour chaque lien. Les comparaisons détaillent plus en profondeur les couples les plus courants, comme ISO 27001 vs SOC 2 et NIST CSF vs ISO 27001.

Notre méthode de mesure

Pour chaque couple ordonné de référentiels, nous avons utilisé le même calcul que pour l'analyse d'écarts : une exigence est considérée comme mise en correspondance lorsqu'elle est rattachée au même sujet ControlMapping qu'une exigence de l'autre référentiel, ou reliée directement à l'une d'elles par une correspondance publiée ou par un lien éditorial assorti d'une justification. Les exigences qui ne partagent qu'un résultat du NIST CSF 2.0 (« faiblement liés ») ne sont pas comptabilisées. Les chiffres ci-dessus sont calculés en temps réel à partir des données actuelles ; voir la méthodologie.

Questions

Quel référentiel de sécurité couvre le plus les autres ?

Dans les données de ControlMapping, le NIST SP 800-53 couvre en moyenne la plus grande part des exigences des autres référentiels, suivi de l'ISO 27001. Une correspondance signifie que les exigences traitent de résultats liés, et non que l'une satisfait l'autre.

Une petite entreprise doit-elle commencer par l'ISO 27001 ou le SOC 2 ?

Commencez par ce que vos clients demandent. Si personne ne le demande encore, l'ISO 27001 ou le NIST CSF offrent la base la plus large ; le SOC 2 est la voie la plus rapide vers un rapport si un contrat américain en dépend.