NIST CSF 1.1 à 2.0 : où sont passées les sous-catégories retirées

Le NIST a publié le CSF 2.0 en février 2024, avec une nouvelle fonction Gouverner et un noyau réorganisé. Beaucoup de sous-catégories du CSF 1.1 n'ont pas survécu sous leur forme initiale : elles ont été déplacées vers un nouvel identifiant ou intégrées dans un élément plus général. Le NIST a consigné la destination de chacune dans les notes de retrait de ses données CSF 2.0.

Cela compte plus qu'il n'y paraît. Politiques, registres des risques, outils GRC, questionnaires fournisseurs et d'innombrables tableurs citent encore les identifiants du CSF 1.1. Une correspondance vers une sous-catégorie retirée n'est pas une erreur que quiconque remarque ; c'est un lien vers nulle part. C'est précisément pour cette raison que la compilation de ControlMapping échoue dès qu'un identifiant retiré est rencontré.

Le tableau complet

Chaque sous-catégorie du CSF 1.1 que le NIST a retirée dans la version 2.0, et ce que le NIST indique à son sujet :

CSF 1.1	Ce qui a changé dans CSF 2.0 (NIST)
DE.AE-01	Intégré dans ID.AM-03
DE.AE-05	Déplacé vers DE.AE-08
DE.CM-04	Intégré dans DE.CM-01, DE.CM-09
DE.CM-05	Intégré dans DE.CM-01, DE.CM-09
DE.CM-07	Intégré dans DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	Intégré dans ID.RA-01
DE.DP-01	Intégré dans GV.RR-02
DE.DP-02	Intégré dans DE.AE
DE.DP-03	Intégré dans ID.IM-02
DE.DP-04	Intégré dans DE.AE-06
DE.DP-05	Intégré dans ID.IM, ID.IM-03
ID.AM-06	Intégré dans GV.RR-02, GV.SC-02
ID.BE-01	Intégré dans GV.OC-05
ID.BE-02	Intégré dans GV.OC-01
ID.BE-03	Intégré dans GV.OC-01
ID.BE-04	Intégré dans GV.OC-04, GV.OC-05
ID.BE-05	Intégré dans GV.OC-04
ID.GV-01	Intégré dans GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	Intégré dans GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	Déplacé vers GV.OC-03
ID.GV-04	Déplacé vers GV.RM-04
ID.RM-01	Intégré dans GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	Intégré dans GV.RM-02, GV.RM-04
ID.RM-03	Déplacé vers GV.RM-02
ID.SC-01	Intégré dans GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	Intégré dans GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	Déplacé vers GV.SC-05
ID.SC-04	Intégré dans GV.SC-07, ID.RA-10
ID.SC-05	Intégré dans GV.SC-08, ID.IM-02
PR.AC-01	Intégré dans PR.AA-01, PR.AA-05
PR.AC-02	Déplacé vers PR.AA-06
PR.AC-03	Intégré dans PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	Déplacé vers PR.AA-05
PR.AC-05	Intégré dans PR.IR-01
PR.AC-06	Déplacé vers PR.AA-02
PR.AC-07	Déplacé vers PR.AA-03
PR.AT-03	Intégré dans PR.AT-01, PR.AT-02
PR.AT-04	Intégré dans PR.AT-02
PR.AT-05	Intégré dans PR.AT-02
PR.DS-03	Intégré dans ID.AM-08, PR.PS-03
PR.DS-04	Déplacé vers PR.IR-04
PR.DS-05	Intégré dans PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	Intégré dans PR.DS-01, DE.CM-09
PR.DS-07	Intégré dans PR.IR-01
PR.DS-08	Intégré dans ID.RA-09, DE.CM-09
PR.IP-01	Intégré dans PR.PS-01
PR.IP-02	Intégré dans ID.AM-08, PR.PS-06
PR.IP-03	Intégré dans PR.PS-01, ID.RA-07
PR.IP-04	Déplacé vers PR.DS-11
PR.IP-05	Déplacé vers PR.IR-02
PR.IP-06	Intégré dans ID.AM-08
PR.IP-07	Intégré dans ID.IM, ID.IM-03
PR.IP-08	Déplacé vers ID.IM-03
PR.IP-09	Déplacé vers ID.IM-04
PR.IP-10	Intégré dans ID.IM-02, ID.IM-04
PR.IP-11	Déplacé vers GV.RR-04
PR.IP-12	Intégré dans ID.RA-01, PR.PS-02
PR.MA-01	Intégré dans ID.AM-08, PR.PS-03
PR.MA-02	Intégré dans ID.AM-08, PR.PS-02
PR.PT-01	Intégré dans PR.PS-04
PR.PT-02	Intégré dans PR.DS-01, PR.PS-01
PR.PT-03	Intégré dans PR.PS-01
PR.PT-04	Intégré dans PR.AA-06, PR.IR-01
PR.PT-05	Déplacé vers PR.IR-03
RC.CO-01	Intégré dans RC.CO-04
RC.CO-02	Intégré dans RC.CO-04
RC.IM-01	Intégré dans ID.IM-03, ID.IM-04
RC.IM-02	Intégré dans ID.IM-03
RS.AN-01	Intégré dans RS.MA-02
RS.AN-02	Intégré dans RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	Déplacé vers RS.MA-03
RS.AN-05	Déplacé vers ID.RA-08
RS.CO-01	Intégré dans PR.AT-01
RS.CO-04	Intégré dans RS.MA-01, RS.MA-04
RS.CO-05	Intégré dans RS.CO-03
RS.IM-01	Intégré dans ID.IM-03, ID.IM-04
RS.IM-02	Intégré dans ID.IM-03
RS.MI-03	Intégré dans ID.RA-06
RS.RP-01	Intégré dans RS.MA-01

Les principales tendances

• ID.BE (Business Environment) et ID.GV (Governance) ont rejoint la nouvelle fonction Gouverner, sous forme de GV.OC (Contexte organisationnel), GV.RR, GV.PO et GV.OV.
• ID.SC (Supply Chain Risk Management) est devenu GV.SC, étendu à 10 sous-catégories.
• PR.AC (Access Control) est devenu PR.AA (Gestion des identités, authentification et contrôle d'accès), la segmentation réseau passant sous PR.IR.
• PR.IP (Information Protection Processes) a été scindé : les résultats liés à la configuration et à la maintenance sont passés sous PR.PS (Sécurité des plateformes), ceux liés à l'amélioration sous ID.IM.
• DE.DP (Detection Processes) a été retiré, ses résultats étant regroupés dans DE.CM, DE.AE et ID.IM.
• De nombreuses sous-catégories RS et RC ont été consolidées en résultats moins nombreux et plus généraux, sous RS.MA, RS.AN, RS.CO et RC.RP.

Comment mettre à jour les anciennes correspondances

1. Recherchez les identifiants CSF dans vos documents et outils, et vérifiez chacun d'eux dans le tableau ci-dessus. Les identifiants du CSF 1.1 comportent un seul chiffre (PR.AC-1) ; ceux du CSF 2.0 en comportent deux (PR.AA-01).
2. Remplacez directement les liens « déplacé vers ». Lorsque le NIST indique qu'une sous-catégorie a été déplacée, le nouvel identifiant constitue un remplacement direct.
3. Examinez les liens « intégré dans ». Le résultat plus général du CSF 2.0 peut couvrir davantage que votre contrôle ; vérifiez que la correspondance reste pertinente.
4. Ajoutez les nouveaux résultats de Gouverner. Le CSF 2.0 a introduit des résultats sans équivalent dans la version 1.1, notamment en matière de risque lié à la chaîne d'approvisionnement et de supervision.

Chaque sous-catégorie du CSF 2.0 dispose ici d'une page avec ses correspondances vers 10 autres référentiels ; commencez par la page du référentiel CSF 2.0. Pour comprendre concrètement ce que signifie la fonction Gouverner, consultez les référentiels qui la couvrent. Les notes de retrait ci-dessus proviennent des propres données CSF 2.0 du NIST, via son outil Cybersecurity and Privacy Reference Tool ; voir la méthodologie.

Questions

Qu'est-ce qui a remplacé PR.AC dans le NIST CSF 2.0 ?

La plupart des sous-catégories PR.AC (Access Control) du CSF 1.1 ont été transférées vers la nouvelle catégorie PR.AA (Gestion des identités, authentification et contrôle d'accès) ; les notes de retrait du NIST donnent la destination exacte de chacune.

Puis-je encore utiliser le CSF 1.1 ?

Vous le pouvez, mais la version actuelle du NIST est la 2.0, et les nouvelles correspondances et références informatives sont publiées par rapport à la 2.0. Mettre à jour les anciennes références évite les correspondances qui pointent silencieusement vers des sous-catégories retirées.