NIST CSF 2.0, Gouverner : quels référentiels la couvrent déjà ?

Lorsque le NIST a publié le CSF 2.0 en février 2024, le changement principal était une sixième fonction. Gouverner rejoint Identifier, Protéger, Détecter, Répondre et Rétablir, et le NIST le place au centre des autres : contexte organisationnel, stratégie de gestion des risques, rôles et responsabilités, politique, supervision et gestion du risque lié à la chaîne d'approvisionnement en cybersécurité. Elle fait passer la gouvernance d'une catégorie de la fonction Identifier à l'élément qui pilote tout le reste.

Si vous suivez déjà un autre référentiel, quelle part de Gouverner couvrez-vous ?

Couverture de Gouverner par référentiel

ControlMapping recense six sujets rattachés à la fonction Gouverner. Voici combien chaque référentiel en correspond :

Référentiel	Gouverner thèmes mis en correspondance	Aucune correspondance pour
ISO 27001	6 sur 6	—
SOC 2	6 sur 6	—
PCI DSS	6 sur 6	—
800-53	6 sur 6	—
GDPR	6 sur 6	—
NIS2	6 sur 6	—
HIPAA	5 sur 6	Risque lié à la chaîne d'approvisionnement
CIS v8.1	2 sur 6	Politique de gouvernance, Gestion des risques, Rôles et responsabilités, Conformité
CMMC	2 sur 6	Politique de gouvernance, Risque lié à la chaîne d'approvisionnement, Rôles et responsabilités, Gestion des risques fournisseurs
Essential Eight	0 sur 6	Politique de gouvernance, Gestion des risques, Risque lié à la chaîne d'approvisionnement, Rôles et responsabilités, Conformité, Gestion des risques fournisseurs

Thèmes : Politique de gouvernance, Gestion des risques, Risque lié à la chaîne d'approvisionnement, Rôles et responsabilités, Conformité, Gestion des risques fournisseurs.

Les référentiels qui la couvrent

Les référentiels de systèmes de management et de catalogues de contrôles couvrent bien Gouverner. Les clauses 4 à 6 et 9 d'ISO 27001 relèvent de la gouvernance : contexte, leadership, rôles, appréciation et traitement des risques, évaluation de la performance, revue de direction. SP 800-53 comprend toute une famille de gestion de programme (PM). Les critères d'environnement de contrôle de SOC 2 (CC1 à CC5) proviennent du référentiel COSO de contrôle interne, qui relève de la gouvernance par conception. L'exigence 12 de PCI DSS et les obligations des organes de direction au titre de NIS2 occupent le même périmètre.

Les référentiels qui ne le font pas

Les référentiels opérationnels de base couvrent peu cette fonction. Les Essential Eight comptent huit stratégies techniques d'atténuation et ne contiennent aucun élément de gouvernance ; c'est un choix de conception, pas un oubli. Les CIS Controls v8.1 abordent la gouvernance principalement à travers leurs processus de gestion des fournisseurs de services et de gestion des données. CMMC Level 2 hérite de l'accent mis par SP 800-171 sur la protection des CUI dans les systèmes, ce qui laisse de côté la plupart des résultats liés à la stratégie de risque et au programme de chaîne d'approvisionnement.

Chaîne d'approvisionnement : la partie la plus difficile de Gouverner

Gouverner comprend dix sous-catégories consacrées à la gestion du risque lié à la chaîne d'approvisionnement en cybersécurité, de la mise en place d'un programme à la gestion des fournisseurs tout au long de la relation. Beaucoup de référentiels touchent à la sécurité des fournisseurs (ISO 27001 A.5.19 à A.5.23, SOC 2 CC9.2, PCI DSS 12.8), mais peu la traitent comme un programme doté de critères de risque, de niveaux et de surveillance. Si votre couverture de Gouverner est élevée, vérifiez si elle l'est particulièrement pour la chaîne d'approvisionnement.

À retenir

• Gouverner est la nouvelle fonction du CSF 2.0 pour le contexte, la stratégie de risque, les rôles, la politique, la supervision et le risque lié à la chaîne d'approvisionnement.
• Les référentiels de systèmes de management et de catalogues (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) la couvrent bien.
• Les référentiels opérationnels de base (Essential Eight, CIS, CMMC) en couvrent peu, par conception.
• Le risque lié à la chaîne d'approvisionnement est le volet de Gouverner dont la profondeur varie le plus d'un référentiel à l'autre.

Que faire

1. Si vous appliquez un référentiel opérationnel de base (CIS, Essential Eight, CMMC), ajoutez la gouvernance par-dessus : la fonction Gouverner du CSF, ou le système de management d'ISO 27001, vous en donne la structure.
2. Si vous appliquez ISO 27001 ou SOC 2, utilisez Gouverner pour renforcer le reporting au conseil : les résultats du CSF sont formulés dans un langage que les dirigeants comprennent.
3. Consultez les sujets chaîne d'approvisionnement et risque lié aux fournisseurs, là où les référentiels diffèrent le plus en profondeur.

La page du référentiel CSF 2.0 répertorie chaque sous-catégorie de Gouverner avec ses correspondances, et l'analyse d'écarts présente la couverture du CSF à partir de tout référentiel que vous possédez.

Questions

Qu'est-ce que la fonction Gouverner du NIST CSF 2.0 ?

Gouverner (GV), ajoutée au CSF 2.0 en 2024, couvre le contexte organisationnel, la stratégie de gestion des risques, les rôles et responsabilités, la politique, la supervision et la gestion du risque lié à la chaîne d'approvisionnement en cybersécurité. Le NIST la place au centre des cinq autres fonctions.

ISO 27001 couvre-t-il Gouverner du CSF 2.0 ?

Dans une large mesure, oui : les clauses 4 à 6 et 9 d'ISO 27001 (contexte, leadership, risques, évaluation de la performance) et ses contrôles fournisseurs correspondent à la plupart des résultats de Gouverner.

Gouverner du CSF 2.0 ne concerne-t-il que les grandes organisations ?

Non. Les petites organisations ont besoin des mêmes fondamentaux, sous une forme allégée : qui est responsable, quels risques sont acceptables, quelles sont les politiques et comment les fournisseurs sont gérés.