Exigences de chiffrement comparées : prescriptions des référentiels et marges de manœuvre

Le chiffrement est l'un des rares contrôles que tous les référentiels de sécurité exigent sous une forme ou une autre. En lisant les exigences de près, elles divergent toutefois sur trois points qui comptent bien plus que le choix de l'algorithme : quand le chiffrement est obligatoire, si vous devez utiliser des modules cryptographiques validés, et le niveau de détail de la gestion des clés.

Qui exige quoi

Référentiel	Chiffrement	Lien
NIST CSF 2.0	PR.DS-01PR.DS-02	Définition du sujet
ISO 27001	A.8.24	Correspondance
CIS v8.1	CIS 3.10CIS 3.11CIS 3.6CIS 3.9	Correspondance
SOC 2	CC6.1CC6.7	Éditorial
PCI DSS	3.5.13.6.14.2.13.7.13.7.44.2.1.1	Correspondance
CMMC	SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6	Correspondance
800-53	SC-8SC-12SC-13SC-28	Correspondance
HIPAA	§164.312(a)(2)(iv)§164.312(e)(2)(ii)	Correspondance
GDPR	Art.32(1)(a)Art.34(3)(a)	Éditorial
NIS2	9.1	Correspondance
Essential Eight	—	Aucune correspondance dans nos données

Détail complet et raison de chaque lien : Chiffrement dans les référentiels →

Quand le chiffrement est obligatoire

• PCI DSS est sans ambiguïté. Les numéros de compte primaires (PAN) stockés doivent être rendus illisibles (3.5.1), et le PAN doit être protégé par une cryptographie robuste lorsqu'il est transmis sur des réseaux ouverts et publics (4.2.1).
• CMMC Level 2 exige une protection cryptographique des CUI en transit (SC.L2-3.13.8), au repos (SC.L2-3.13.16), sur les appareils mobiles (AC.L2-3.1.19) et sur les supports de stockage amovibles (MP.L2-3.8.6).
• HIPAA rend le chiffrement au repos et en transit adressable : vous devez le mettre en œuvre ou documenter pourquoi une alternative équivalente est raisonnable. En pratique, des ePHI non chiffrés sur un ordinateur portable perdu sont difficiles à défendre, et HHS a proposé en janvier 2025 de rendre le chiffrement obligatoire.
• Le RGPD (GDPR) cite le chiffrement comme une mesure à envisager (Article 32(1)(a)) et lui attribue un avantage concret : si les données violées étaient chiffrées, vous n'êtes peut-être pas tenu de notifier les personnes concernées (Article 34(3)(a)).
• ISO 27001 (A.8.24), SOC 2 (CC6.1, CC6.7) et NIS2 (point 9.1, une politique de cryptographie) exigent que vous décidiez où la cryptographie est nécessaire et que vous l'appliquiez, plutôt que de la rendre obligatoire partout.

Cryptographie validée

Seule la famille fédérale américaine impose des modules validés. CMMC Level 2 exige une cryptographie validée FIPS pour protéger la confidentialité des CUI (SC.L2-3.13.11), et les systèmes SP 800-53 utilisent des modules validés FIPS (SC-13). Les autres demandent une cryptographie « robuste » ou « appropriée ». Pour un sous-traitant, cette différence détermine quelles bibliothèques, quels VPN et quels produits de chiffrement de disque vous pouvez utiliser.

Gestion des clés

La gestion des clés est le domaine où les référentiels divergent le plus en profondeur. PCI DSS la détaille dans les sections 3.6 et 3.7 : génération, distribution, stockage, changement des clés à l'issue de leur période cryptographique, révocation des clés compromises, connaissance partagée et double contrôle, et attestations des dépositaires. Il exige également un inventaire des clés et certificats de confiance (4.2.1.1). SP 800-53 (SC-12) et CMMC (SC.L2-3.13.10) exigent l'établissement et la gestion des clés. ISO 27001 demande des règles sur l'utilisation efficace de la cryptographie, y compris la gestion des clés, et en laisse le détail à votre appréciation.

Points clés

• Les référentiels citent rarement des algorithmes ; ils divergent sur le moment où le chiffrement est obligatoire, sur les modules validés et sur la gestion des clés.
• PCI DSS et CMMC sont les plus stricts ; les spécifications de chiffrement de HIPAA sont adressables.
• Utilisez le niveau de détail de PCI sur la gestion des clés comme liste de contrôle, quel que soit le référentiel qui s'applique à vous.

Que faire

1. Chiffrez par défaut au repos et en transit les données sensibles ; c'est obligatoire quelque part dans presque toutes les familles de référentiels, et les exceptions sont difficiles à justifier.
2. Vérifiez si vous avez besoin de modules validés avant d'acheter des produits (CMMC, FedRAMP et autres marchés fédéraux).
3. Formalisez la gestion des clés au niveau de détail de PCI, même si PCI ne s'applique pas à vous ; c'est la liste de contrôle la plus complète disponible.
4. Consignez les décisions cryptographiques dans une politique de cryptographie (NIS2 9.1, ISO A.8.24) et revoyez périodiquement les suites de chiffrement (PCI 12.3.3 exige des revues annuelles).

La page du sujet Chiffrement répertorie chaque exigence avec sa source, et l'analyse d'écarts compare deux référentiels quelconques exigence par exigence.

Questions

HIPAA exige-t-il le chiffrement ?

Le chiffrement des ePHI au repos (§164.312(a)(2)(iv)) et en transit (§164.312(e)(2)(ii)) constitue des spécifications adressables au titre de la règle de sécurité actuelle : vous devez les mettre en œuvre ou documenter pourquoi une mesure équivalente est raisonnable. HHS a proposé en janvier 2025 de rendre le chiffrement obligatoire.

Quels référentiels exigent une cryptographie validée FIPS ?

CMMC Level 2 exige une cryptographie validée FIPS pour protéger la confidentialité des CUI (SC.L2-3.13.11), et les systèmes fédéraux américains relevant de SP 800-53 utilisent des modules validés FIPS (SC-13).

Quels algorithmes de chiffrement les référentiels exigent-ils ?

Très peu nomment des algorithmes. PCI DSS exige une cryptographie robuste fondée sur des algorithmes et des longueurs de clés reconnus par l'industrie ; les systèmes fédéraux américains utilisent des modules validés FIPS ; l'ISM de l'ASD énumère les algorithmes et protocoles approuvés. La plupart des autres référentiels laissent le choix à votre appréciation, guidé par les normes en vigueur.