Fatigue des référentiels : un pivot, le reste en correspondance

Demandez à n'importe quel responsable conformité d'une entreprise en croissance à quoi ressemble son année, et vous obtiendrez une liste : la période d'observation SOC 2, l'audit de surveillance ISO, une nouvelle réglementation, une évaluation PCI et un flux constant de questionnaires clients, chacun avec sa propre numérotation et son propre vocabulaire. Les équipes s'épuisent, non pas parce qu'un référentiel serait déraisonnable, mais parce qu'elles mènent plusieurs programmes qui demandent pour l'essentiel la même chose.

La solution structurelle

Choisissez un pivot. Définissez vos contrôles une seule fois, dans vos propres termes, organisés autour de ce pivot. Faites ensuite correspondre chaque référentiel externe à celui-ci. Un nouveau référentiel cesse alors d'être un nouveau programme ; il devient un exercice de correspondance, plus les quelques exigences réellement nouvelles.

C'est ainsi que ControlMapping est lui-même conçu : NIST CSF 2.0 est le pivot, chaque sujet est défini par les résultats du CSF, et les dix autres référentiels sont mis en correspondance avec ces sujets. Cela fonctionne parce que le CSF est large, stable et mis en correspondance par le NIST et d'autres avec presque tout.

Choisir votre pivot

• NIST CSF 2.0 si vous voulez une structure neutre, fondée sur les résultats, que les dirigeants comprennent et qui dispose de correspondances officielles avec SP 800-53, ISO 27001 et de nombreux autres.
• ISO 27001 si vous vous certifiez de toute façon sur cette norme : l'Annexe A plus votre Déclaration d'applicabilité deviennent l'ossature des contrôles.
• SP 800-53 si vous exploitez des systèmes fédéraux ; c'est le plus complet et il est mis en correspondance avec la plupart des autres, comme notre analyse de point de départ l'a mesuré.

Évitez de faire d'un référentiel étroit ou prescriptif votre pivot : l'Essential Eight ou la PCI DSS sont d'excellentes normes, mais elles ne couvrent pas assez des autres pour structurer un programme.

Ce qui change lorsque vous disposez d'un pivot

• Les nouveaux référentiels coûtent moins cher. Réalisez une analyse d'écarts depuis votre pivot vers le nouveau référentiel ; la plupart des exigences se mettent en correspondance, et seule la partie restante constitue un travail nouveau.
• Les preuves sont collectées une seule fois et étiquetées pour chaque référentiel qu'elles servent.
• Les questionnaires vont plus vite : répondez à partir de votre ensemble de contrôles, en citant l'exigence mise en correspondance.
• Le reporting au conseil d'administration est cohérent, dans un seul vocabulaire, quel que soit le calendrier d'audit.

Par exemple, à partir d'un pivot NIST CSF 2.0 :

Direction	Mis en correspondance	Faiblement liés	Aucune correspondance
Avoir NIST CSF 2.0 → viser NIS2	45 sur 49 (92%)	3	1	rapport →
Avoir NIS2 → viser NIST CSF 2.0	85 sur 106 (80%)	12	9	rapport →

Comment le mettre en place

1. Rédigez vos contrôles dans vos propres termes, un par décision prise par votre organisation : qui, quoi, à quelle fréquence, quelles preuves.
2. Faites correspondre chaque contrôle au pivot (par exemple à ses sous-catégories CSF 2.0), puis à chaque référentiel auquel vous répondez.
3. Conservez la correspondance en un seul lieu, avec la source de chaque lien, afin qu'elle puisse être vérifiée et mise à jour.
4. Attribuez des responsables par contrôle, et non par référentiel.
5. Réexaminez la correspondance chaque fois qu'un référentiel évolue, plutôt que de reconstruire les programmes.

L'effort est concentré en amont : la première correspondance demande un travail réel, mais chaque référentiel et questionnaire ultérieur la réutilise. Nos téléchargements incluent une correspondance prête à l'emploi avec le pivot CSF 2.0, à partir de laquelle vous pouvez commencer.

Points clés à retenir

• La fatigue liée aux référentiels vient de l'exécution d'un programme par référentiel.
• Choisissez un pivot large et bien mis en correspondance (NIST CSF 2.0, ISO 27001 ou SP 800-53) et faites correspondre tout le reste à celui-ci.
• Les nouveaux référentiels coûtent alors une analyse d'écarts plus les exigences réellement nouvelles.

Ce que cela ne résout pas

Un pivot ne supprime pas les exigences propres à chaque référentiel : délais de déclaration, fréquences spécifiques, obligations légales. Il les rend simplement visibles pour ce qu'elles sont, des exceptions, au lieu de les noyer dans un travail en double.

La fatigue liée aux référentiels est un problème de conception. Corrigez la conception, et l'essentiel de la fatigue disparaît avec elle. Commencez par la matrice de couverture, qui présente d'un coup d'œil les onze référentiels par rapport à un seul pivot.

Questions

Quel référentiel constitue le meilleur pivot ?

Un référentiel large, stable et bien mis en correspondance. NIST CSF 2.0 est un bon choix, car le NIST et d'autres publient des correspondances avec lui ; ISO 27001 convient bien aux organisations qui se certifient de toute façon sur cette norme.

Qu'est-ce qu'un référentiel de contrôles commun ?

Un ensemble unique de contrôles internes, chacun mis en correspondance avec les exigences qu'il satisfait dans chaque référentiel externe auquel l'organisation répond.

Un outil GRC peut-il jouer le rôle de pivot ?

Un outil GRC peut héberger le pivot et les correspondances, mais le pivot est un choix de conception : une structure autour de laquelle vos contrôles sont organisés. Choisissez-le d'abord, puis configurez l'outil.