Comparaison
ISO 27001 vs NIST SP 800-53 : une norme certifiable face à un catalogue fédéral de contrôles
ISO/IEC 27001:2022 · NIST SP 800-53 Rev 5.2 · données du 2026-10-27
NIST SP 800-53 Rev 5 est un catalogue de plus de mille contrôles et améliorations de sécurité et de confidentialité, répartis en 20 familles. Il sous-tend la sécurité fédérale américaine (FISMA), le programme FedRAMP pour les fournisseurs cloud et de nombreux programmes sectoriels, généralement à travers des référentiels de base (Low, Moderate, High) définis dans SP 800-53B. ISO/IEC 27001 est une norme certifiable de système de management comportant 93 contrôles de l'Annexe A.
Le NIST publie sa propre correspondance entre SP 800-53 et ISO 27001:2022, de sorte que les deux référentiels se recoupent étroitement. En allant de 800-53 vers ISO, presque tout est couvert : une organisation qui applique une base 800-53 dispose déjà des contrôles et de la plupart de la documentation attendus par ISO.
En allant de ISO vers 800-53, la situation est différente, car 800-53 est beaucoup plus granulaire. L'Annexe A d'ISO énonce des objectifs de contrôle larges ; 800-53 décompose les mêmes domaines en de nombreux contrôles précis et ajoute certains points qu'ISO ne traite pas directement, comme la réponse à la dissémination d'informations, les contenus accessibles publiquement et les contrôles de maintenance spécialisée. Lesquels comptent dépend entièrement de la base à laquelle vous êtes soumis.
En pratique, peu d'organisations mettent en œuvre l'intégralité de 800-53. Si vous passez d'ISO à FedRAMP ou à un contrat fédéral, comparez-vous à la base spécifique dont vous avez besoin, et non à l'ensemble du catalogue.
Points clés à retenir
- 800-53 → ISO : vous êtes proche ; ajoutez le fonctionnement du SMSI et l'audit de certification.
- ISO → 800-53 : comparez-vous à la base requise (par ex. FedRAMP Moderate), et non à l'ensemble du catalogue.
- Attendez-vous à ce que les évaluations 800-53 testent un niveau de détail d'implémentation que les audits ISO échantillonnent de manière plus légère.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir ISO 27001 → viser 800-53
300 exig. 193 mis en correspondance · · 61 sans correspondance Ouvrir dans la vue des écarts →Sur 300 exigences NIST SP 800-53 Rev 5.2, 193 correspondent à un élément de ISO 27001, 46 sont seulement faiblement liées et 61 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences 800-53 sans correspondance avec ISO 27001 (61)
| 800-53 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-21 | Information Sharing | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| AC-22 | Publicly Accessible Content | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| AC-23 | Data Mining Protection | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| AC-25 | Reference Monitor | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| AT Awareness and Training · 2 | ||||
| AT-4 | Training Records | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| AT-6 | Training Feedback | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| AU Audit and Accountability · 1 | ||||
| AU-5 | Response to Audit Logging Process Failures | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| CM Configuration Management · 1 | ||||
| CM-14 | Signed Components | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| CP Contingency Planning · 1 | ||||
| CP-12 | Safe Mode | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| IR Incident Response · 1 | ||||
| IR-9 | Information Spillage Response | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| MA Maintenance · 2 | ||||
| MA-5 | Maintenance Personnel | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| MA-7 | Field Maintenance | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PE Physical and Environmental Protection · 1 | ||||
| PE-21 | Electromagnetic Pulse Protection | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PL Planning · 3 | ||||
| PL-9 | Central Management | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PL-10 | Baseline Selection | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PL-11 | Baseline Tailoring | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM Program Management · 7 | ||||
| PM-17 | Protecting Controlled Unclassified Information on External Systems | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM-20 | Dissemination of Privacy Program Information | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM-21 | Accounting of Disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM-26 | Complaint Management | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM-27 | Privacy Reporting | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PM-32 | Purposing | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PS Personnel Security · 1 | ||||
| PS-2 | Position Risk Designation | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PT PII Processing and Transparency · 5 | ||||
| PT-2 | Authority to Process Personally Identifiable Information | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PT-4 | Consent | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PT-5 | Privacy Notice | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PT-6 | System of Records Notice | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| PT-8 | Computer Matching Requirements | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| RA Risk Assessment · 1 | ||||
| RA-6 | Technical Surveillance Countermeasures Survey | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SA System and Services Acquisition · 4 | ||||
| SA-2 | Allocation of Resources | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SA-16 | Developer-provided Training | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SA-20 | Customized Development of Critical Components | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SA-23 | Specialization | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC System and Communications Protection · 19 | ||||
| SC-2 | Separation of System and User Functionality | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-18 | Mobile Code | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-23 | Session Authenticity | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-25 | Thin Nodes | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-26 | Decoys | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-27 | Platform-independent Applications | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-29 | Heterogeneity | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-30 | Concealment and Misdirection | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-31 | Covert Channel Analysis | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-37 | Out-of-band Channels | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-38 | Operations Security | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-41 | Port and I/O Device Access | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-42 | Sensor Capability and Data | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-44 | Detonation Chambers | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-45 | System Time Synchronization | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-46 | Cross Domain Policy Enforcement | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-47 | Alternate Communications Paths | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-48 | Sensor Relocation | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SC-50 | Software-enforced Separation and Policy Enforcement | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI System and Information Integrity · 7 | ||||
| SI-6 | Security and Privacy Function Verification | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI-11 | Error Handling | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI-14 | Non-persistence | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI-15 | Information Output Filtering | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI-17 | Fail-safe Procedures | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI-22 | Information Diversity | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SI-23 | Information Fragmentation | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| SR Supply Chain Risk Management · 1 | ||||
| SR-9 | Tamper Resistance and Detection | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (46)
| 800-53 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| AC Access Control · 4 | ||||
| AC-10 | Concurrent Session Control | A.5.1A.5.3A.5.14+5 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AC-12 | Session Termination | A.5.15A.5.16A.5.17+2 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| AC-14 | Permitted Actions Without Identification or Authentication | A.5.15A.5.16A.5.18+2 | Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance | |
| AC-16 | Security and Privacy Attributes | A.5.1A.5.3A.5.14+5 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AU Audit and Accountability · 1 | ||||
| AU-16 | Cross-organizational Audit Logging | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| CA Assessment, Authorization and Monitoring · 1 | ||||
| CA-9 | Internal System Connections | A.5.14A.8.20A.8.21+1 | Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance | |
| CM Configuration Management · 2 | ||||
| CM-12 | Information Location | A.5.9 | Partage seulement les fonctions CSF ID.AM-07 : lien indicatif, pas une correspondance | |
| CM-13 | Data Action Mapping | A.5.9A.5.8A.5.11+5 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| IA Identification and Authentication · 6 | ||||
| IA-3 | Device Identification and Authentication | A.5.15A.5.16A.5.18+3 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-7 | Cryptographic Module Authentication | A.5.15A.5.16A.5.18+3 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-10 | Adaptive Authentication | A.5.15A.5.16A.5.18+3 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-11 | Re-authentication | A.5.15A.5.16A.5.18+3 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-12 | Identity Proofing | A.8.2A.8.3A.8.5 | Partage seulement les fonctions CSF PR.AA-02 : lien indicatif, pas une correspondance | |
| IA-13 | Identity Providers and Authorization Servers | A.5.16A.5.1A.5.3+5 | Partage seulement les fonctions CSF PR.AA-04, PR.AA-05 : lien indicatif, pas une correspondance | |
| MP Media Protection · 1 | ||||
| MP-8 | Media Downgrading | A.5.1A.5.3A.5.10+5 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| PM Program Management · 6 | ||||
| PM-7 | Enterprise Architecture | A.5.14A.8.20A.8.21+1 | Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance | |
| PM-8 | Critical Infrastructure Plan | A.5.20A.5.31Clause 4.2+1 | Partage seulement les fonctions CSF GV.OC-04 : lien indicatif, pas une correspondance | |
| PM-19 | Privacy Program Leadership Role | A.5.19Clause 7.2A.5.1+5 | Partage seulement les fonctions CSF GV.OV-02, GV.SC-09, GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| PM-22 | Personally Identifiable Information Quality Management | A.5.8A.5.9A.5.11+5 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| PM-23 | Data Governance Body | Clause 7.2A.5.2A.5.3+5 | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| PM-24 | Data Integrity Board | Clause 7.2A.5.2A.5.3+1 | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| RA Risk Assessment · 1 | ||||
| RA-8 | Privacy Impact Assessments | Clause 6.1.1Clause 6.1.2Clause 6.1.3 | Partage seulement les fonctions CSF ID.RA-04 : lien indicatif, pas une correspondance | |
| SA System and Services Acquisition · 2 | ||||
| SA-22 | Unsupported System Components | A.5.8A.5.9A.5.11+5 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| SA-24 | Design For Cyber Resiliency | A.5.1A.5.29A.8.14+5 | Partage seulement les fonctions CSF GV.RM-03, PR.IR-03 : lien indicatif, pas une correspondance | |
| SC System and Communications Protection · 15 | ||||
| SC-3 | Security Function Isolation | A.5.9A.8.1 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| SC-4 | Information in Shared System Resources | A.8.22A.5.3A.5.10+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-01 : lien indicatif, pas une correspondance | |
| SC-6 | Resource Availability | A.5.29A.8.14A.8.17+3 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-11 | Trusted Path | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-16 | Transmission of Security and Privacy Attributes | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| SC-24 | Fail in Known State | A.8.17Clause 4.2A.5.3+5 | Partage seulement les fonctions CSF PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-32 | System Partitioning | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-34 | Non-modifiable Executable Programs | A.8.6A.8.16A.8.19+2 | Partage seulement les fonctions CSF DE.CM-09, PR.PS-05 : lien indicatif, pas une correspondance | |
| SC-35 | External Malicious Code Identification | A.8.6A.8.16A.8.1+1 | Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance | |
| SC-36 | Distributed Processing and Storage | A.5.29A.8.14A.8.17+3 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-39 | Process Isolation | A.8.17Clause 4.2A.5.3+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-40 | Wireless Link Protection | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-43 | Usage Restrictions | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | A.5.9A.8.1 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| SC-51 | Hardware-based Protection | A.5.9A.8.1 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| SI System and Information Integrity · 4 | ||||
| SI-12 | Information Management and Retention | A.5.9A.5.8A.5.11+5 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| SI-13 | Predictable Failure Prevention | A.5.29A.8.14A.8.17+3 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| SI-16 | Memory Protection | A.5.3A.5.10A.5.13+5 | Partage seulement les fonctions CSF PR.DS-10 : lien indicatif, pas une correspondance | |
| SI-18 | Personally Identifiable Information Quality Operations | A.5.8A.5.9A.5.11+5 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| SR Supply Chain Risk Management · 3 | ||||
| SR-8 | Notification Agreements | A.5.26Clause 7.4A.5.28+5 | Partage seulement les fonctions CSF GV.SC-08, RS.CO-02, RS.CO-03, RS.MA-01… : lien indicatif, pas une correspondance | |
| SR-10 | Inspection of Systems or Components | A.5.19A.5.20A.5.22+2 | Partage seulement les fonctions CSF GV.SC-05, ID.RA-09 : lien indicatif, pas une correspondance | |
| SR-12 | Component Disposal | A.5.8A.5.9A.5.11+5 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
Mis en correspondance (193)
| 800-53 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| AC Access Control · 15 | ||||
| AC-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+9 | NIST SP 800-53 → ISO 27001 mapping |
| AC-2 | Account Management | Correspondance | A.5.15A.5.16A.5.18+2 | Même sujet : Contrôle d'accès |
| AC-3 | Access Enforcement | Correspondance | A.5.15A.5.16A.5.18+8 | Même sujet : Contrôle d'accès, Zero Trust |
| AC-4 | Information Flow Enforcement | Correspondance | A.5.15A.8.5A.8.12+7 | Même sujet : Zero Trust, DLP |
| AC-5 | Separation of Duties | Correspondance | A.5.3 | NIST SP 800-53 → ISO 27001 mapping |
| AC-6 | Least Privilege | Correspondance | A.5.15A.8.5A.8.22+2 | Même sujet : Zero Trust |
| AC-7 | Unsuccessful Logon Attempts | Correspondance | A.8.5A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| AC-8 | System Use Notification | Correspondance | A.8.5 | NIST SP 800-53 → ISO 27001 mapping |
| AC-9 | Previous Logon Notification | Correspondance | A.8.5 | NIST SP 800-53 → ISO 27001 mapping |
| AC-11 | Device Lock | Correspondance | A.7.7A.8.1 | NIST SP 800-53 → ISO 27001 mapping |
| AC-17 | Remote Access | Correspondance | A.5.14A.6.7A.8.16 | NIST SP 800-53 → ISO 27001 mapping |
| AC-18 | Wireless Access | Correspondance | A.5.14A.8.20 | NIST SP 800-53 → ISO 27001 mapping |
| AC-19 | Access Control for Mobile Devices | Correspondance | A.8.1A.6.7A.5.14+1 | Même sujet : Sécurité mobile |
| AC-20 | Use of External Systems | Correspondance | A.5.23A.5.14A.7.9+1 | Même sujet : Sécurité du cloud |
| AC-24 | Access Control Decisions | Correspondance | A.8.3 | NIST SP 800-53 → ISO 27001 mapping |
| AT Awareness and Training · 3 | ||||
| AT-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| AT-2 | Literacy Training and Awareness | Correspondance | A.6.3Clause 7.3A.8.7 | Même sujet : Sensibilisation et formation |
| AT-3 | Role-based Training | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| AU Audit and Accountability · 13 | ||||
| AU-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| AU-2 | Event Logging | Correspondance | A.8.15A.8.17 | Même sujet : Journalisation et audit |
| AU-3 | Content of Audit Records | Correspondance | A.8.15A.8.17A.5.28 | Même sujet : Journalisation et audit |
| AU-4 | Audit Log Storage Capacity | Correspondance | A.8.6 | NIST SP 800-53 → ISO 27001 mapping |
| AU-6 | Audit Record Review, Analysis, and Reporting | Correspondance | A.5.25A.8.16A.6.8+2 | Même sujet : SIEM / SOC, Détection d'anomalies |
| AU-7 | Audit Record Reduction and Report Generation | Correspondance | A.5.28 | Même sujet : Criminalistique numérique |
| AU-8 | Time Stamps | Correspondance | A.8.17 | NIST SP 800-53 → ISO 27001 mapping |
| AU-9 | Protection of Audit Information | Correspondance | A.5.33A.8.15 | NIST SP 800-53 → ISO 27001 mapping |
| AU-10 | Non-repudiation | Correspondance | A.5.28 | NIST SP 800-53 → ISO 27001 mapping |
| AU-11 | Audit Record Retention | Correspondance | A.8.15A.8.17A.5.28 | Même sujet : Journalisation et audit |
| AU-12 | Audit Record Generation | Correspondance | A.8.15A.8.17 | Même sujet : Journalisation et audit |
| AU-13 | Monitoring for Information Disclosure | Correspondance | A.6.1A.6.4A.8.16+1 | Même sujet : Menace interne |
| AU-14 | Session Audit | Correspondance | A.8.15 | NIST SP 800-53 → ISO 27001 mapping |
| CA Assessment, Authorization and Monitoring · 7 | ||||
| CA-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+10 | NIST SP 800-53 → ISO 27001 mapping |
| CA-2 | Control Assessments | Correspondance | A.5.31A.5.36Clause 9.1+6 | Même sujet : Conformité (choix de la rédaction) |
| CA-3 | Information Exchange | Correspondance | A.5.14A.8.21 | NIST SP 800-53 → ISO 27001 mapping |
| CA-5 | Plan of Action and Milestones | Correspondance | Clause 8.3Clause 9.3.3Clause 10.2 | NIST SP 800-53 → ISO 27001 mapping |
| CA-6 | Authorization | Correspondance | Clause 9.3.1Clause 9.3.3 | NIST SP 800-53 → ISO 27001 mapping |
| CA-7 | Continuous Monitoring | Correspondance | A.8.16A.5.36Clause 9.1+3 | Même sujet : Surveillance continue |
| CA-8 | Penetration Testing | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| CM Configuration Management · 11 | ||||
| CM-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+9 | NIST SP 800-53 → ISO 27001 mapping |
| CM-2 | Baseline Configuration | Correspondance | A.8.9 | Même sujet : Configuration sécurisée |
| CM-3 | Configuration Change Control | Correspondance | A.8.9A.8.32Clause 8.1+1 | NIST SP 800-53 → ISO 27001 mapping |
| CM-4 | Impact Analyses | Correspondance | A.8.9A.8.31 | NIST SP 800-53 → ISO 27001 mapping |
| CM-5 | Access Restrictions for Change | Correspondance | A.8.2A.8.4A.8.9+3 | NIST SP 800-53 → ISO 27001 mapping |
| CM-6 | Configuration Settings | Correspondance | A.8.9 | Même sujet : Configuration sécurisée |
| CM-7 | Least Functionality | Correspondance | A.8.9A.8.19 | Même sujet : Configuration sécurisée |
| CM-8 | System Component Inventory | Correspondance | A.5.9A.5.11A.7.14+1 | Même sujet : Gestion des actifs |
| CM-9 | Configuration Management Plan | Correspondance | A.5.2A.8.9 | NIST SP 800-53 → ISO 27001 mapping |
| CM-10 | Software Usage Restrictions | Correspondance | A.5.32 | NIST SP 800-53 → ISO 27001 mapping |
| CM-11 | User-installed Software | Correspondance | A.8.19 | NIST SP 800-53 → ISO 27001 mapping |
| CP Contingency Planning · 11 | ||||
| CP-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| CP-2 | Contingency Plan | Correspondance | A.5.29A.5.30A.5.2+5 | Même sujet : Planification de la reprise |
| CP-3 | Contingency Training | Correspondance | A.6.3 | NIST SP 800-53 → ISO 27001 mapping |
| CP-4 | Contingency Plan Testing | Correspondance | A.5.29A.5.30 | NIST SP 800-53 → ISO 27001 mapping |
| CP-6 | Alternate Storage Site | Correspondance | A.8.13A.5.29A.7.5+1 | Même sujet : Sauvegarde et restauration |
| CP-7 | Alternate Processing Site | Correspondance | A.5.29A.5.30A.8.14+1 | Même sujet : Continuité des activités, Reprise après sinistre (choix de la rédaction) |
| CP-8 | Telecommunications Services | Correspondance | A.5.29A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| CP-9 | System Backup | Correspondance | A.8.13A.5.29A.5.33 | Même sujet : Sauvegarde et restauration |
| CP-10 | System Recovery and Reconstitution | Correspondance | A.5.26A.5.29A.5.30+2 | Même sujet : Communication et rétablissement, Planification de la reprise, Reprise après sinistre |
| CP-11 | Alternate Communications Protocols | Correspondance | A.5.29 | NIST SP 800-53 → ISO 27001 mapping |
| CP-13 | Alternative Security Mechanisms | Correspondance | A.5.29 | NIST SP 800-53 → ISO 27001 mapping |
| IA Identification and Authentication · 7 | ||||
| IA-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| IA-2 | Identification and Authentication (Organizational Users) | Correspondance | A.5.15A.8.5A.8.22+1 | Même sujet : Zero Trust |
| IA-4 | Identifier Management | Correspondance | A.5.16 | NIST SP 800-53 → ISO 27001 mapping |
| IA-5 | Authenticator Management | Correspondance | A.5.16A.5.17 | NIST SP 800-53 → ISO 27001 mapping |
| IA-6 | Authentication Feedback | Correspondance | A.8.5 | NIST SP 800-53 → ISO 27001 mapping |
| IA-8 | Identification and Authentication (Non-organizational Users) | Correspondance | A.5.16 | NIST SP 800-53 → ISO 27001 mapping |
| IA-9 | Service Identification and Authentication | Correspondance | A.8.5A.8.26 | Même sujet : Sécurité des API |
| IR Incident Response · 8 | ||||
| IR-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| IR-2 | Incident Response Training | Correspondance | A.5.24A.5.25A.5.26+1 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| IR-3 | Incident Response Testing | Éditorial | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| IR-4 | Incident Handling | Correspondance | A.5.24A.5.25A.5.26+3 | Même sujet : Réponse aux incidents, Atténuation |
| IR-5 | Incident Monitoring | Correspondance | A.5.25A.8.16 | Même sujet : SIEM / SOC |
| IR-6 | Incident Reporting | Correspondance | A.5.5A.5.26A.6.8+1 | Même sujet : Notification, Communication et rétablissement |
| IR-7 | Incident Response Assistance | Correspondance | Clause 7.4A.5.6 | Même sujet : Communication |
| IR-8 | Incident Response Plan | Correspondance | A.5.24A.5.25A.5.26+3 | Même sujet : Réponse aux incidents |
| MA Maintenance · 5 | ||||
| MA-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+6 | NIST SP 800-53 → ISO 27001 mapping |
| MA-2 | Controlled Maintenance | Correspondance | A.7.10A.7.13A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| MA-3 | Maintenance Tools | Correspondance | A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| MA-4 | Nonlocal Maintenance | Correspondance | A.8.10A.8.16 | NIST SP 800-53 → ISO 27001 mapping |
| MA-6 | Timely Maintenance | Correspondance | A.7.13 | NIST SP 800-53 → ISO 27001 mapping |
| MP Media Protection · 7 | ||||
| MP-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| MP-2 | Media Access | Correspondance | A.5.10A.7.7A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| MP-3 | Media Marking | Correspondance | A.5.13 | NIST SP 800-53 → ISO 27001 mapping |
| MP-4 | Media Storage | Correspondance | A.5.10A.7.7A.7.10+1 | NIST SP 800-53 → ISO 27001 mapping |
| MP-5 | Media Transport | Correspondance | A.5.10A.7.9A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| MP-6 | Media Sanitization | Correspondance | A.5.10A.7.10A.7.14+1 | NIST SP 800-53 → ISO 27001 mapping |
| MP-7 | Media Use | Correspondance | A.5.10A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| PE Physical and Environmental Protection · 21 | ||||
| PE-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| PE-2 | Physical Access Authorizations | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| PE-3 | Physical Access Control | Correspondance | A.7.1A.7.2A.7.3+7 | Même sujet : Sécurité physique |
| PE-4 | Access Control for Transmission | Correspondance | A.7.2A.7.12 | NIST SP 800-53 → ISO 27001 mapping |
| PE-5 | Access Control for Output Devices | Correspondance | A.7.2A.7.3A.7.7 | NIST SP 800-53 → ISO 27001 mapping |
| PE-6 | Monitoring Physical Access | Correspondance | A.7.1A.7.2A.7.3+7 | Même sujet : Sécurité physique |
| PE-8 | Visitor Access Records | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| PE-9 | Power Equipment and Cabling | Correspondance | A.7.5A.7.8A.7.11+1 | NIST SP 800-53 → ISO 27001 mapping |
| PE-10 | Emergency Shutoff | Correspondance | A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-11 | Emergency Power | Correspondance | A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-12 | Emergency Lighting | Correspondance | A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-13 | Fire Protection | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| PE-14 | Environmental Controls | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| PE-15 | Water Damage Protection | Correspondance | A.7.5A.7.8A.7.11 | NIST SP 800-53 → ISO 27001 mapping |
| PE-16 | Delivery and Removal | Correspondance | A.5.10A.7.2A.7.10 | NIST SP 800-53 → ISO 27001 mapping |
| PE-17 | Alternate Work Site | Correspondance | A.5.14A.6.7A.7.9 | NIST SP 800-53 → ISO 27001 mapping |
| PE-18 | Location of System Components | Correspondance | A.5.10A.7.5A.7.8 | NIST SP 800-53 → ISO 27001 mapping |
| PE-19 | Information Leakage | Correspondance | A.7.5A.7.8A.8.12 | NIST SP 800-53 → ISO 27001 mapping |
| PE-20 | Asset Monitoring and Tracking | Correspondance | A.5.10 | NIST SP 800-53 → ISO 27001 mapping |
| PE-22 | Component Marking | Correspondance | A.5.13 | NIST SP 800-53 → ISO 27001 mapping |
| PE-23 | Facility Location | Correspondance | A.7.5A.7.8 | NIST SP 800-53 → ISO 27001 mapping |
| PL Planning · 5 | ||||
| PL-1 | Policy and Procedures | Correspondance | A.5.1A.5.37Clause 5.2+8 | Même sujet : Politique de gouvernance |
| PL-2 | System Security and Privacy Plans | Correspondance | A.5.8A.5.34Clause 7.5.1+3 | NIST SP 800-53 → ISO 27001 mapping |
| PL-4 | Rules of Behavior | Correspondance | A.5.4A.5.10A.6.2 | NIST SP 800-53 → ISO 27001 mapping |
| PL-7 | Concept of Operations | Correspondance | A.5.8Clause 8.1 | NIST SP 800-53 → ISO 27001 mapping |
| PL-8 | Security and Privacy Architectures | Correspondance | A.5.8 | NIST SP 800-53 → ISO 27001 mapping |
| PM Program Management · 19 | ||||
| PM-1 | Information Security Program Plan | Correspondance | A.5.1A.5.37Clause 5.2+18 | Même sujet : Politique de gouvernance |
| PM-2 | Information Security Program Leadership Role | Correspondance | A.5.2A.5.4Clause 5.1+1 | Même sujet : Rôles et responsabilités |
| PM-3 | Information Security and Privacy Resources | Correspondance | Clause 5.1Clause 6.2Clause 7.1 | NIST SP 800-53 → ISO 27001 mapping |
| PM-4 | Plan of Action and Milestones Process | Correspondance | A.5.31Clause 9.1A.5.36+8 | Même sujet : Conformité |
| PM-5 | System Inventory | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| PM-6 | Measures of Performance | Correspondance | A.5.31Clause 9.1A.5.36+3 | Même sujet : Conformité |
| PM-9 | Risk Management Strategy | Correspondance | Clause 6.1.1Clause 6.1.3Clause 4.3+7 | Même sujet : Gestion des risques |
| PM-10 | Authorization Process | Correspondance | A.5.2 | NIST SP 800-53 → ISO 27001 mapping |
| PM-11 | Mission and Business Process Definition | Correspondance | Clause 4.1Clause 4.2 | Même sujet : Environnement métier |
| PM-12 | Insider Threat Program | Éditorial | A.6.1A.6.4A.8.16 | Même sujet : Menace interne (choix de la rédaction) |
| PM-13 | Security and Privacy Workforce | Correspondance | A.6.3Clause 7.2 | NIST SP 800-53 → ISO 27001 mapping |
| PM-14 | Testing, Training, and Monitoring | Correspondance | Clause 6.2 | NIST SP 800-53 → ISO 27001 mapping |
| PM-15 | Security and Privacy Groups and Associations | Correspondance | A.5.7A.5.6Clause 7.4 | Même sujet : Renseignement sur les menaces |
| PM-16 | Threat Awareness Program | Correspondance | A.5.7 | Même sujet : Renseignement sur les menaces |
| PM-18 | Privacy Program Plan | Correspondance | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| PM-28 | Risk Framing | Correspondance | Clause 6.1.1Clause 6.1.3Clause 4.3+6 | Même sujet : Gestion des risques |
| PM-29 | Risk Management Program Leadership Roles | Correspondance | A.5.2A.5.4Clause 5.1+3 | Même sujet : Rôles et responsabilités |
| PM-30 | Supply Chain Risk Management Strategy | Correspondance | A.5.19A.5.21Clause 4.4+4 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| PM-31 | Continuous Monitoring Strategy | Correspondance | Clause 4.4Clause 6.2Clause 7.4+7 | NIST SP 800-53 → ISO 27001 mapping |
| PS Personnel Security · 8 | ||||
| PS-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| PS-3 | Personnel Screening | Correspondance | A.6.1 | NIST SP 800-53 → ISO 27001 mapping |
| PS-4 | Personnel Termination | Correspondance | A.5.11A.6.5 | NIST SP 800-53 → ISO 27001 mapping |
| PS-5 | Personnel Transfer | Correspondance | A.5.11A.6.5 | NIST SP 800-53 → ISO 27001 mapping |
| PS-6 | Access Agreements | Correspondance | A.5.4A.5.14A.6.2+1 | NIST SP 800-53 → ISO 27001 mapping |
| PS-7 | External Personnel Security | Correspondance | A.5.2A.5.4 | NIST SP 800-53 → ISO 27001 mapping |
| PS-8 | Personnel Sanctions | Correspondance | A.6.4Clause 7.3 | NIST SP 800-53 → ISO 27001 mapping |
| PS-9 | Position Descriptions | Éditorial | A.5.2A.5.4 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| PT PII Processing and Transparency · 3 | ||||
| PT-1 | Policy and Procedures | Correspondance | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| PT-3 | Personally Identifiable Information Processing Purposes | Correspondance | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| PT-7 | Specific Categories of Personally Identifiable Information | Correspondance | A.5.34 | NIST SP 800-53 → ISO 27001 mapping |
| RA Risk Assessment · 7 | ||||
| RA-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| RA-2 | Security Categorization | Correspondance | A.5.12A.5.13 | Même sujet : Classification des données |
| RA-3 | Risk Assessment | Correspondance | Clause 6.1.2Clause 6.1.3A.8.8+2 | Même sujet : Évaluation des risques |
| RA-5 | Vulnerability Monitoring and Scanning | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| RA-7 | Risk Response | Correspondance | Clause 6.1.1Clause 6.1.2Clause 6.1.3+2 | Même sujet : Gestion des risques, Évaluation des risques |
| RA-9 | Criticality Analysis | Correspondance | Clause 4.1Clause 4.2A.5.22 | Même sujet : Environnement métier |
| RA-10 | Threat Hunting | Correspondance | A.5.7 | NIST SP 800-53 → ISO 27001 mapping |
| SA System and Services Acquisition · 11 | ||||
| SA-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+10 | NIST SP 800-53 → ISO 27001 mapping |
| SA-3 | System Development Life Cycle | Correspondance | A.8.25A.8.26A.8.28+5 | Même sujet : Développement sécurisé |
| SA-4 | Acquisition Process | Correspondance | A.5.19A.5.20A.5.22+6 | Même sujet : Gestion des risques fournisseurs |
| SA-5 | System Documentation | Correspondance | A.5.37Clause 7.5.1Clause 7.5.2+1 | NIST SP 800-53 → ISO 27001 mapping |
| SA-8 | Security and Privacy Engineering Principles | Correspondance | A.8.25A.8.26A.8.28+2 | Même sujet : Développement sécurisé |
| SA-9 | External System Services | Correspondance | A.5.19A.5.20A.5.22+6 | Même sujet : Gestion des risques fournisseurs |
| SA-10 | Developer Configuration Management | Correspondance | A.8.9A.8.28A.8.30+1 | NIST SP 800-53 → ISO 27001 mapping |
| SA-11 | Developer Testing and Evaluation | Correspondance | A.8.25A.8.26A.8.28+2 | Même sujet : Développement sécurisé |
| SA-15 | Development Process, Standards, and Tools | Correspondance | A.8.25A.8.26A.8.28+3 | Même sujet : Développement sécurisé |
| SA-17 | Developer Security and Privacy Architecture and Design | Correspondance | A.8.25A.8.27 | NIST SP 800-53 → ISO 27001 mapping |
| SA-21 | Developer Screening | Correspondance | A.6.1 | NIST SP 800-53 → ISO 27001 mapping |
| SC System and Communications Protection · 13 | ||||
| SC-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| SC-5 | Denial-of-service Protection | Correspondance | A.8.5A.8.26A.8.6 | Même sujet : Sécurité des API |
| SC-7 | Boundary Protection | Correspondance | A.8.20A.8.21A.8.22+4 | Même sujet : Pare-feu / Segmentation réseau, WAF |
| SC-8 | Transmission Confidentiality and Integrity | Correspondance | A.5.14A.8.10A.8.11+5 | Même sujet : Protection des données |
| SC-10 | Network Disconnect | Correspondance | A.8.20 | NIST SP 800-53 → ISO 27001 mapping |
| SC-12 | Cryptographic Key Establishment and Management | Correspondance | A.8.24 | Même sujet : Chiffrement |
| SC-13 | Cryptographic Protection | Correspondance | A.8.24A.8.26 | Même sujet : Chiffrement |
| SC-15 | Collaborative Computing Devices and Applications | Correspondance | A.5.14 | NIST SP 800-53 → ISO 27001 mapping |
| SC-17 | Public Key Infrastructure Certificates | Correspondance | A.8.24 | NIST SP 800-53 → ISO 27001 mapping |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | Éditorial | A.8.20A.8.21 | Même sujet : Sécurité DNS (choix de la rédaction) |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | Éditorial | A.8.20A.8.21 | Même sujet : Sécurité DNS (choix de la rédaction) |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | Éditorial | A.8.20A.8.21 | Même sujet : Sécurité DNS (choix de la rédaction) |
| SC-28 | Protection of Information at Rest | Correspondance | A.5.14A.8.10A.8.11+3 | Même sujet : Protection des données |
| SI System and Information Integrity · 11 | ||||
| SI-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+8 | NIST SP 800-53 → ISO 27001 mapping |
| SI-2 | Flaw Remediation | Correspondance | A.8.8A.6.8A.8.32 | Même sujet : Gestion des correctifs |
| SI-3 | Malicious Code Protection | Correspondance | A.5.14A.8.1A.8.7+1 | Même sujet : Sécurité de la messagerie, Protection des terminaux |
| SI-4 | System Monitoring | Correspondance | A.8.16A.8.19A.8.1+1 | Même sujet : Surveillance continue, Détection d'intrusion, Détection d'anomalies, Protection des terminaux |
| SI-5 | Security Alerts, Advisories, and Directives | Correspondance | A.5.7A.5.6A.8.8 | Même sujet : Renseignement sur les menaces |
| SI-7 | Software, Firmware, and Information Integrity | Correspondance | A.5.14A.8.10A.8.11 | Même sujet : Protection des données |
| SI-8 | Spam Protection | Éditorial | A.5.14 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| SI-10 | Information Input Validation | Éditorial | A.8.5A.8.26 | Même sujet : Sécurité des API, Sécurité web (choix de la rédaction) |
| SI-19 | De-identification | Correspondance | A.8.11 | NIST SP 800-53 → ISO 27001 mapping |
| SI-20 | Tainting | Correspondance | A.8.12 | NIST SP 800-53 → ISO 27001 mapping |
| SI-21 | Information Refresh | Correspondance | A.8.10 | NIST SP 800-53 → ISO 27001 mapping |
| SR Supply Chain Risk Management · 8 | ||||
| SR-1 | Policy and Procedures | Correspondance | A.5.1A.5.2A.5.4+9 | NIST SP 800-53 → ISO 27001 mapping |
| SR-2 | Supply Chain Risk Management Plan | Correspondance | A.5.19A.5.21A.5.20+1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| SR-3 | Supply Chain Controls and Processes | Correspondance | A.5.19A.5.21A.5.20 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| SR-4 | Provenance | Correspondance | A.5.21A.8.30 | NIST SP 800-53 → ISO 27001 mapping |
| SR-5 | Acquisition Strategies, Tools, and Methods | Correspondance | A.5.20A.5.21A.5.23+1 | NIST SP 800-53 → ISO 27001 mapping |
| SR-6 | Supplier Assessments and Reviews | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| SR-7 | Supply Chain Operations Security | Correspondance | A.5.22 | NIST SP 800-53 → ISO 27001 mapping |
| SR-11 | Component Authenticity | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
Avoir 800-53 → viser ISO 27001
123 exig. 121 mis en correspondance · · 1 sans correspondance Ouvrir dans la vue des écarts →Sur 123 exigences ISO/IEC 27001:2022, 121 correspondent à un élément de 800-53, 1 sont seulement faiblement liées et 1 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec 800-53 (1)
| ISO 27001 | Exigence | Correspondance | 800-53 | Preuves |
|---|---|---|---|---|
| ISMS clauses 4–10 · 1 | ||||
| Clause 6.3 | Planning of changes | Aucune correspondance dans nos données | — | Aucune correspondance avec 800-53 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (1)
| ISO 27001 | Exigence | Correspondance | 800-53 | Preuves |
|---|---|---|---|---|
| A.8 Technological controls · 1 | ||||
| A.8.34 | Protection of information systems during audit testing | PM-4PM-6RA-7+2 | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
Mis en correspondance (121)
| ISO 27001 | Exigence | Correspondance | 800-53 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 37 | ||||
| A.5.1 | Policies for information security | Correspondance | PL-1PM-1AC-1+16 | Même sujet : Politique de gouvernance |
| A.5.2 | Information security roles and responsibilities | Correspondance | PM-2PM-29PS-9+25 | Même sujet : Rôles et responsabilités |
| A.5.3 | Segregation of duties | Correspondance | AC-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.4 | Management responsibilities | Correspondance | PM-2PM-29PS-9+23 | Même sujet : Rôles et responsabilités |
| A.5.5 | Contact with authorities | Correspondance | IR-6 | Même sujet : Notification |
| A.5.6 | Contact with special interest groups | Correspondance | IR-7PM-15SI-5 | Même sujet : Communication (choix de la rédaction) |
| A.5.7 | Threat intelligence | Correspondance | PM-15PM-16SI-5+1 | Même sujet : Renseignement sur les menaces |
| A.5.8 | Information security in project management | Correspondance | PL-2PL-7PL-8+4 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.9 | Inventory of information and other associated assets | Correspondance | CM-8PM-5 | Même sujet : Gestion des actifs |
| A.5.10 | Acceptable use of information and other associated assets | Correspondance | MP-2MP-4MP-5+8 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.11 | Return of assets | Correspondance | CM-8PM-5PS-4+1 | Même sujet : Gestion des actifs |
| A.5.12 | Classification of information | Correspondance | RA-2 | Même sujet : Classification des données |
| A.5.13 | Labelling of information | Correspondance | RA-2MP-3PE-22 | Même sujet : Classification des données |
| A.5.14 | Information transfer | Correspondance | SC-8SC-28SI-3+13 | Même sujet : Protection des données, Sécurité de la messagerie |
| A.5.15 | Access control | Correspondance | AC-2AC-3AC-4+3 | Même sujet : Contrôle d'accès, Zero Trust |
| A.5.16 | Identity management | Correspondance | AC-2AC-3IA-2+3 | Même sujet : Contrôle d'accès |
| A.5.17 | Authentication information | Correspondance | IA-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.18 | Access rights | Correspondance | AC-2AC-3 | Même sujet : Contrôle d'accès |
| A.5.19 | Information security in supplier relationships | Correspondance | PM-30SA-4SA-9+5 | Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs |
| A.5.20 | Addressing information security within supplier agreements | Correspondance | SA-4SA-9SR-6+3 | Même sujet : Gestion des risques fournisseurs |
| A.5.21 | Managing information security in the ICT supply chain | Correspondance | PM-30SR-2SR-3+3 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondance | SA-4SA-9SR-6+2 | Même sujet : Gestion des risques fournisseurs |
| A.5.23 | Information security for use of cloud services | Correspondance | AC-20SA-9SA-1+2 | Même sujet : Sécurité du cloud |
| A.5.24 | Information security incident management planning and preparation | Correspondance | IR-4IR-8IR-2+1 | Même sujet : Réponse aux incidents |
| A.5.25 | Assessment and decision on information security events | Correspondance | AU-6AU-6(3)IR-4+4 | Même sujet : SIEM / SOC, Réponse aux incidents |
| A.5.26 | Response to information security incidents | Correspondance | CP-10IR-4IR-6+3 | Même sujet : Communication et rétablissement, Réponse aux incidents, Atténuation |
| A.5.27 | Learning from information security incidents | Correspondance | IR-4 | Même sujet : Enseignements tirés |
| A.5.28 | Collection of evidence | Correspondance | AU-7SI-2(7)AU-3+2 | Même sujet : Criminalistique numérique |
| A.5.29 | Information security during disruption | Correspondance | CP-2CP-2(8)CP-10+7 | Même sujet : Planification de la reprise, Continuité des activités |
| A.5.30 | ICT readiness for business continuity | Correspondance | CP-2CP-2(8)CP-10+3 | Même sujet : Planification de la reprise, Continuité des activités, Reprise après sinistre |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Correspondance | PM-4PM-6CA-2+18 | Même sujet : Conformité |
| A.5.32 | Intellectual property rights | Correspondance | CM-10 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.33 | Protection of records | Correspondance | AC-3AU-9CP-9+2 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.34 | Privacy and protection of PII | Correspondance | PL-2PM-18PT-1+2 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.35 | Independent review of information security | Correspondance | CA-2 | NIST SP 800-53 → ISO 27001 mapping |
| A.5.36 | Compliance with policies, rules and standards for information security | Correspondance | CA-2PM-4PM-6+19 | Même sujet : Conformité (choix de la rédaction) |
| A.5.37 | Documented operating procedures | Correspondance | PL-1PM-1AC-1+17 | Même sujet : Politique de gouvernance |
| A.6 People controls · 8 | ||||
| A.6.1 | Screening | Correspondance | AC-2(12)AU-13PM-12+2 | Même sujet : Menace interne |
| A.6.2 | Terms and conditions of employment | Correspondance | PL-4PS-6 | NIST SP 800-53 → ISO 27001 mapping |
| A.6.3 | Information security awareness, education and training | Correspondance | AT-2AT-3CP-3+2 | Même sujet : Sensibilisation et formation |
| A.6.4 | Disciplinary process | Correspondance | AC-2(12)AU-13PM-12+1 | Même sujet : Menace interne |
| A.6.5 | Responsibilities after termination or change of employment | Correspondance | PS-4PS-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.6.6 | Confidentiality or non-disclosure agreements | Correspondance | PS-6 | NIST SP 800-53 → ISO 27001 mapping |
| A.6.7 | Remote working | Correspondance | AC-19AC-19(5)AC-17+1 | Même sujet : Sécurité mobile (choix de la rédaction) |
| A.6.8 | Information security event reporting | Correspondance | IR-6AU-6SI-2 | Même sujet : Notification |
| A.7 Physical controls · 14 | ||||
| A.7.1 | Physical security perimeters | Correspondance | PE-2PE-3PE-6+3 | Même sujet : Sécurité physique |
| A.7.2 | Physical entry | Correspondance | PE-2PE-3PE-6+6 | Même sujet : Sécurité physique |
| A.7.3 | Securing offices, rooms and facilities | Correspondance | PE-2PE-3PE-6+4 | Même sujet : Sécurité physique |
| A.7.4 | Physical security monitoring | Correspondance | PE-2PE-3PE-6+4 | Même sujet : Sécurité physique |
| A.7.5 | Protecting against physical and environmental threats | Correspondance | PE-2PE-3PE-6+10 | Même sujet : Sécurité physique |
| A.7.6 | Working in secure areas | Correspondance | PE-2PE-3PE-6+3 | Même sujet : Sécurité physique |
| A.7.7 | Clear desk and clear screen | Correspondance | AC-11MP-2MP-4+1 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.8 | Equipment siting and protection | Correspondance | PE-2PE-3PE-6+8 | Même sujet : Sécurité physique |
| A.7.9 | Security of assets off-premises | Correspondance | AC-19AC-20MP-5+1 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.10 | Storage media | Correspondance | MA-2MP-2MP-4+4 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.11 | Supporting utilities | Correspondance | PE-2PE-3PE-6+9 | Même sujet : Sécurité physique |
| A.7.12 | Cabling security | Correspondance | PE-2PE-3PE-6+5 | Même sujet : Sécurité physique |
| A.7.13 | Equipment maintenance | Correspondance | MA-2MA-6 | NIST SP 800-53 → ISO 27001 mapping |
| A.7.14 | Secure disposal or re-use of equipment | Correspondance | CM-8PM-5MP-6 | Même sujet : Gestion des actifs |
| A.8 Technological controls · 33 | ||||
| A.8.1 | User endpoint devices | Correspondance | AC-19AC-19(5)CM-7(5)+3 | Même sujet : Sécurité mobile, Protection des terminaux |
| A.8.2 | Privileged access rights | Correspondance | AC-2(7)AC-6(5)AC-2+2 | Même sujet : Accès privilégiés |
| A.8.3 | Information access restriction | Correspondance | AC-2AC-3AC-24 | Même sujet : Contrôle d'accès |
| A.8.4 | Access to source code | Correspondance | AC-3CM-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.5 | Secure authentication | Correspondance | AC-3AC-4AC-6+10 | Même sujet : Zero Trust |
| A.8.6 | Capacity management | Correspondance | AU-4CP-2SC-5 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.7 | Protection against malware | Correspondance | CM-7(5)SI-3SI-4+1 | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.8 | Management of technical vulnerabilities | Correspondance | CA-8RA-5SI-2+2 | Même sujet : Gestion des vulnérabilités, Gestion des correctifs |
| A.8.9 | Configuration management | Correspondance | CM-2CM-6CM-7+7 | Même sujet : Configuration sécurisée |
| A.8.10 | Information deletion | Correspondance | SC-8SC-28SI-7+8 | Même sujet : Protection des données |
| A.8.11 | Data masking | Correspondance | SC-8SC-28SI-7+2 | Même sujet : Protection des données |
| A.8.12 | Data leakage prevention | Correspondance | AC-4SC-7(10)AU-13+3 | Même sujet : DLP |
| A.8.13 | Information backup | Correspondance | CP-6CP-9 | Même sujet : Sauvegarde et restauration |
| A.8.14 | Redundancy of information processing facilities | Correspondance | CP-2(8)CP-10CP-7+2 | Même sujet : Continuité des activités, Reprise après sinistre |
| A.8.15 | Logging | Correspondance | AU-2AU-3AU-11+4 | Même sujet : Journalisation et audit |
| A.8.16 | Monitoring activities | Correspondance | AC-2(12)AU-6AU-6(3)+10 | Même sujet : Menace interne, Détection d'anomalies, SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondance | AU-2AU-3AU-11+2 | Même sujet : Journalisation et audit |
| A.8.18 | Use of privileged utility programs | Correspondance | AC-2(7)AC-6(5)AC-3+1 | Même sujet : Accès privilégiés |
| A.8.19 | Installation of software on operational systems | Correspondance | CM-7(5)SI-4SI-3+3 | Même sujet : Protection des terminaux |
| A.8.20 | Networks security | Correspondance | AC-4SC-7SC-20+7 | Même sujet : Pare-feu / Segmentation réseau, WAF, Sécurité DNS |
| A.8.21 | Security of network services | Correspondance | AC-4SC-7SC-20+4 | Même sujet : Pare-feu / Segmentation réseau, Sécurité DNS |
| A.8.22 | Segregation of networks | Correspondance | AC-3AC-4AC-6+2 | Même sujet : Zero Trust, Pare-feu / Segmentation réseau |
| A.8.23 | Web filtering | Correspondance | AC-4SC-7 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.24 | Use of cryptography | Correspondance | SC-8SC-12SC-13+2 | Même sujet : Chiffrement |
| A.8.25 | Secure development life cycle | Correspondance | SA-3SA-8SA-11+2 | Même sujet : Développement sécurisé |
| A.8.26 | Application security requirements | Correspondance | IA-9SA-3SA-8+8 | Même sujet : Sécurité des API, Développement sécurisé |
| A.8.27 | Secure system architecture and engineering principles | Correspondance | SA-8SA-17 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.28 | Secure coding | Correspondance | SA-3SA-8SA-11+3 | Même sujet : Développement sécurisé |
| A.8.29 | Security testing in development and acceptance | Correspondance | SA-3SA-8SA-11+4 | Même sujet : Développement sécurisé |
| A.8.30 | Outsourced development | Correspondance | SA-4SA-10SA-11+3 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.31 | Separation of development, test and production environments | Correspondance | CM-4CM-5SA-3 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.32 | Change management | Correspondance | CM-3CM-5SA-10+1 | NIST SP 800-53 → ISO 27001 mapping |
| A.8.33 | Test information | Correspondance | SA-3 | NIST SP 800-53 → ISO 27001 mapping |
| ISMS clauses 4–10 · 29 | ||||
| Clause 4.1 | Understanding the organization and its context | Correspondance | PM-11RA-9PM-1 | Même sujet : Environnement métier |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Correspondance | PM-11RA-9PM-1 | Même sujet : Environnement métier |
| Clause 4.3 | Determining the scope of the ISMS | Correspondance | PM-1PM-9PM-28 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 4.4 | Information security management system | Correspondance | PM-1PM-9PM-30+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 5.1 | Leadership and commitment | Correspondance | PM-2PM-3PM-29 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 5.2 | Policy | Correspondance | PL-1PM-1AC-1+17 | Même sujet : Politique de gouvernance |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Correspondance | AC-1AT-1AU-1+19 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 6.1.1 | General | Correspondance | PM-9PM-28RA-7+3 | Même sujet : Gestion des risques |
| Clause 6.1.2 | Information security risk assessment | Correspondance | RA-3RA-7PM-9+1 | Même sujet : Évaluation des risques |
| Clause 6.1.3 | Information security risk treatment | Correspondance | PM-9PM-28RA-3+1 | Même sujet : Gestion des risques, Évaluation des risques |
| Clause 6.2 | Information security objectives and planning to achieve them | Correspondance | PM-1PM-3PM-4+6 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.1 | Resources | Correspondance | PM-3 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.2 | Competence | Correspondance | PM-13 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.3 | Awareness | Correspondance | AT-2AT-3PS-8 | Même sujet : Sensibilisation et formation |
| Clause 7.4 | Communication | Correspondance | CP-10IR-6IR-7+4 | Même sujet : Communication et rétablissement, Communication |
| Clause 7.5.1 | General | Correspondance | AC-1AT-1AU-1+25 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.5.2 | Creating and updating | Correspondance | AC-1AT-1AU-1+25 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 7.5.3 | Control of documented information | Correspondance | AC-1AT-1AU-1+25 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 8.1 | Operational planning and control | Correspondance | CM-3PL-7PM-1+2 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 8.2 | Information security risk assessment | Correspondance | RA-3 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 8.3 | Information security risk treatment | Correspondance | CA-5PM-4RA-7 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Correspondance | PM-4PM-6CA-2+2 | Même sujet : Conformité |
| Clause 9.2.1 | General | Correspondance | CA-2 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.2.2 | Internal audit programme | Correspondance | CA-1CA-2CA-7+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.3.1 | General | Correspondance | CA-1CA-6PM-1+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.3.2 | Management review inputs | Correspondance | CA-7PM-4RA-3 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 9.3.3 | Management review results | Correspondance | CA-5CA-6CA-7+1 | NIST SP 800-53 → ISO 27001 mapping |
| Clause 10.1 | Continual improvement | Correspondance | IR-4PM-1PM-9+1 | Même sujet : Enseignements tirés (choix de la rédaction) |
| Clause 10.2 | Nonconformity and corrective action | Correspondance | CA-5PL-2PM-4+2 | NIST SP 800-53 → ISO 27001 mapping |
Par thème
Les deux couvrent (50) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésRenseignement sur les menacesContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementReprise après sinistreSécurité des APIMenace interneGestion des risques fournisseursSécurité physique
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.