Comparaison
Essential Eight vs NIST CSF 2.0 : la référence australienne au regard des normes mondiales
NIST Cybersecurity Framework 2.0 · ASD Essential Eight · données du 2026-10-27
Les organisations australiennes qui rendent compte à une maison mère ou à un conseil d'administration à l'étranger doivent souvent exprimer leur niveau de maturité Essential Eight en termes de NIST CSF 2.0, et les organisations internationales qui entrent dans les chaînes d'approvisionnement du gouvernement australien ont besoin de l'inverse. Les deux référentiels ne se situent pas au même niveau : le CSF décrit des résultats couvrant la gouvernance et l'ensemble du cycle de vie des incidents, tandis que l'Essential Eight prescrit huit stratégies techniques, chacune évaluée aux niveaux de maturité un à trois au travers des contrôles ISM de l'ASD.
En partant du CSF vers l'Essential Eight, chaque contrôle E8 est soit en correspondance, soit faiblement lié, principalement via les résultats du CSF relatifs à la sécurité des plateformes, à l'identité et à la protection des données. Comme pour ISO, de nombreuses correspondances ne sont que faiblement liées : le CSF ne vous dira pas que les macros Office provenant d'internet doivent être bloquées, ni que le contrôle des applications doit couvrir les pilotes au niveau ML3.
En partant de l'Essential Eight vers le CSF, la plupart des résultats du CSF n'ont aucune correspondance, en particulier la fonction Govern (stratégie de risque, politique, supervision, risque lié à la chaîne d'approvisionnement) ainsi qu'une grande partie de Identify, Detect, Respond et Recover, au-delà de la journalisation, de la déclaration d'incidents et des sauvegardes.
L'ASD ne publie aucune correspondance avec le NIST ; le volet Essential Eight de cette comparaison est donc le mappage éditorial de ControlMapping, par stratégie.
Points clés à retenir
- Rendre compte de la maturité Essential Eight au sein d'un profil CSF : elle correspond principalement à la fonction Protect.
- CSF → E8 : traitez les contrôles ML2 de chaque stratégie comme des exigences de mise en œuvre spécifiques rattachées aux résultats CSF correspondants.
- E8 → CSF : les résultats relatifs à la gouvernance et à la réponse aux incidents représentent des travaux nouveaux.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir NIST CSF 2.0 → viser Essential Eight
126 exig. 57 mis en correspondance · · 0 sans correspondance Ouvrir dans la vue des écarts →Sur 126 exigences ASD Essential Eight, 57 correspondent à un élément de NIST CSF 2.0, 69 sont seulement faiblement liées et 0 n'ont aucune correspondance dans nos données.
Essential Eight désigne ici les contrôles ISM que l'ASD associe aux niveaux de maturité un à trois ; chaque ligne indique ses niveaux (ML1–ML3). L'ASD ne publie aucune correspondance avec d'autres référentiels, donc toutes les équivalences relèvent de l'éditorial ControlMapping.
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (69)
| Essential Eight | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | ID.RA-01PR.PS-02 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02 : lien indicatif, pas une correspondance | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | ID.RA-01PR.PS-02 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02 : lien indicatif, pas une correspondance | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | ID.RA-01PR.PS-02 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02 : lien indicatif, pas une correspondance | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | ID.RA-01PR.PS-02 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02 : lien indicatif, pas une correspondance | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | ID.RA-01PR.PS-02 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02 : lien indicatif, pas une correspondance | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | ID.RA-01PR.PS-02 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02 : lien indicatif, pas une correspondance | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | ID.RA-01PR.PS-02PR.PS-03 | Partage seulement les fonctions CSF ID.RA-01, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | PR.PS-05 | Partage seulement les fonctions CSF PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | PR.PS-05 | Partage seulement les fonctions CSF PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | PR.PS-05 | Partage seulement les fonctions CSF PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | PR.PS-05 | Partage seulement les fonctions CSF PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | PR.PS-05 | Partage seulement les fonctions CSF PR.PS-05 : lien indicatif, pas une correspondance | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | PR.PS-01PR.PS-05 | Partage seulement les fonctions CSF PR.PS-01, PR.PS-05 : lien indicatif, pas une correspondance | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | PR.DS-11RC.RP-03 | Partage seulement les fonctions CSF PR.DS-11, RC.RP-03 : lien indicatif, pas une correspondance | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | PR.DS-11RC.RP-03 | Partage seulement les fonctions CSF PR.DS-11, RC.RP-03 : lien indicatif, pas une correspondance | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | PR.DS-11RC.RP-03 | Partage seulement les fonctions CSF PR.DS-11, RC.RP-03 : lien indicatif, pas une correspondance | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | PR.DS-11RC.RP-03 | Partage seulement les fonctions CSF PR.DS-11, RC.RP-03 : lien indicatif, pas une correspondance | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | PR.DS-11RC.RP-03 | Partage seulement les fonctions CSF PR.DS-11, RC.RP-03 : lien indicatif, pas une correspondance | |
Mis en correspondance (57)
| Essential Eight | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | Éditorial | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | Éditorial | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | Éditorial | ID.AM-01ID.AM-02ID.AM-04+3 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | Éditorial | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | Éditorial | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | Éditorial | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | Éditorial | PR.PS-02 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | Éditorial | PR.AA-03 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | Éditorial | PR.AA-03 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | Éditorial | PR.AA-03 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | Éditorial | PR.AA-03 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | Éditorial | PR.AA-03 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | Éditorial | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit (choix de la rédaction) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | Éditorial | PR.AA-03 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | Éditorial | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit (choix de la rédaction) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | Éditorial | PR.AA-05 | Même sujet : Accès privilégiés (choix de la rédaction) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | Éditorial | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit (choix de la rédaction) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | Éditorial | DE.CM-09PR.DS-02PR.PS-05 | Même sujet : Protection des terminaux, Sécurité de la messagerie (choix de la rédaction) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | Éditorial | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit (choix de la rédaction) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | Éditorial | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | Éditorial | PR.DS-11PR.IR-03RC.RP-02+2 | Même sujet : Sauvegarde et restauration, Reprise après sinistre (choix de la rédaction) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | Éditorial | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | Éditorial | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | Éditorial | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | Éditorial | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | Éditorial | DE.CM-01DE.CM-03DE.CM-09 | Même sujet : Surveillance continue (choix de la rédaction) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | Éditorial | RS.CO-02 | Même sujet : Notification (choix de la rédaction) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | Éditorial | RS.CO-02 | Même sujet : Notification (choix de la rédaction) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | Éditorial | DE.AE-02DE.AE-03DE.AE-04+3 | Même sujet : Détection d'anomalies, SIEM / SOC (choix de la rédaction) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | Éditorial | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit (choix de la rédaction) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | Éditorial | ID.IM-04RS.MA-01RS.MA-02+2 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | Éditorial | DE.AE-03DE.AE-06DE.AE-08+3 | Même sujet : SIEM / SOC (choix de la rédaction) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | Éditorial | DE.CM-01DE.CM-03DE.CM-09 | Même sujet : Surveillance continue (choix de la rédaction) |
Avoir Essential Eight → viser NIST CSF 2.0
106 exig. 32 mis en correspondance · · 73 sans correspondance Ouvrir dans la vue des écarts →Sur 106 exigences NIST Cybersecurity Framework 2.0, 32 correspondent à un élément de Essential Eight, 1 sont seulement faiblement liées et 73 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences NIST CSF 2.0 sans correspondance avec Essential Eight (73)
| NIST CSF 2.0 | Exigence | Correspondance | Essential Eight | Preuves |
|---|---|---|---|---|
| Detect (DE) · 3 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| Govern (GV) · 31 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.RR-04 | Cybersecurity is included in human resources practices | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| Identify (ID) · 14 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.IM-01 | Improvements are identified from evaluations | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| Protect (PR) · 12 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| Recover (RC) · 5 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| Respond (RS) · 8 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.AN-08 | An incident's magnitude is estimated and validated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.MA-05 | The criteria for initiating incident recovery are applied | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.MI-01 | Incidents are contained | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
| RS.MI-02 | Incidents are eradicated | Aucune correspondance dans nos données | — | Aucune correspondance avec Essential Eight dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (1)
| NIST CSF 2.0 | Exigence | Correspondance | Essential Eight | Preuves |
|---|---|---|---|---|
| Protect (PR) · 1 | ||||
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | ISM-1407ISM-1501ISM-1694+5 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
Mis en correspondance (32)
| NIST CSF 2.0 | Exigence | Correspondance | Essential Eight | Preuves |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Éditorial | ISM-1228 | Même sujet : Détection d'anomalies (choix de la rédaction) |
| DE.AE-03 | Information is correlated from multiple sources | Éditorial | ISM-1228ISM-1509ISM-1623+4 | Même sujet : SIEM / SOC, Journalisation et audit (choix de la rédaction) |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Éditorial | ISM-1228 | Même sujet : Détection d'anomalies (choix de la rédaction) |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Éditorial | ISM-1228ISM-1906 | Même sujet : SIEM / SOC (choix de la rédaction) |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Éditorial | ISM-1228ISM-1906 | Même sujet : SIEM / SOC (choix de la rédaction) |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Éditorial | ISM-0109ISM-1906ISM-1907 | Même sujet : Surveillance continue (choix de la rédaction) |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Éditorial | ISM-0109ISM-1906ISM-1907 | Même sujet : Surveillance continue (choix de la rédaction) |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Éditorial | ISM-0109ISM-0843ISM-1228+7 | Même sujet : Surveillance continue, Protection des terminaux, Détection d'anomalies (choix de la rédaction) |
| Identify (ID) · 7 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Éditorial | ISM-1807 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Éditorial | ISM-1807 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Éditorial | ISM-1807 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Éditorial | ISM-1807 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Éditorial | ISM-1819 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Éditorial | ISM-1698ISM-1699ISM-1701+3 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Éditorial | ISM-1698ISM-1699ISM-1701+3 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| Protect (PR) · 9 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | Éditorial | ISM-0974ISM-1173ISM-1401+3 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Éditorial | ISM-0445ISM-1175ISM-1380+5 | Même sujet : Accès privilégiés (choix de la rédaction) |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Éditorial | ISM-1488 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Éditorial | ISM-1511ISM-1515ISM-1707+3 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Éditorial | ISM-1515 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| PR.PS-01 | Configuration management practices are established and applied | Éditorial | ISM-1412ISM-1585ISM-1621+3 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Éditorial | ISM-1501ISM-1691ISM-1693+4 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Éditorial | ISM-1509ISM-1623ISM-1660+2 | Même sujet : Journalisation et audit (choix de la rédaction) |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Éditorial | ISM-0843ISM-1488ISM-1490+3 | Même sujet : Protection des terminaux (choix de la rédaction) |
| Recover (RC) · 3 | ||||
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Éditorial | ISM-1515 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Éditorial | ISM-1511ISM-1515ISM-1707+3 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Éditorial | ISM-1515 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| Respond (RS) · 5 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Éditorial | ISM-0123ISM-0140 | Même sujet : Notification (choix de la rédaction) |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Éditorial | ISM-1819 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MA-02 | Incident reports are triaged and validated | Éditorial | ISM-1819 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MA-03 | Incidents are categorized and prioritized | Éditorial | ISM-1819 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MA-04 | Incidents are escalated or elevated as needed | Éditorial | ISM-1819 | Même sujet : Réponse aux incidents (choix de la rédaction) |
Par thème
Les deux couvrent (16) :
Gestion des actifsGestion des vulnérabilitésAuthentification multifacteurSauvegarde et restaurationAccès privilégiésProtection des terminauxGestion des correctifsConfiguration sécuriséeSécurité de la messagerieSurveillance continueJournalisation et auditDétection d'anomaliesSIEM / SOCRéponse aux incidentsNotificationReprise après sinistre
Seulement NIST CSF 2.0 (34) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéÉvaluation des risquesEnvironnement métierClassification des donnéesRenseignement sur les menacesContrôle d'accèsChiffrementProtection des donnéesPare-feu / Segmentation réseauDéveloppement sécuriséSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPDétection d'intrusionCriminalistique numériqueCommunicationAtténuationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementSécurité des APIMenace interneGestion des risques fournisseursSécurité physique
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.