Comparaison
NIST CSF 2.0 vs ISO 27001 : résultats ou système certifiable
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · données du 2026-10-27
Par Paul Gillet · Mis à jour le 2026-10-17
Le Cybersecurity Framework 2.0 du NIST décrit des résultats : 106 sous-catégories réparties en six fonctions (Gouverner, Identifier, Protéger, Détecter, Répondre, Récupérer). Il est volontaire, non certifiable, et ne précise pas délibérément comment atteindre chaque résultat. ISO/IEC 27001 est une norme certifiable : elle exige un système de management de la sécurité de l'information et un choix argumenté de mesures issues de l'Annexe A.
Parce que le NIST publie une correspondance de références informatives entre le CSF 2.0 et l'ISO 27001, les deux référentiels se recoupent étroitement, et presque chaque résultat du CSF est lié à des mesures ISO. Les organisations utilisent souvent le CSF comme langage à destination du conseil d'administration, et l'ISO 27001 comme référentiel opérationnel et de certification qui le sous-tend.
En passant du CSF à l'ISO, l'écart porte sur le système de management plutôt que sur les résultats de sécurité. La fonction Gouverner du CSF couvre la stratégie, la politique, les rôles et la supervision, mais l'ISO prescrit des mécanismes précis que le CSF laisse ouverts : un périmètre défini du SMSI, des objectifs de sécurité de l'information, la maîtrise des informations documentées, des programmes d'audit interne et la revue de direction. Ces clauses apparaissent ci-dessous comme non appariées.
En passant de l'ISO au CSF, la couverture est essentiellement complète. Le travail consiste à traduire : établir un profil CSF actuel et cible à partir de votre SMSI, et exprimer vos décisions de traitement des risques sous forme de résultats CSF.
En bref
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| Ce que c'est | Un référentiel volontaire de résultats | Une norme de système de management certifiable |
| Structure | 6 fonctions, 22 catégories, 106 sous-catégories | Clauses 4 à 10 et 93 mesures de l'Annexe A |
| Certification | Aucune | Oui, par des organismes de certification accrédités |
| Coût d'utilisation | Gratuit | La norme est vendue par l'ISO ; la certification ajoute des frais d'audit |
| Idéal pour | Structurer un programme, le reporting au conseil d'administration, l'auto-évaluation | Démontrer sa sécurité auprès des clients et des régulateurs à l'international |
| Correspondance officielle | Le NIST publie les références CSF 2.0 ↔ ISO 27001 utilisées ici | — |
Utiliser les deux ensemble
Les deux s'articulent bien : le CSF 2.0 fournit un vocabulaire de résultats que les conseils d'administration et les régulateurs comprennent, et l'ISO 27001 fournit le système de management certifiable qui prouve que vous pilotez le programme. Un schéma courant consiste à rendre compte de sa posture par fonctions CSF tout en certifiant le SMSI selon l'ISO 27001.
Parce que le NIST relie chaque sous-catégorie CSF aux clauses ISO et aux mesures de l'Annexe A, vous pouvez conserver un seul ensemble de mesures et le rapporter dans les deux sens. Les tableaux d'exigences ci-dessous montrent où les références publiées les relient, et où un résultat CSF n'a pas d'équivalent ISO dans nos données.
Ce qui a changé dans le CSF 2.0
Le CSF 2.0 (février 2024) a ajouté une sixième fonction, Gouverner, qui couvre le contexte organisationnel, la stratégie de risque, les rôles, la politique, la supervision et le risque lié à la chaîne d'approvisionnement. Ces résultats s'alignent étroitement sur les clauses 4 à 6 et 9 de l'ISO 27001, ce qui explique pourquoi les deux se recoupent davantage aujourd'hui qu'avant entre le CSF 1.1 et l'ISO.
Qui utilise quoi
- Le NIST CSF 2.0 est utilisé par des organisations de toutes tailles et de tous secteurs pour structurer un programme, fixer des cibles et rendre compte à la direction. C'est le langage commun des infrastructures critiques américaines, de nombreux régulateurs et des assureurs cyber, et il est gratuit.
- L'ISO 27001 est utilisée lorsqu'une organisation doit prouver sa sécurité à des tiers par un certificat : éditeurs de logiciels et prestataires de services vendant à de grandes entreprises, fournisseurs de chaînes d'approvisionnement réglementées, et entreprises répondant à des appels d'offres du secteur public, surtout hors des États-Unis.
- Beaucoup d'organisations utilisent les deux : le CSF pour piloter et rendre compte, l'ISO 27001 pour certifier.
Coût et effort
Adopter le CSF ne coûte rien et n'implique aucun audit : le coût correspond à l'effort interne d'évaluation de votre profil actuel, de définition d'un profil cible et de réduction de l'écart. L'ISO 27001 ajoute le prix de la norme elle-même, les honoraires de l'organisme de certification et, surtout, l'effort interne de construction et d'exploitation du système de management : appréciation des risques, déclaration d'applicabilité, audit interne et revue de direction. Pour une organisation qui utilise déjà bien le CSF, l'essentiel du travail technique pour l'ISO est déjà fait ; l'effort restant porte surtout sur le système de management et sa documentation.
Passer du CSF à la certification ISO 27001
- Faites correspondre votre profil CSF à l'ISO. Les références du NIST relient les sous-catégories CSF 2.0 aux clauses ISO et aux mesures de l'Annexe A ; l'analyse d'écarts répertorie chaque exigence ISO avec sa correspondance CSF.
- Définissez le périmètre du SMSI et transformez votre profil cible CSF en objectifs de sécurité de l'information.
- Formalisez l'appréciation des risques selon les exigences de l'ISO (méthode documentée, responsables, critères d'acceptation) et rédigez la déclaration d'applicabilité.
- Ajoutez les processus du système de management : maîtrise documentaire, audit interne, revue de direction et action corrective.
- Faites fonctionner le SMSI pendant quelques mois, puis planifiez les audits de l'étape 1 et de l'étape 2.
Beaucoup d'organisations disposant d'un programme CSF mature obtiennent la certification en six à neuf mois.
Exemple concret : un prestataire de santé régional
Un groupe de santé régional utilise le NIST CSF depuis trois ans pour structurer son programme et rendre compte à son conseil d'administration. Un nouveau contrat avec un partenaire exige une certification ISO 27001 pour le service de portail patient partagé.
Son profil CSF actuel montre des résultats solides en Protéger et Détecter, de sorte que la plupart des mesures techniques de l'Annexe A existent déjà. L'analyse d'écarts met en évidence les clauses du système de management, une déclaration d'applicabilité, des accords formels avec les fournisseurs et la sécurité physique de la salle des données. Le groupe circonscrit le SMSI au service de portail patient et à son infrastructure de support, réutilise son registre des risques CSF avec une méthode conforme à l'ISO, et obtient la certification en environ huit mois. Il continue de rendre compte au conseil d'administration en termes CSF, et à l'organisme de certification en termes ISO, à partir des mêmes mesures.
Erreurs courantes
- Correspondance avec le CSF 1.1. De nombreux anciens tableurs font correspondre l'ISO 27001:2013 au CSF 1.1 ; les deux ont depuis évolué, et les liens vers des sous-catégories retirées ne mènent nulle part.
- Considérer un profil CSF comme un SMSI. Le CSF n'exige ni audit interne, ni revue de direction, ni maîtrise documentaire ; les auditeurs ISO, eux, l'exigeront.
- Certifier un périmètre trop restreint pour économiser des efforts, puis découvrir que le certificat ne couvre pas ce que les clients achètent.
- Produire deux visions différentes. Les rapports au conseil en termes CSF et les preuves d'audit en termes ISO doivent provenir des mêmes mesures, sinon elles finissent par diverger.
Points clés à retenir
- Si vous avez besoin d'un certificat, l'ISO 27001 en délivre un ; le CSF, jamais.
- CSF → ISO : prévoyez les mécanismes du SMSI (périmètre, objectifs, informations documentées, audit interne, revue de direction).
- ISO → CSF : produisez des profils CSF à partir de votre déclaration d'applicabilité existante ; peu de nouveaux travaux de mesures sont nécessaires.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir NIST CSF 2.0 → viser ISO 27001
123 exig. 79 mis en correspondance · · 10 sans correspondance Ouvrir dans la vue des écarts →Sur 123 exigences ISO/IEC 27001:2022, 79 correspondent à un élément de NIST CSF 2.0, 34 sont seulement faiblement liées et 10 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec NIST CSF 2.0 (10)
| ISO 27001 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 5.1 | Leadership and commitment | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 6.2 | Information security objectives and planning to achieve them | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 6.3 | Planning of changes | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 7.5.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 7.5.2 | Creating and updating | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 7.5.3 | Control of documented information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 9.2.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 9.2.2 | Internal audit programme | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| Clause 10.2 | Nonconformity and corrective action | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (34)
| ISO 27001 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Partage seulement les fonctions CSF GV.OC-05, GV.RR-02, PR.AA-05 : lien indicatif, pas une correspondance | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Partage seulement les fonctions CSF GV.OC-05, ID.AM-08 : lien indicatif, pas une correspondance | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Partage seulement les fonctions CSF PR.AA-03, PR.AA-05 : lien indicatif, pas une correspondance | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.5.33 | Protection of records | PR.DS-01 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.5.35 | Independent review of information security | GV.OV-02 | Partage seulement les fonctions CSF GV.OV-02 : lien indicatif, pas une correspondance | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Partage seulement les fonctions CSF GV.PO-01, GV.RR-04, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Partage seulement les fonctions CSF GV.PO-01, GV.RR-04, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Partage seulement les fonctions CSF GV.RR-03, GV.RR-04 : lien indicatif, pas une correspondance | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Partage seulement les fonctions CSF PR.DS-01, PR.IR-02 : lien indicatif, pas une correspondance | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Partage seulement les fonctions CSF ID.AM-08, PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Partage seulement les fonctions CSF ID.AM-08, PR.IR-02 : lien indicatif, pas une correspondance | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02 : lien indicatif, pas une correspondance | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Partage seulement les fonctions CSF DE.CM-09, PR.IR-04 : lien indicatif, pas une correspondance | |
| A.8.23 | Web filtering | PR.IR-01 | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| A.8.30 | Outsourced development | GV.OV-03 | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Partage seulement les fonctions CSF PR.PS-06 : lien indicatif, pas une correspondance | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Partage seulement les fonctions CSF GV.OV-03, ID.RA-07 : lien indicatif, pas une correspondance | |
| A.8.33 | Test information | PR.DS-01 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Partage seulement les fonctions CSF GV.SC-02 : lien indicatif, pas une correspondance | |
| Clause 7.1 | Resources | GV.RR-03 | Partage seulement les fonctions CSF GV.RR-03 : lien indicatif, pas une correspondance | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02, GV.RR-03 : lien indicatif, pas une correspondance | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Partage seulement les fonctions CSF GV.OC-01, GV.OC-02, GV.SC-01 : lien indicatif, pas une correspondance | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Partage seulement les fonctions CSF GV.OC-01, GV.OC-02 : lien indicatif, pas une correspondance | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Partage seulement les fonctions CSF GV.OC-01, GV.OC-02 : lien indicatif, pas une correspondance | |
| Clause 9.3.1 | General | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
Mis en correspondance (79)
| ISO 27001 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
| A.5.2 | Information security roles and responsibilities | Correspondance | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités |
| A.5.4 | Management responsibilities | Correspondance | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités |
| A.5.5 | Contact with authorities | Correspondance | RS.CO-02 | Même sujet : Notification |
| A.5.6 | Contact with special interest groups | Éditorial | RS.CO-03 | Même sujet : Communication (choix de la rédaction) |
| A.5.7 | Threat intelligence | Correspondance | DE.AE-07ID.RA-02ID.RA-03 | Même sujet : Renseignement sur les menaces |
| A.5.9 | Inventory of information and other associated assets | Correspondance | ID.AM-01ID.AM-02ID.AM-04+1 | Même sujet : Gestion des actifs |
| A.5.11 | Return of assets | Correspondance | ID.AM-01ID.AM-02ID.AM-04+1 | Même sujet : Gestion des actifs |
| A.5.12 | Classification of information | Correspondance | ID.AM-05ID.AM-07 | Même sujet : Classification des données |
| A.5.13 | Labelling of information | Correspondance | ID.AM-05ID.AM-07 | Même sujet : Classification des données |
| A.5.14 | Information transfer | Correspondance | DE.CM-09PR.DS-01PR.DS-02+1 | Même sujet : Sécurité de la messagerie, Protection des données |
| A.5.15 | Access control | Correspondance | PR.AA-01PR.AA-03PR.AA-04+2 | Même sujet : Contrôle d'accès, Zero Trust |
| A.5.16 | Identity management | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| A.5.18 | Access rights | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| A.5.19 | Information security in supplier relationships | Correspondance | DE.CM-06GV.SC-01GV.SC-03+7 | Même sujet : Gestion des risques fournisseurs, Risque lié à la chaîne d'approvisionnement |
| A.5.20 | Addressing information security within supplier agreements | Correspondance | DE.CM-06GV.SC-04GV.SC-06+2 | Même sujet : Gestion des risques fournisseurs |
| A.5.21 | Managing information security in the ICT supply chain | Correspondance | GV.SC-01GV.SC-03GV.SC-05+2 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondance | DE.CM-06GV.SC-04GV.SC-06+2 | Même sujet : Gestion des risques fournisseurs |
| A.5.23 | Information security for use of cloud services | Correspondance | ID.AM-04PR.IR-01PR.PS-01 | Même sujet : Sécurité du cloud |
| A.5.24 | Information security incident management planning and preparation | Correspondance | ID.IM-04RS.MA-01RS.MA-02+2 | Même sujet : Réponse aux incidents |
| A.5.25 | Assessment and decision on information security events | Correspondance | DE.AE-03DE.AE-06DE.AE-08+5 | Même sujet : SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondance | ID.IM-04RC.CO-03RC.CO-04+7 | Même sujet : Réponse aux incidents, Communication et rétablissement |
| A.5.27 | Learning from information security incidents | Correspondance | ID.IM-03RC.RP-06 | Même sujet : Enseignements tirés |
| A.5.28 | Collection of evidence | Correspondance | RS.AN-03RS.AN-06RS.AN-07 | Même sujet : Criminalistique numérique |
| A.5.29 | Information security during disruption | Correspondance | GV.OC-04ID.IM-04PR.IR-03+3 | Même sujet : Continuité des activités, Planification de la reprise |
| A.5.30 | ICT readiness for business continuity | Correspondance | GV.OC-04ID.IM-04PR.IR-03+4 | Même sujet : Continuité des activités, Planification de la reprise, Reprise après sinistre |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Correspondance | GV.OC-03GV.OV-03 | Même sujet : Conformité |
| A.5.36 | Compliance with policies, rules and standards for information security | Éditorial | GV.OC-03GV.OV-03 | Même sujet : Conformité (choix de la rédaction) |
| A.5.37 | Documented operating procedures | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Correspondance | DE.CM-03GV.RR-04 | Même sujet : Menace interne |
| A.6.3 | Information security awareness, education and training | Correspondance | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation |
| A.6.4 | Disciplinary process | Correspondance | DE.CM-03GV.RR-04 | Même sujet : Menace interne |
| A.6.7 | Remote working | Éditorial | PR.AA-05PR.PS-01 | Même sujet : Sécurité mobile (choix de la rédaction) |
| A.6.8 | Information security event reporting | Correspondance | RS.CO-02 | Même sujet : Notification |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.2 | Physical entry | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.3 | Securing offices, rooms and facilities | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.4 | Physical security monitoring | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.5 | Protecting against physical and environmental threats | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.6 | Working in secure areas | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.8 | Equipment siting and protection | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.11 | Supporting utilities | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.12 | Cabling security | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| A.7.14 | Secure disposal or re-use of equipment | Correspondance | ID.AM-01ID.AM-02ID.AM-04+1 | Même sujet : Gestion des actifs |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Correspondance | PR.AA-05PR.PS-01DE.CM-09+1 | Même sujet : Sécurité mobile, Protection des terminaux |
| A.8.2 | Privileged access rights | Correspondance | PR.AA-05 | Même sujet : Accès privilégiés |
| A.8.3 | Information access restriction | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| A.8.5 | Secure authentication | Correspondance | PR.AA-03PR.AA-04PR.AA-05+2 | Même sujet : Authentification multifacteur, Zero Trust, Sécurité des API |
| A.8.7 | Protection against malware | Éditorial | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux (choix de la rédaction) |
| A.8.8 | Management of technical vulnerabilities | Correspondance | ID.RA-01ID.RA-08PR.PS-02 | Même sujet : Gestion des vulnérabilités, Gestion des correctifs |
| A.8.9 | Configuration management | Correspondance | PR.PS-01 | Même sujet : Configuration sécurisée |
| A.8.10 | Information deletion | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données |
| A.8.11 | Data masking | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données |
| A.8.12 | Data leakage prevention | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : DLP |
| A.8.13 | Information backup | Correspondance | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration |
| A.8.14 | Redundancy of information processing facilities | Correspondance | GV.OC-04PR.IR-03RC.RP-02+2 | Même sujet : Continuité des activités, Reprise après sinistre |
| A.8.15 | Logging | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| A.8.16 | Monitoring activities | Correspondance | DE.AE-02DE.AE-03DE.AE-04+6 | Même sujet : Détection d'intrusion, Détection d'anomalies, SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| A.8.18 | Use of privileged utility programs | Correspondance | PR.AA-05 | Même sujet : Accès privilégiés |
| A.8.19 | Installation of software on operational systems | Correspondance | DE.CM-09PR.PS-05 | Même sujet : Protection des terminaux |
| A.8.20 | Networks security | Correspondance | DE.CM-01ID.AM-03PR.IR-01 | Même sujet : Sécurité DNS, WAF, Pare-feu / Segmentation réseau |
| A.8.21 | Security of network services | Correspondance | DE.CM-01ID.AM-03PR.IR-01 | Même sujet : Sécurité DNS, Pare-feu / Segmentation réseau |
| A.8.22 | Segregation of networks | Correspondance | ID.AM-03PR.AA-03PR.AA-04+2 | Même sujet : Pare-feu / Segmentation réseau, Zero Trust |
| A.8.24 | Use of cryptography | Correspondance | PR.DS-01PR.DS-02 | Même sujet : Chiffrement |
| A.8.25 | Secure development life cycle | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| A.8.26 | Application security requirements | Correspondance | PR.AA-03PR.IR-01PR.PS-06 | Même sujet : Sécurité des API, Sécurité web, Développement sécurisé |
| A.8.28 | Secure coding | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| A.8.29 | Security testing in development and acceptance | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Correspondance | GV.OC-01GV.OC-04GV.OC-05 | Même sujet : Environnement métier |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Correspondance | GV.OC-01GV.OC-04GV.OC-05 | Même sujet : Environnement métier |
| Clause 5.2 | Policy | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
| Clause 6.1.1 | General | Correspondance | GV.RM-01GV.RM-02GV.RM-03+1 | Même sujet : Gestion des risques |
| Clause 6.1.2 | Information security risk assessment | Correspondance | ID.RA-03ID.RA-04ID.RA-05+1 | Même sujet : Évaluation des risques |
| Clause 6.1.3 | Information security risk treatment | Correspondance | GV.RM-01GV.RM-02GV.RM-03+5 | Même sujet : Gestion des risques |
| Clause 7.3 | Awareness | Correspondance | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation |
| Clause 7.4 | Communication | Correspondance | RC.CO-03RC.CO-04RC.RP-05+1 | Même sujet : Communication et rétablissement |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Correspondance | GV.OC-03GV.OV-03 | Même sujet : Conformité |
| Clause 10.1 | Continual improvement | Éditorial | ID.IM-03RC.RP-06 | Même sujet : Enseignements tirés (choix de la rédaction) |
Avoir ISO 27001 → viser NIST CSF 2.0
106 exig. 89 mis en correspondance · · 2 sans correspondance Ouvrir dans la vue des écarts →Sur 106 exigences NIST Cybersecurity Framework 2.0, 89 correspondent à un élément de ISO 27001, 15 sont seulement faiblement liées et 2 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences NIST CSF 2.0 sans correspondance avec ISO 27001 (2)
| NIST CSF 2.0 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (15)
| NIST CSF 2.0 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Partage seulement les fonctions CSF GV.OV-01 : lien indicatif, pas une correspondance | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Partage seulement les fonctions CSF GV.OV-02 : lien indicatif, pas une correspondance | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Partage seulement les fonctions CSF GV.RM-04 : lien indicatif, pas une correspondance | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Partage seulement les fonctions CSF GV.RM-05 : lien indicatif, pas une correspondance | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Partage seulement les fonctions CSF GV.RM-07 : lien indicatif, pas une correspondance | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Partage seulement les fonctions CSF GV.SC-02 : lien indicatif, pas une correspondance | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Partage seulement les fonctions CSF GV.SC-08 : lien indicatif, pas une correspondance | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Partage seulement les fonctions CSF GV.SC-10 : lien indicatif, pas une correspondance | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Partage seulement les fonctions CSF ID.RA-07 : lien indicatif, pas une correspondance | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Partage seulement les fonctions CSF PR.AA-02 : lien indicatif, pas une correspondance | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Partage seulement les fonctions CSF PR.IR-04 : lien indicatif, pas une correspondance | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Partage seulement les fonctions CSF RS.AN-08 : lien indicatif, pas une correspondance | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Partage seulement les fonctions CSF RS.MA-05 : lien indicatif, pas une correspondance | |
Mis en correspondance (89)
| NIST CSF 2.0 | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Correspondance | A.8.16 | Même sujet : Détection d'intrusion, Détection d'anomalies |
| DE.AE-03 | Information is correlated from multiple sources | Correspondance | A.5.25A.8.15A.8.16+1 | Même sujet : SIEM / SOC, Journalisation et audit |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Correspondance | A.8.16 | Même sujet : Détection d'anomalies |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondance | A.5.25A.8.16 | Même sujet : SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Correspondance | A.5.7 | Même sujet : Renseignement sur les menaces |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondance | A.5.25A.8.16 | Même sujet : SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondance | A.8.16A.8.20A.8.21 | Même sujet : Surveillance continue, Détection d'intrusion, Sécurité DNS, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondance | A.6.1A.6.4A.8.16 | Même sujet : Menace interne, Surveillance continue |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondance | A.5.14A.8.16A.8.19+2 | Même sujet : Sécurité de la messagerie, Surveillance continue, Détection d'anomalies, Protection des terminaux |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Correspondance | Clause 4.1Clause 4.2 | Même sujet : Environnement métier |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Correspondance | A.5.31Clause 9.1A.5.36 | Même sujet : Conformité |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondance | A.5.29A.5.30A.8.14+2 | Même sujet : Continuité des activités |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Correspondance | Clause 4.1Clause 4.2 | Même sujet : Environnement métier |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Correspondance | A.5.31Clause 9.1A.5.36 | Même sujet : Conformité |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondance | A.5.1A.5.37Clause 5.2 | Même sujet : Politique de gouvernance |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondance | A.5.1A.5.37Clause 5.2 | Même sujet : Politique de gouvernance |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Correspondance | Clause 6.1.1Clause 6.1.3 | Même sujet : Gestion des risques |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Correspondance | Clause 6.1.1Clause 6.1.3 | Même sujet : Gestion des risques |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Correspondance | Clause 6.1.1Clause 6.1.3 | Même sujet : Gestion des risques |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Correspondance | Clause 6.1.1Clause 6.1.3 | Même sujet : Gestion des risques |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondance | A.5.2A.5.4 | Même sujet : Rôles et responsabilités |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondance | A.5.2A.5.4 | Même sujet : Rôles et responsabilités |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondance | A.5.2A.5.4 | Même sujet : Rôles et responsabilités |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondance | A.6.1A.6.4A.8.16 | Même sujet : Menace interne |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Correspondance | A.8.20A.8.21A.8.22 | Même sujet : Pare-feu / Segmentation réseau |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondance | A.5.9A.5.11A.5.23+1 | Même sujet : Gestion des actifs, Sécurité du cloud |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Correspondance | A.5.12A.5.13 | Même sujet : Classification des données |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Correspondance | A.5.12A.5.13 | Même sujet : Classification des données |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondance | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Correspondance | A.5.27Clause 10.1 | Même sujet : Enseignements tirés |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondance | A.5.24A.5.25A.5.26+2 | Même sujet : Réponse aux incidents |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Correspondance | A.5.7 | Même sujet : Renseignement sur les menaces |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondance | A.5.7Clause 6.1.2Clause 6.1.3 | Même sujet : Renseignement sur les menaces, Évaluation des risques |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondance | Clause 6.1.2Clause 6.1.3 | Même sujet : Évaluation des risques |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondance | Clause 6.1.2Clause 6.1.3 | Même sujet : Évaluation des risques |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondance | Clause 6.1.2Clause 6.1.3 | Même sujet : Évaluation des risques |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondance | A.8.8 | Même sujet : Gestion des vulnérabilités |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Correspondance | A.5.19A.5.21 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondance | A.5.19A.5.20A.5.22 | Même sujet : Gestion des risques fournisseurs |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondance | A.5.15A.5.16A.5.18+1 | Même sujet : Contrôle d'accès |
| PR.AA-03 | Users, services, and hardware are authenticated | Correspondance | A.5.15A.8.5A.8.22+1 | Même sujet : Zero Trust, Authentification multifacteur, Sécurité des API |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Correspondance | A.5.15A.8.5A.8.22 | Même sujet : Zero Trust |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondance | A.5.15A.5.16A.5.18+7 | Même sujet : Contrôle d'accès, Zero Trust |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondance | A.6.3Clause 7.3 | Même sujet : Sensibilisation et formation |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondance | A.5.14A.8.10A.8.11+2 | Même sujet : Protection des données |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondance | A.5.14A.8.10A.8.11+2 | Même sujet : Protection des données, Sécurité de la messagerie |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondance | A.5.14A.8.10A.8.11+1 | Même sujet : Protection des données |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondance | A.5.15A.5.23A.8.5+4 | Même sujet : Zero Trust, Sécurité du cloud, Sécurité des API |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondance | A.7.1A.7.2A.7.3+6 | Même sujet : Sécurité physique |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondance | A.5.29A.5.30A.8.14 | Même sujet : Continuité des activités, Reprise après sinistre |
| PR.PS-01 | Configuration management practices are established and applied | Correspondance | A.5.23A.8.1A.8.9+1 | Même sujet : Sécurité du cloud, Sécurité mobile, Configuration sécurisée |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Correspondance | A.8.8 | Même sujet : Gestion des correctifs |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondance | A.8.15A.8.17 | Même sujet : Journalisation et audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Correspondance | A.8.19A.8.1A.8.7 | Même sujet : Protection des terminaux |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Correspondance | A.8.5A.8.25A.8.26+2 | Même sujet : Sécurité des API, Développement sécurisé, Sécurité web |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Correspondance | A.5.26Clause 7.4 | Même sujet : Communication et rétablissement |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Correspondance | A.5.26Clause 7.4 | Même sujet : Communication et rétablissement |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondance | A.5.29A.5.30 | Même sujet : Planification de la reprise |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondance | A.5.29A.5.30A.8.14 | Même sujet : Planification de la reprise, Reprise après sinistre |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondance | A.8.13 | Même sujet : Sauvegarde et restauration |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondance | A.5.29A.5.30A.8.14 | Même sujet : Continuité des activités |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondance | A.5.26A.5.30A.8.14+1 | Même sujet : Communication et rétablissement, Reprise après sinistre |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Correspondance | A.5.27Clause 10.1 | Même sujet : Enseignements tirés |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Correspondance | A.5.28 | Même sujet : Criminalistique numérique |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Correspondance | A.5.28 | Même sujet : Criminalistique numérique |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Correspondance | A.5.28 | Même sujet : Criminalistique numérique |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondance | A.5.5A.6.8 | Même sujet : Notification |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Correspondance | Clause 7.4A.5.6 | Même sujet : Communication |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| RS.MA-02 | Incident reports are triaged and validated | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondance | A.5.24A.5.25A.5.26 | Même sujet : Réponse aux incidents |
| RS.MI-01 | Incidents are contained | Correspondance | A.5.26 | Même sujet : Atténuation |
| RS.MI-02 | Incidents are eradicated | Correspondance | A.5.26 | Même sujet : Atténuation |
Par thème
Les deux couvrent (50) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésRenseignement sur les menacesContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementReprise après sinistreSécurité des APIMenace interneGestion des risques fournisseursSécurité physique
Questions
Peut-on être certifié selon le NIST CSF ?
Non. Le NIST ne propose aucune certification ; les organisations procèdent à une auto-évaluation ou commandent une évaluation indépendante. L'ISO 27001 est l'option certifiable.
Le NIST CSF est-il plus simple que l'ISO 27001 ?
Il est moins prescriptif et n'implique aucun audit, il est donc plus facile à démarrer. Il n'est pas plus léger sur le fond : couvrir chaque résultat du CSF 2.0 demande un programme mature.
D'où vient la correspondance ?
Des références informatives du NIST pour le CSF 2.0 et de la correspondance SP 800-53 → ISO 27001 publiée par le NIST. Voir la méthodologie.
L'ISO 27001 est-elle plus rigoureuse que le NIST CSF ?
Elles sont rigoureuses de manières différentes. L'ISO 27001 est auditée et certifiable, et impose un système de management ; le NIST CSF a un périmètre plus large (notamment en gouvernance et en risque lié à la chaîne d'approvisionnement depuis la 2.0) mais ne comporte pas d'audit. La rigueur dépend de la manière dont chacun est mis en œuvre.
Le NIST CSF et l'ISO 27001 peuvent-ils partager une même appréciation des risques ?
Oui. Une appréciation des risques qui satisfait aux exigences de l'ISO 27001 en matière de méthode documentée, de responsables et de critères d'acceptation répond aussi aux résultats de gestion des risques du CSF.
Le gouvernement américain exige-t-il l'ISO 27001 ?
En général non. Les systèmes fédéraux américains utilisent le NIST SP 800-53 et le Risk Management Framework ; le CSF est largement utilisé dans le secteur privé. L'ISO 27001 est plus souvent exigée par les clients internationaux.
Faut-il acheter l'ISO 27001 pour l'utiliser ?
Oui, la norme est vendue par l'ISO et les organismes nationaux de normalisation. Le NIST CSF et ses références sont téléchargeables gratuitement.
Lequel est préférable pour une petite entreprise ?
Le NIST CSF est gratuit et plus simple à aborder ; l'ISO 27001 vaut la peine lorsque des clients ou des appels d'offres exigent une certification. Beaucoup de petites entreprises commencent par le CSF et se certifient plus tard.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.