Comparaison
NIST CSF 2.0 vs SP 800-53 : résultats attendus et contrôles qui les permettent
NIST Cybersecurity Framework 2.0 · NIST SP 800-53 Rev 5.2 · données du 2026-10-27
Par Paul Gillet · Mis à jour le 2026-10-17
NIST CSF 2.0 et SP 800-53 émanent de la même organisation et sont conçus pour fonctionner ensemble. Le CSF 2.0 décrit des résultats attendus, 106 sous-catégories telles que « les utilisateurs, services et matériels sont authentifiés ». Le SP 800-53 est le catalogue des contrôles qui permettent de les atteindre, avec 20 familles, des améliorations et, dans le SP 800-53B, des référentiels de base pour les systèmes à impact faible, modéré et élevé. Le NIST publie les correspondances officielles entre les deux, que la présente comparaison utilise.
En partant du 800-53 vers le CSF, presque chaque résultat est couvert : une organisation appliquant une base de référence 800-53 atteint quasiment tout le CSF 2.0. Les rares exceptions sont les résultats d'amélioration (ID.IM), qui demandent de tirer des enseignements des évaluations et des tests plutôt que d'appliquer un contrôle précis.
En partant du CSF vers le 800-53, la majeure partie du catalogue n'est liée à aucun résultat CSF unique. C'est attendu : le 800-53 est beaucoup plus granulaire, comprend des contrôles de confidentialité et propres aux administrations fédérales, et de nombreux contrôles contribuent indirectement aux résultats. ControlMapping ne liste que les contrôles de base ; les améliorations apparaissent lorsqu'un sujet les utilise.
En bref
| NIST CSF 2.0 | 800-53 | |
|---|---|---|
| Présentation | Résultats attendus (quoi atteindre) | Contrôles (comment les atteindre) |
| Volume | 106 sous-catégories | Environ 300 contrôles de base, plus les améliorations |
| Obligatoire pour | Personne par défaut | Systèmes fédéraux américains (FISMA), FedRAMP |
| Référentiels de base | Profils que vous définissez | Référentiels de base faible, modéré, élevé et confidentialité (SP 800-53B) |
Points clés à retenir
- Utilisez le CSF pour fixer le cap et rendre compte ; utilisez le 800-53 lorsque vous avez besoin de contrôles précis et évaluables.
- Les systèmes fédéraux américains et FedRAMP exigent le 800-53 ; le CSF seul ne suffit pas dans ce cas.
- Les liens CSF ↔ 800-53 présentés ici sont ceux du NIST lui-même.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir NIST CSF 2.0 → viser 800-53
300 exig. 88 mis en correspondance · · 102 sans correspondance Ouvrir dans la vue des écarts →Sur 300 exigences NIST SP 800-53 Rev 5.2, 88 correspondent à un élément de NIST CSF 2.0, 110 sont seulement faiblement liées et 102 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences 800-53 sans correspondance avec NIST CSF 2.0 (102)
| 800-53 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| AC Access Control · 6 | ||||
| AC-8 | System Use Notification | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AC-11 | Device Lock | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AC-21 | Information Sharing | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AC-22 | Publicly Accessible Content | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AC-23 | Data Mining Protection | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AC-25 | Reference Monitor | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AT Awareness and Training · 2 | ||||
| AT-4 | Training Records | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AT-6 | Training Feedback | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AU Audit and Accountability · 5 | ||||
| AU-4 | Audit Log Storage Capacity | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AU-5 | Response to Audit Logging Process Failures | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AU-8 | Time Stamps | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AU-10 | Non-repudiation | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| AU-14 | Session Audit | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-5 | Plan of Action and Milestones | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CA-6 | Authorization | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CM Configuration Management · 1 | ||||
| CM-14 | Signed Components | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CP Contingency Planning · 4 | ||||
| CP-3 | Contingency Training | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CP-11 | Alternate Communications Protocols | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CP-12 | Safe Mode | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| CP-13 | Alternative Security Mechanisms | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| IR Incident Response · 1 | ||||
| IR-9 | Information Spillage Response | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MA Maintenance · 3 | ||||
| MA-4 | Nonlocal Maintenance | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MA-5 | Maintenance Personnel | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MA-7 | Field Maintenance | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MP Media Protection · 6 | ||||
| MP-2 | Media Access | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MP-3 | Media Marking | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MP-4 | Media Storage | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MP-5 | Media Transport | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MP-6 | Media Sanitization | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| MP-7 | Media Use | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PE Physical and Environmental Protection · 4 | ||||
| PE-16 | Delivery and Removal | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PE-17 | Alternate Work Site | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PE-21 | Electromagnetic Pulse Protection | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PE-22 | Component Marking | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PL Planning · 5 | ||||
| PL-4 | Rules of Behavior | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PL-7 | Concept of Operations | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PL-9 | Central Management | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PL-10 | Baseline Selection | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PL-11 | Baseline Tailoring | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM Program Management · 9 | ||||
| PM-10 | Authorization Process | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-14 | Testing, Training, and Monitoring | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-17 | Protecting Controlled Unclassified Information on External Systems | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-20 | Dissemination of Privacy Program Information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-21 | Accounting of Disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-26 | Complaint Management | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-27 | Privacy Reporting | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PM-32 | Purposing | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PS Personnel Security · 6 | ||||
| PS-2 | Position Risk Designation | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PS-3 | Personnel Screening | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PS-4 | Personnel Termination | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PS-5 | Personnel Transfer | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PS-6 | Access Agreements | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PS-8 | Personnel Sanctions | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT PII Processing and Transparency · 7 | ||||
| PT-2 | Authority to Process Personally Identifiable Information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT-3 | Personally Identifiable Information Processing Purposes | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT-4 | Consent | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT-5 | Privacy Notice | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT-6 | System of Records Notice | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT-7 | Specific Categories of Personally Identifiable Information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PT-8 | Computer Matching Requirements | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| RA Risk Assessment · 1 | ||||
| RA-6 | Technical Surveillance Countermeasures Survey | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SA System and Services Acquisition · 5 | ||||
| SA-2 | Allocation of Resources | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SA-16 | Developer-provided Training | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SA-20 | Customized Development of Critical Components | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SA-21 | Developer Screening | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SA-23 | Specialization | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC System and Communications Protection · 22 | ||||
| SC-2 | Separation of System and User Functionality | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-10 | Network Disconnect | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-15 | Collaborative Computing Devices and Applications | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-17 | Public Key Infrastructure Certificates | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-18 | Mobile Code | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-23 | Session Authenticity | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-25 | Thin Nodes | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-26 | Decoys | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-27 | Platform-independent Applications | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-29 | Heterogeneity | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-30 | Concealment and Misdirection | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-31 | Covert Channel Analysis | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-37 | Out-of-band Channels | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-38 | Operations Security | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-41 | Port and I/O Device Access | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-42 | Sensor Capability and Data | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-44 | Detonation Chambers | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-45 | System Time Synchronization | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-46 | Cross Domain Policy Enforcement | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-47 | Alternate Communications Paths | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-48 | Sensor Relocation | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SC-50 | Software-enforced Separation and Policy Enforcement | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI System and Information Integrity · 10 | ||||
| SI-6 | Security and Privacy Function Verification | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-11 | Error Handling | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-14 | Non-persistence | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-15 | Information Output Filtering | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-17 | Fail-safe Procedures | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-19 | De-identification | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-20 | Tainting | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-21 | Information Refresh | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-22 | Information Diversity | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SI-23 | Information Fragmentation | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SR Supply Chain Risk Management · 3 | ||||
| SR-4 | Provenance | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SR-7 | Supply Chain Operations Security | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| SR-9 | Tamper Resistance and Detection | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (110)
| 800-53 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| AC Access Control · 11 | ||||
| AC-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| AC-5 | Separation of Duties | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AC-7 | Unsuccessful Logon Attempts | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| AC-9 | Previous Logon Notification | DE.CM-09 | Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance | |
| AC-10 | Concurrent Session Control | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AC-12 | Session Termination | PR.AA-03 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| AC-14 | Permitted Actions Without Identification or Authentication | PR.AA-01 | Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance | |
| AC-16 | Security and Privacy Attributes | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AC-17 | Remote Access | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AC-18 | Wireless Access | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AC-24 | Access Control Decisions | PR.AA-05 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| AT Awareness and Training · 1 | ||||
| AT-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| AU Audit and Accountability · 3 | ||||
| AU-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| AU-9 | Protection of Audit Information | PR.DS-10 | Partage seulement les fonctions CSF PR.DS-10 : lien indicatif, pas une correspondance | |
| AU-16 | Cross-organizational Audit Logging | PR.DS-02 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| CA Assessment, Authorization and Monitoring · 3 | ||||
| CA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| CA-3 | Information Exchange | ID.AM-03PR.DS-01PR.DS-02+1 | Partage seulement les fonctions CSF ID.AM-03, PR.DS-01, PR.DS-02 : lien indicatif, pas une correspondance | |
| CA-9 | Internal System Connections | ID.AM-03 | Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance | |
| CM Configuration Management · 9 | ||||
| CM-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| CM-3 | Configuration Change Control | DE.CM-01DE.CM-09ID.RA-07+1 | Partage seulement les fonctions CSF DE.CM-01, DE.CM-09, ID.RA-07 : lien indicatif, pas une correspondance | |
| CM-4 | Impact Analyses | ID.RA-07PR.PS-01 | Partage seulement les fonctions CSF ID.RA-07, PR.PS-01 : lien indicatif, pas une correspondance | |
| CM-5 | Access Restrictions for Change | PR.PS-01 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| CM-9 | Configuration Management Plan | ID.AM-08PR.PS-01 | Partage seulement les fonctions CSF ID.AM-08, PR.PS-01 : lien indicatif, pas une correspondance | |
| CM-10 | Software Usage Restrictions | DE.CM-03DE.CM-09PR.PS-01 | Partage seulement les fonctions CSF DE.CM-03, DE.CM-09, PR.PS-01 : lien indicatif, pas une correspondance | |
| CM-11 | User-installed Software | DE.CM-03DE.CM-09PR.PS-01+1 | Partage seulement les fonctions CSF DE.CM-03, DE.CM-09, PR.PS-01 : lien indicatif, pas une correspondance | |
| CM-12 | Information Location | ID.AM-07 | Partage seulement les fonctions CSF ID.AM-07 : lien indicatif, pas une correspondance | |
| CM-13 | Data Action Mapping | ID.AM-07ID.AM-08 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| CP Contingency Planning · 3 | ||||
| CP-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| CP-4 | Contingency Plan Testing | RC.RP-03 | Partage seulement les fonctions CSF RC.RP-03 : lien indicatif, pas une correspondance | |
| CP-8 | Telecommunications Services | PR.IR-04 | Partage seulement les fonctions CSF PR.IR-04 : lien indicatif, pas une correspondance | |
| IA Identification and Authentication · 11 | ||||
| IA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| IA-3 | Device Identification and Authentication | PR.AA-01PR.AA-03 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-4 | Identifier Management | PR.AA-01 | Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance | |
| IA-5 | Authenticator Management | PR.AA-01PR.AA-03 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-6 | Authentication Feedback | PR.AA-01 | Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance | |
| IA-7 | Cryptographic Module Authentication | PR.AA-01PR.AA-03 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-8 | Identification and Authentication (Non-organizational Users) | PR.AA-01PR.AA-03 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-10 | Adaptive Authentication | PR.AA-01PR.AA-03 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-11 | Re-authentication | PR.AA-01PR.AA-03 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-03 : lien indicatif, pas une correspondance | |
| IA-12 | Identity Proofing | PR.AA-02 | Partage seulement les fonctions CSF PR.AA-02 : lien indicatif, pas une correspondance | |
| IA-13 | Identity Providers and Authorization Servers | PR.AA-04PR.AA-05 | Partage seulement les fonctions CSF PR.AA-04, PR.AA-05 : lien indicatif, pas une correspondance | |
| IR Incident Response · 1 | ||||
| IR-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| MA Maintenance · 4 | ||||
| MA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| MA-2 | Controlled Maintenance | ID.AM-08 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| MA-3 | Maintenance Tools | PR.PS-02 | Partage seulement les fonctions CSF PR.PS-02 : lien indicatif, pas une correspondance | |
| MA-6 | Timely Maintenance | ID.AM-08 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| MP Media Protection · 2 | ||||
| MP-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| MP-8 | Media Downgrading | PR.DS-01 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| PE Physical and Environmental Protection · 12 | ||||
| PE-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| PE-4 | Access Control for Transmission | PR.AA-06 | Partage seulement les fonctions CSF PR.AA-06 : lien indicatif, pas une correspondance | |
| PE-5 | Access Control for Output Devices | PR.AA-06 | Partage seulement les fonctions CSF PR.AA-06 : lien indicatif, pas une correspondance | |
| PE-9 | Power Equipment and Cabling | PR.IR-02 | Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance | |
| PE-10 | Emergency Shutoff | PR.IR-02 | Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance | |
| PE-11 | Emergency Power | PR.IR-02 | Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance | |
| PE-12 | Emergency Lighting | PR.IR-02 | Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance | |
| PE-15 | Water Damage Protection | PR.IR-02 | Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance | |
| PE-18 | Location of System Components | PR.AA-06PR.IR-02 | Partage seulement les fonctions CSF PR.AA-06, PR.IR-02 : lien indicatif, pas une correspondance | |
| PE-19 | Information Leakage | PR.AA-06 | Partage seulement les fonctions CSF PR.AA-06 : lien indicatif, pas une correspondance | |
| PE-20 | Asset Monitoring and Tracking | DE.CM-02PR.AA-06 | Partage seulement les fonctions CSF DE.CM-02, PR.AA-06 : lien indicatif, pas une correspondance | |
| PE-23 | Facility Location | PR.IR-02 | Partage seulement les fonctions CSF PR.IR-02 : lien indicatif, pas une correspondance | |
| PL Planning · 2 | ||||
| PL-2 | System Security and Privacy Plans | ID.AM-03ID.AM-08 | Partage seulement les fonctions CSF ID.AM-03, ID.AM-08 : lien indicatif, pas une correspondance | |
| PL-8 | Security and Privacy Architectures | ID.AM-03 | Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance | |
| PM Program Management · 10 | ||||
| PM-3 | Information Security and Privacy Resources | GV.RM-03GV.RR-03PR.IR-04 | Partage seulement les fonctions CSF GV.RM-03, GV.RR-03, PR.IR-04 : lien indicatif, pas une correspondance | |
| PM-7 | Enterprise Architecture | ID.AM-03 | Partage seulement les fonctions CSF ID.AM-03 : lien indicatif, pas une correspondance | |
| PM-8 | Critical Infrastructure Plan | GV.OC-04RC.RP-04 | Partage seulement les fonctions CSF GV.OC-04, RC.RP-04 : lien indicatif, pas une correspondance | |
| PM-13 | Security and Privacy Workforce | GV.RR-02GV.RR-04 | Partage seulement les fonctions CSF GV.RR-02, GV.RR-04 : lien indicatif, pas une correspondance | |
| PM-18 | Privacy Program Plan | DE.AE-04GV.OC-02GV.OV-01+4 | Partage seulement les fonctions CSF DE.AE-04, GV.OC-02, GV.OV-01 : lien indicatif, pas une correspondance | |
| PM-19 | Privacy Program Leadership Role | GV.OV-02GV.RR-01GV.RR-02+1 | Partage seulement les fonctions CSF GV.OV-02, GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| PM-22 | Personally Identifiable Information Quality Management | ID.AM-08 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| PM-23 | Data Governance Body | GV.RR-01GV.RR-02ID.AM-08 | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02, ID.AM-08 : lien indicatif, pas une correspondance | |
| PM-24 | Data Integrity Board | GV.RR-01GV.RR-02 | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02 : lien indicatif, pas une correspondance | |
| PM-31 | Continuous Monitoring Strategy | GV.OV-01GV.OV-02GV.SC-03+2 | Partage seulement les fonctions CSF GV.OV-01, GV.OV-02, GV.SC-03 : lien indicatif, pas une correspondance | |
| PS Personnel Security · 2 | ||||
| PS-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| PS-7 | External Personnel Security | DE.CM-06GV.RR-04 | Partage seulement les fonctions CSF DE.CM-06, GV.RR-04 : lien indicatif, pas une correspondance | |
| PT PII Processing and Transparency · 1 | ||||
| PT-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| RA Risk Assessment · 3 | ||||
| RA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| RA-8 | Privacy Impact Assessments | ID.RA-04 | Partage seulement les fonctions CSF ID.RA-04 : lien indicatif, pas une correspondance | |
| RA-10 | Threat Hunting | DE.AE-06DE.AE-07 | Partage seulement les fonctions CSF DE.AE-06, DE.AE-07 : lien indicatif, pas une correspondance | |
| SA System and Services Acquisition · 6 | ||||
| SA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| SA-5 | System Documentation | ID.AM-02ID.RA-09 | Partage seulement les fonctions CSF ID.AM-02, ID.RA-09 : lien indicatif, pas une correspondance | |
| SA-10 | Developer Configuration Management | ID.RA-09PR.PS-02PR.PS-03+1 | Partage seulement les fonctions CSF ID.RA-09, PR.PS-02, PR.PS-03 : lien indicatif, pas une correspondance | |
| SA-17 | Developer Security and Privacy Architecture and Design | ID.RA-09PR.PS-06 | Partage seulement les fonctions CSF ID.RA-09, PR.PS-06 : lien indicatif, pas une correspondance | |
| SA-22 | Unsupported System Components | ID.AM-08 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| SA-24 | Design For Cyber Resiliency | GV.RM-03PR.IR-03PR.PS-06 | Partage seulement les fonctions CSF GV.RM-03, PR.IR-03, PR.PS-06 : lien indicatif, pas une correspondance | |
| SC System and Communications Protection · 16 | ||||
| SC-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| SC-3 | Security Function Isolation | PR.PS-03 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| SC-4 | Information in Shared System Resources | PR.DS-01PR.DS-02PR.DS-10+1 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-6 | Resource Availability | PR.IR-03 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-11 | Trusted Path | PR.DS-02PR.DS-10 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-16 | Transmission of Security and Privacy Attributes | PR.DS-02 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| SC-24 | Fail in Known State | PR.DS-10PR.IR-03 | Partage seulement les fonctions CSF PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-32 | System Partitioning | PR.DS-01PR.DS-10 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-34 | Non-modifiable Executable Programs | DE.CM-09PR.PS-05 | Partage seulement les fonctions CSF DE.CM-09, PR.PS-05 : lien indicatif, pas une correspondance | |
| SC-35 | External Malicious Code Identification | DE.CM-09 | Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance | |
| SC-36 | Distributed Processing and Storage | PR.IR-03 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-39 | Process Isolation | PR.DS-01PR.DS-10PR.IR-03+1 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance | |
| SC-40 | Wireless Link Protection | PR.DS-02PR.DS-10 | Partage seulement les fonctions CSF PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-43 | Usage Restrictions | PR.DS-01PR.DS-02PR.DS-10 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | PR.PS-03 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| SC-51 | Hardware-based Protection | PR.PS-03 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| SI System and Information Integrity · 5 | ||||
| SI-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| SI-12 | Information Management and Retention | ID.AM-07ID.AM-08 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| SI-13 | Predictable Failure Prevention | PR.IR-03 | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| SI-16 | Memory Protection | PR.DS-10 | Partage seulement les fonctions CSF PR.DS-10 : lien indicatif, pas une correspondance | |
| SI-18 | Personally Identifiable Information Quality Operations | ID.AM-08 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| SR Supply Chain Risk Management · 5 | ||||
| SR-1 | Policy and Procedures | GV.PO-01GV.PO-02 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02 : lien indicatif, pas une correspondance | |
| SR-5 | Acquisition Strategies, Tools, and Methods | GV.OC-02GV.OC-05GV.SC-02+5 | Partage seulement les fonctions CSF GV.OC-02, GV.OC-05, GV.SC-02 : lien indicatif, pas une correspondance | |
| SR-8 | Notification Agreements | GV.OC-02GV.SC-08RC.CO-03+3 | Partage seulement les fonctions CSF GV.OC-02, GV.SC-08, RC.CO-03 : lien indicatif, pas une correspondance | |
| SR-10 | Inspection of Systems or Components | GV.SC-05ID.RA-09 | Partage seulement les fonctions CSF GV.SC-05, ID.RA-09 : lien indicatif, pas une correspondance | |
| SR-12 | Component Disposal | ID.AM-08 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
Mis en correspondance (88)
| 800-53 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| AC Access Control · 6 | ||||
| AC-2 | Account Management | Correspondance | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès |
| AC-3 | Access Enforcement | Correspondance | PR.AA-01PR.AA-03PR.AA-04+2 | Même sujet : Contrôle d'accès, Zero Trust |
| AC-4 | Information Flow Enforcement | Correspondance | ID.AM-03PR.AA-03PR.AA-04+5 | Même sujet : Pare-feu / Segmentation réseau, Zero Trust |
| AC-6 | Least Privilege | Correspondance | PR.AA-03PR.AA-04PR.AA-05+1 | Même sujet : Zero Trust |
| AC-19 | Access Control for Mobile Devices | Correspondance | PR.AA-05PR.PS-01 | Même sujet : Sécurité mobile |
| AC-20 | Use of External Systems | Correspondance | ID.AM-04PR.IR-01PR.PS-01 | Même sujet : Sécurité du cloud |
| AT Awareness and Training · 2 | ||||
| AT-2 | Literacy Training and Awareness | Correspondance | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation |
| AT-3 | Role-based Training | Correspondance | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation |
| AU Audit and Accountability · 7 | ||||
| AU-2 | Event Logging | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| AU-3 | Content of Audit Records | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| AU-6 | Audit Record Review, Analysis, and Reporting | Correspondance | DE.AE-02DE.AE-03DE.AE-04+3 | Même sujet : Détection d'anomalies, SIEM / SOC |
| AU-7 | Audit Record Reduction and Report Generation | Correspondance | RS.AN-03RS.AN-06RS.AN-07 | Même sujet : Criminalistique numérique |
| AU-11 | Audit Record Retention | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| AU-12 | Audit Record Generation | Correspondance | DE.AE-03PR.PS-04 | Même sujet : Journalisation et audit |
| AU-13 | Monitoring for Information Disclosure | Correspondance | DE.CM-03GV.RR-04 | Même sujet : Menace interne |
| CA Assessment, Authorization and Monitoring · 3 | ||||
| CA-2 | Control Assessments | Éditorial | GV.OC-03GV.OV-03 | Même sujet : Conformité (choix de la rédaction) |
| CA-7 | Continuous Monitoring | Correspondance | DE.CM-01DE.CM-03DE.CM-09 | Même sujet : Surveillance continue |
| CA-8 | Penetration Testing | Correspondance | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités |
| CM Configuration Management · 4 | ||||
| CM-2 | Baseline Configuration | Correspondance | PR.PS-01 | Même sujet : Configuration sécurisée |
| CM-6 | Configuration Settings | Correspondance | PR.PS-01 | Même sujet : Configuration sécurisée |
| CM-7 | Least Functionality | Correspondance | PR.PS-01 | Même sujet : Configuration sécurisée |
| CM-8 | System Component Inventory | Correspondance | ID.AM-01ID.AM-02ID.AM-04+1 | Même sujet : Gestion des actifs |
| CP Contingency Planning · 5 | ||||
| CP-2 | Contingency Plan | Correspondance | ID.IM-04RC.RP-01RC.RP-02 | Même sujet : Planification de la reprise |
| CP-6 | Alternate Storage Site | Correspondance | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration |
| CP-7 | Alternate Processing Site | Éditorial | GV.OC-04PR.IR-03RC.RP-02+2 | Même sujet : Continuité des activités, Reprise après sinistre (choix de la rédaction) |
| CP-9 | System Backup | Correspondance | PR.DS-11RC.RP-03 | Même sujet : Sauvegarde et restauration |
| CP-10 | System Recovery and Reconstitution | Correspondance | ID.IM-04PR.IR-03RC.CO-03+4 | Même sujet : Planification de la reprise, Reprise après sinistre, Communication et rétablissement |
| IA Identification and Authentication · 2 | ||||
| IA-2 | Identification and Authentication (Organizational Users) | Correspondance | PR.AA-03PR.AA-04PR.AA-05+1 | Même sujet : Zero Trust |
| IA-9 | Service Identification and Authentication | Correspondance | PR.AA-03PR.IR-01PR.PS-06 | Même sujet : Sécurité des API |
| IR Incident Response · 7 | ||||
| IR-2 | Incident Response Training | Éditorial | ID.IM-04RS.MA-01RS.MA-02+2 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| IR-3 | Incident Response Testing | Éditorial | ID.IM-04RS.MA-01RS.MA-02+2 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| IR-4 | Incident Handling | Correspondance | ID.IM-03ID.IM-04RC.RP-06+6 | Même sujet : Enseignements tirés, Réponse aux incidents |
| IR-5 | Incident Monitoring | Correspondance | DE.AE-03DE.AE-06DE.AE-08 | Même sujet : SIEM / SOC |
| IR-6 | Incident Reporting | Correspondance | RC.CO-03RC.CO-04RC.RP-05+1 | Même sujet : Communication et rétablissement |
| IR-7 | Incident Response Assistance | Correspondance | RS.CO-03 | Même sujet : Communication |
| IR-8 | Incident Response Plan | Correspondance | ID.IM-04RS.MA-01RS.MA-02+2 | Même sujet : Réponse aux incidents |
| PE Physical and Environmental Protection · 6 | ||||
| PE-2 | Physical Access Authorizations | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| PE-3 | Physical Access Control | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| PE-6 | Monitoring Physical Access | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| PE-8 | Visitor Access Records | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| PE-13 | Fire Protection | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| PE-14 | Environmental Controls | Correspondance | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique |
| PL Planning · 1 | ||||
| PL-1 | Policy and Procedures | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
| PM Program Management · 13 | ||||
| PM-1 | Information Security Program Plan | Correspondance | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance |
| PM-2 | Information Security Program Leadership Role | Correspondance | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités |
| PM-4 | Plan of Action and Milestones Process | Correspondance | GV.OC-03GV.OV-03 | Même sujet : Conformité |
| PM-5 | System Inventory | Correspondance | ID.AM-01ID.AM-02ID.AM-04+1 | Même sujet : Gestion des actifs |
| PM-6 | Measures of Performance | Correspondance | GV.OC-03GV.OV-03 | Même sujet : Conformité |
| PM-9 | Risk Management Strategy | Correspondance | GV.RM-01GV.RM-02GV.RM-03+1 | Même sujet : Gestion des risques |
| PM-11 | Mission and Business Process Definition | Correspondance | GV.OC-01GV.OC-04GV.OC-05 | Même sujet : Environnement métier |
| PM-12 | Insider Threat Program | Éditorial | DE.CM-03GV.RR-04 | Même sujet : Menace interne (choix de la rédaction) |
| PM-15 | Security and Privacy Groups and Associations | Correspondance | DE.AE-07ID.RA-02ID.RA-03 | Même sujet : Renseignement sur les menaces |
| PM-16 | Threat Awareness Program | Correspondance | DE.AE-07ID.RA-02ID.RA-03 | Même sujet : Renseignement sur les menaces |
| PM-28 | Risk Framing | Correspondance | GV.RM-01GV.RM-02GV.RM-03+1 | Même sujet : Gestion des risques |
| PM-29 | Risk Management Program Leadership Roles | Correspondance | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités |
| PM-30 | Supply Chain Risk Management Strategy | Correspondance | GV.SC-01GV.SC-03GV.SC-05+2 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| PS Personnel Security · 1 | ||||
| PS-9 | Position Descriptions | Éditorial | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| RA Risk Assessment · 5 | ||||
| RA-2 | Security Categorization | Correspondance | ID.AM-05ID.AM-07 | Même sujet : Classification des données |
| RA-3 | Risk Assessment | Correspondance | ID.RA-03ID.RA-04ID.RA-05+1 | Même sujet : Évaluation des risques |
| RA-5 | Vulnerability Monitoring and Scanning | Correspondance | ID.RA-01ID.RA-08 | Même sujet : Gestion des vulnérabilités |
| RA-7 | Risk Response | Correspondance | GV.RM-01GV.RM-02GV.RM-03+5 | Même sujet : Gestion des risques |
| RA-9 | Criticality Analysis | Correspondance | GV.OC-01GV.OC-04GV.OC-05 | Même sujet : Environnement métier |
| SA System and Services Acquisition · 6 | ||||
| SA-3 | System Development Life Cycle | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| SA-4 | Acquisition Process | Correspondance | DE.CM-06GV.SC-04GV.SC-06+2 | Même sujet : Gestion des risques fournisseurs |
| SA-8 | Security and Privacy Engineering Principles | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| SA-9 | External System Services | Correspondance | DE.CM-06GV.SC-04GV.SC-06+5 | Même sujet : Gestion des risques fournisseurs |
| SA-11 | Developer Testing and Evaluation | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| SA-15 | Development Process, Standards, and Tools | Correspondance | PR.PS-06 | Même sujet : Développement sécurisé |
| SC System and Communications Protection · 9 | ||||
| SC-5 | Denial-of-service Protection | Correspondance | PR.AA-03PR.IR-01PR.PS-06 | Même sujet : Sécurité des API |
| SC-7 | Boundary Protection | Correspondance | DE.CM-01ID.AM-03PR.IR-01+1 | Même sujet : WAF, Pare-feu / Segmentation réseau, Sécurité web |
| SC-8 | Transmission Confidentiality and Integrity | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Chiffrement, Protection des données |
| SC-12 | Cryptographic Key Establishment and Management | Correspondance | PR.DS-01PR.DS-02 | Même sujet : Chiffrement |
| SC-13 | Cryptographic Protection | Correspondance | PR.DS-01PR.DS-02 | Même sujet : Chiffrement |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | Éditorial | DE.CM-01PR.IR-01 | Même sujet : Sécurité DNS (choix de la rédaction) |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | Éditorial | DE.CM-01PR.IR-01 | Même sujet : Sécurité DNS (choix de la rédaction) |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | Éditorial | DE.CM-01PR.IR-01 | Même sujet : Sécurité DNS (choix de la rédaction) |
| SC-28 | Protection of Information at Rest | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Chiffrement, Protection des données |
| SI System and Information Integrity · 7 | ||||
| SI-2 | Flaw Remediation | Correspondance | PR.PS-02 | Même sujet : Gestion des correctifs |
| SI-3 | Malicious Code Protection | Correspondance | DE.CM-09PR.DS-02PR.PS-05 | Même sujet : Protection des terminaux, Sécurité de la messagerie |
| SI-4 | System Monitoring | Correspondance | DE.AE-02DE.AE-04DE.CM-01+3 | Même sujet : Détection d'intrusion, Détection d'anomalies, Surveillance continue |
| SI-5 | Security Alerts, Advisories, and Directives | Correspondance | DE.AE-07ID.RA-02ID.RA-03 | Même sujet : Renseignement sur les menaces |
| SI-7 | Software, Firmware, and Information Integrity | Correspondance | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données |
| SI-8 | Spam Protection | Éditorial | DE.CM-09PR.DS-02 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| SI-10 | Information Input Validation | Éditorial | PR.AA-03PR.IR-01PR.PS-06 | Même sujet : Sécurité des API, Sécurité web (choix de la rédaction) |
| SR Supply Chain Risk Management · 4 | ||||
| SR-2 | Supply Chain Risk Management Plan | Correspondance | GV.SC-01GV.SC-03GV.SC-05+2 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| SR-3 | Supply Chain Controls and Processes | Correspondance | GV.SC-01GV.SC-03GV.SC-05+2 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| SR-6 | Supplier Assessments and Reviews | Correspondance | DE.CM-06GV.SC-04GV.SC-06+2 | Même sujet : Gestion des risques fournisseurs |
| SR-11 | Component Authenticity | Correspondance | GV.SC-01GV.SC-03GV.SC-05+2 | Même sujet : Risque lié à la chaîne d'approvisionnement |
Avoir 800-53 → viser NIST CSF 2.0
106 exig. 89 mis en correspondance · · 2 sans correspondance Ouvrir dans la vue des écarts →Sur 106 exigences NIST Cybersecurity Framework 2.0, 89 correspondent à un élément de 800-53, 15 sont seulement faiblement liées et 2 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences NIST CSF 2.0 sans correspondance avec 800-53 (2)
| NIST CSF 2.0 | Exigence | Correspondance | 800-53 | Preuves |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Aucune correspondance dans nos données | — | Aucune correspondance avec 800-53 dans nos données. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec 800-53 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (15)
| NIST CSF 2.0 | Exigence | Correspondance | 800-53 | Preuves |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | PM-9PM-18PM-30+4 | Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | PM-9PM-18PM-30+3 | Partage seulement les fonctions CSF GV.OV-01 : lien indicatif, pas une correspondance | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | PM-9PM-19PM-30+3 | Partage seulement les fonctions CSF GV.OV-02 : lien indicatif, pas une correspondance | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | PM-9PM-28PM-30+1 | Partage seulement les fonctions CSF GV.RM-04 : lien indicatif, pas une correspondance | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | PM-9PM-30 | Partage seulement les fonctions CSF GV.RM-05 : lien indicatif, pas une correspondance | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | PM-9PM-18PM-28+2 | Partage seulement les fonctions CSF GV.RM-07 : lien indicatif, pas une correspondance | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | SR-2SR-3SR-5 | Partage seulement les fonctions CSF GV.SC-02 : lien indicatif, pas une correspondance | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | SA-4SA-9SR-2+2 | Partage seulement les fonctions CSF GV.SC-08 : lien indicatif, pas une correspondance | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | PM-31RA-3RA-5+5 | Partage seulement les fonctions CSF GV.SC-10 : lien indicatif, pas une correspondance | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | CA-7CM-3CM-4 | Partage seulement les fonctions CSF ID.RA-07 : lien indicatif, pas une correspondance | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | IA-12 | Partage seulement les fonctions CSF PR.AA-02 : lien indicatif, pas une correspondance | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | CP-6CP-7CP-8+2 | Partage seulement les fonctions CSF PR.IR-04 : lien indicatif, pas une correspondance | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | CM-7SA-10SC-3+3 | Partage seulement les fonctions CSF PR.PS-03 : lien indicatif, pas une correspondance | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | IR-4IR-8RA-3+1 | Partage seulement les fonctions CSF RS.AN-08 : lien indicatif, pas une correspondance | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | IR-4IR-8 | Partage seulement les fonctions CSF RS.MA-05 : lien indicatif, pas une correspondance | |
Mis en correspondance (89)
| NIST CSF 2.0 | Exigence | Correspondance | 800-53 | Preuves |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Correspondance | AU-6SI-4 | Même sujet : Détection d'anomalies, Détection d'intrusion |
| DE.AE-03 | Information is correlated from multiple sources | Correspondance | AU-2AU-3AU-6+4 | Même sujet : Journalisation et audit, SIEM / SOC |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Correspondance | AU-6SI-4 | Même sujet : Détection d'anomalies |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondance | AU-6AU-6(3)IR-5 | Même sujet : SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Correspondance | PM-15PM-16SI-5 | Même sujet : Renseignement sur les menaces |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondance | AU-6AU-6(3)IR-5 | Même sujet : SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondance | CA-7SC-7SI-4+3 | Même sujet : Surveillance continue, WAF, Détection d'intrusion |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondance | PE-2PE-3PE-6+3 | Même sujet : Sécurité physique |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondance | AC-2(12)AU-13CA-7+2 | Même sujet : Menace interne, Surveillance continue |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondance | SA-4SA-9SR-6 | Même sujet : Gestion des risques fournisseurs |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondance | AU-6CA-7CM-7(5)+3 | Même sujet : Détection d'anomalies, Surveillance continue, Protection des terminaux |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Correspondance | PM-11RA-9 | Même sujet : Environnement métier |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Correspondance | PM-4PM-6CA-2 | Même sujet : Conformité |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondance | CP-2(8)PM-11RA-9+1 | Même sujet : Continuité des activités, Environnement métier |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Correspondance | PM-11RA-9 | Même sujet : Environnement métier |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Correspondance | PM-4PM-6CA-2 | Même sujet : Conformité |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondance | PL-1PM-1 | Même sujet : Politique de gouvernance |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondance | PL-1PM-1 | Même sujet : Politique de gouvernance |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Correspondance | PM-9PM-28RA-7 | Même sujet : Gestion des risques |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Correspondance | PM-9PM-28RA-7 | Même sujet : Gestion des risques |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Correspondance | PM-9PM-28RA-7 | Même sujet : Gestion des risques |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Correspondance | PM-9PM-28RA-7 | Même sujet : Gestion des risques |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondance | PM-2PM-29PS-9 | Même sujet : Rôles et responsabilités |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondance | PM-2PM-29PS-9 | Même sujet : Rôles et responsabilités |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondance | PM-2PM-29PS-9 | Même sujet : Rôles et responsabilités |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondance | AC-2(12)AU-13PM-12 | Même sujet : Menace interne |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Correspondance | PM-30SR-2SR-3+1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Correspondance | PM-30SR-2SR-3+1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondance | SA-4SA-9SR-6 | Même sujet : Gestion des risques fournisseurs |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Correspondance | PM-30SR-2SR-3+1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondance | SA-4SA-9SR-6 | Même sujet : Gestion des risques fournisseurs |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondance | SA-4SA-9SR-6 | Même sujet : Gestion des risques fournisseurs |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Correspondance | PM-30SR-2SR-3+1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondance | CM-8PM-5 | Même sujet : Gestion des actifs |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondance | CM-8PM-5 | Même sujet : Gestion des actifs |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Correspondance | AC-4SC-7 | Même sujet : Pare-feu / Segmentation réseau |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondance | AC-20CM-8PM-5+1 | Même sujet : Sécurité du cloud, Gestion des actifs |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Correspondance | RA-2 | Même sujet : Classification des données |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Correspondance | RA-2 | Même sujet : Classification des données |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondance | CM-8PM-5 | Même sujet : Gestion des actifs |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Correspondance | IR-4 | Même sujet : Enseignements tirés |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondance | CP-2CP-10IR-4+3 | Même sujet : Planification de la reprise, Réponse aux incidents |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondance | CA-8RA-5 | Même sujet : Gestion des vulnérabilités |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Correspondance | PM-15PM-16SI-5 | Même sujet : Renseignement sur les menaces |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondance | PM-15PM-16RA-3+2 | Même sujet : Renseignement sur les menaces, Évaluation des risques |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondance | RA-3RA-7 | Même sujet : Évaluation des risques |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondance | RA-3RA-7 | Même sujet : Évaluation des risques |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondance | RA-3RA-7 | Même sujet : Évaluation des risques |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondance | CA-8RA-5 | Même sujet : Gestion des vulnérabilités |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Correspondance | PM-30SR-2SR-3+1 | Même sujet : Risque lié à la chaîne d'approvisionnement |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondance | SA-4SA-9SR-6 | Même sujet : Gestion des risques fournisseurs |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondance | AC-2AC-3 | Même sujet : Contrôle d'accès |
| PR.AA-03 | Users, services, and hardware are authenticated | Correspondance | AC-3AC-4AC-6+6 | Même sujet : Zero Trust |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Correspondance | AC-3AC-4AC-6+1 | Même sujet : Zero Trust |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondance | AC-2AC-2(7)AC-3+6 | Même sujet : Contrôle d'accès, Accès privilégiés, Zero Trust |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondance | PE-2PE-3PE-6+3 | Même sujet : Sécurité physique |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondance | AT-2AT-3 | Même sujet : Sensibilisation et formation |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondance | AT-2AT-3 | Même sujet : Sensibilisation et formation |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondance | AC-4SC-7(10)SC-8+4 | Même sujet : DLP, Chiffrement, Protection des données |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondance | AC-4SC-7(10)SC-8+6 | Même sujet : DLP, Chiffrement, Protection des données |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondance | AC-4SC-7(10)SC-8+2 | Même sujet : DLP, Protection des données |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondance | CP-6CP-9 | Même sujet : Sauvegarde et restauration |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondance | AC-3AC-4AC-6+10 | Même sujet : Zero Trust, Pare-feu / Segmentation réseau |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondance | PE-2PE-3PE-6+3 | Même sujet : Sécurité physique |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondance | CP-2(8)CP-10CP-7 | Même sujet : Continuité des activités, Reprise après sinistre |
| PR.PS-01 | Configuration management practices are established and applied | Correspondance | AC-19AC-19(5)AC-20+4 | Même sujet : Sécurité mobile, Sécurité du cloud |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Correspondance | SI-2 | Même sujet : Gestion des correctifs |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondance | AU-2AU-3AU-11+1 | Même sujet : Journalisation et audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Correspondance | CM-7(5)SI-4SI-3 | Même sujet : Protection des terminaux |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Correspondance | IA-9SA-3SA-8+5 | Même sujet : Sécurité des API, Développement sécurisé |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Correspondance | CP-10IR-6 | Même sujet : Communication et rétablissement |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Correspondance | CP-10IR-6 | Même sujet : Communication et rétablissement |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondance | CP-2CP-10 | Même sujet : Planification de la reprise |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondance | CP-2CP-10CP-7 | Même sujet : Planification de la reprise, Reprise après sinistre |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondance | CP-6CP-9 | Même sujet : Sauvegarde et restauration |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondance | CP-2(8)CP-7 | Même sujet : Continuité des activités |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondance | CP-10IR-6CP-7 | Même sujet : Communication et rétablissement, Reprise après sinistre |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Correspondance | IR-4 | Même sujet : Enseignements tirés |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Correspondance | AU-7SI-2(7) | Même sujet : Criminalistique numérique |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Correspondance | AU-7SI-2(7) | Même sujet : Criminalistique numérique |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Correspondance | AU-7SI-2(7) | Même sujet : Criminalistique numérique |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondance | IR-6 | Même sujet : Notification |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Correspondance | IR-7 | Même sujet : Communication |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondance | IR-4IR-8IR-2+1 | Même sujet : Réponse aux incidents |
| RS.MA-02 | Incident reports are triaged and validated | Correspondance | IR-4IR-8IR-2+1 | Même sujet : Réponse aux incidents |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondance | IR-4IR-8IR-2+1 | Même sujet : Réponse aux incidents |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondance | IR-4IR-8IR-2+1 | Même sujet : Réponse aux incidents |
| RS.MI-01 | Incidents are contained | Correspondance | IR-4 | Même sujet : Atténuation |
| RS.MI-02 | Incidents are eradicated | Correspondance | IR-4 | Même sujet : Atténuation |
Par thème
Les deux couvrent (50) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésRenseignement sur les menacesContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementReprise après sinistreSécurité des APIMenace interneGestion des risques fournisseursSécurité physique
Questions
Faut-il à la fois le CSF et le 800-53 ?
Les systèmes fédéraux doivent appliquer le 800-53 ; le CSF est une couche utile par-dessus pour la communication. Les organisations privées utilisent souvent le CSF seul, en empruntant des contrôles du 800-53 là où elles ont besoin de détails.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.