Comparaison
NIST CSF 2.0 vs SOC 2 : référentiel adopté ou rapport d'audit
NIST Cybersecurity Framework 2.0 · SOC 2 (Trust Services Criteria) · données du 2026-10-27
Par Paul Gillet · Mis à jour le 2026-10-17
NIST CSF 2.0 est un référentiel volontaire axé sur les résultats : vous définissez votre profil cible et mesurez votre niveau par rapport à celui-ci. SOC 2 est une attestation indépendante délivrée par un cabinet CPA selon les Trust Services Criteria de l'AICPA, et c'est ce que de nombreux clients nord-américains demandent à un éditeur SaaS lors des achats.
La plupart des exigences de sécurité de SOC 2 (Common Criteria) ont leurs équivalents dans CSF : accès logique, surveillance, réponse aux incidents, gestion des changements, évaluation des risques et gestion des fournisseurs. Un programme aligné sur CSF vous donne l'essentiel des contrôles qu'un auditeur testera.
En passant de CSF à SOC 2, presque chaque Common Criterion a son équivalent dans CSF, y compris les critères d'environnement de contrôle (éthique, supervision par le conseil, responsabilité), que CSF couvre via sa fonction Gouverner. Les éléments sans correspondance sont les catégories facultatives de SOC 2, Processing Integrity et Privacy, qui ont peu d'équivalents dans un référentiel de sécurité. Il n'existe pas de correspondance SOC 2 publique et lisible par machine ; le volet SOC 2 de cette comparaison repose donc sur la correspondance éditoriale de ControlMapping.
En passant de SOC 2 à CSF, les écarts concernent surtout les résultats plus larges de CSF en matière de gouvernance et de résilience : stratégie de risque, cycle de gestion des risques de la chaîne d'approvisionnement, renseignement sur les menaces et processus d'amélioration, que SOC 2 n'exige pas explicitement.
En bref
| NIST CSF 2.0 | SOC 2 | |
|---|---|---|
| Ce que c'est | Référentiel volontaire axé sur les résultats | Rapport d'attestation sur les contrôles |
| Qui le vérifie | Vous-même, ou un évaluateur de votre choix | Un cabinet CPA agréé |
| Livrable | Profils actuel et cible | Rapport SOC 2 Type I ou Type II |
| Périmètre | Le risque cyber de l'ensemble de l'organisation | Le système sur lequel comptent les clients |
| Qui le demande | Conseils d'administration, régulateurs, assureurs | Équipes de gestion des risques fournisseurs des clients |
Comment ils s'articulent
CSF décrit ce qu'un bon programme doit atteindre ; SOC 2 prouve aux clients que des contrôles précis fonctionnent. De nombreuses entreprises utilisent CSF pour structurer le programme et rendre compte au conseil d'administration, et SOC 2 pour fournir des preuves aux clients. Comme SOC 2 ne dispose pas de correspondance librement sous licence, chaque lien SOC 2 présenté ici relève du jugement éditorial de ControlMapping, accompagné de sa justification.
Qui demande quoi
- SOC 2 est demandé par les clients, principalement de grandes entreprises américaines qui évaluent des prestataires de logiciels et de services. Il répond à la question « pouvons-nous vous confier nos données ? » par l'avis d'un auditeur indépendant.
- NIST CSF 2.0 est demandé par les conseils d'administration, régulateurs, assureurs et partenaires qui veulent savoir comment une organisation gère le risque cyber dans son ensemble. Personne ne peut remettre de « certificat CSF » ; vous présentez plutôt vos profils et les preuves qui les étayent.
- De plus en plus d'entreprises utilisent CSF en interne et produisent un rapport SOC 2 pour leurs clients. Les deux se complètent plutôt qu'ils ne se concurrencent.
Utiliser CSF pour préparer SOC 2
Si vous disposez déjà d'un programme fondé sur CSF, vous avez l'essentiel de ce que testent les critères de sécurité de SOC 2. Faites correspondre vos résultats CSF aux Trust Services Criteria, puis vérifiez trois points que CSF n'impose pas : que chaque contrôle produit des preuves en continu (SOC 2 Type II échantillonne sur plusieurs mois), que vos critères d'environnement de contrôle sont couverts (supervision par le conseil, intégrité et valeurs éthiques, compétence, responsabilité), et que la description de votre système correspond à la frontière qui intéresse vos clients. Le Rapport d'écarts CSF → SOC 2 répertorie chaque critère avec sa correspondance CSF et la justification de chaque lien.
Coût et effort
CSF est gratuit ; l'effort porte sur l'évaluation et l'amélioration de votre profil. SOC 2 ajoute les honoraires d'un cabinet CPA et, pour un Type II, la rigueur de la collecte de preuves sur toute la période d'observation. Pour une entreprise disposant d'un programme CSF mature, l'effort supplémentaire de SOC 2 réside surtout dans la collecte de preuves, la description du système et les catégories facultatives que vous incluez. Pour une entreprise qui part de zéro, construire d'abord sur CSF offre une base plus large ; construire d'abord sur SOC 2 livre plus tôt un livrable destiné aux clients.
Calendrier
Depuis un programme CSF opérationnel jusqu'à un premier rapport SOC 2 Type II, il faut généralement six à neuf mois : un à trois mois pour cartographier les contrôles, combler les écarts et mandater un auditeur, puis une période d'observation de trois à six mois et quelques semaines pour le rapport. Dans l'autre sens, une entreprise disposant d'un rapport SOC 2 peut produire un profil actuel CSF en quelques semaines, car la plupart des résultats Protéger, Détecter et Répondre sont déjà documentés ; la fonction Gouverner demande généralement le plus de travail.
Exemple détaillé : une start-up fintech
Une fintech de 30 personnes dispose d'un rapport SOC 2 Type II pour son API de paiement. Son conseil d'administration et son assureur cyber lui demandent désormais comment elle gère le risque cyber de façon plus globale. L'entreprise construit un profil actuel CSF 2.0 à partir de ses contrôles SOC 2 et constate une bonne couverture de Protéger, Détecter et Répondre, avec des lacunes dans Gouverner : pas de déclaration formelle d'appétence au risque, pas de programme de risque lié à la chaîne d'approvisionnement au-delà des questionnaires fournisseurs, et pas de reporting de supervision régulier. Elle définit un profil cible, ajoute un rapport trimestriel au conseil d'administration dans les termes de CSF, et conserve inchangé son cycle d'audit SOC 2. Un seul jeu de contrôles répond désormais aux deux publics.
Erreurs courantes
- Supposer qu'un alignement CSF vaut préparation à SOC 2. CSF n'exige pas de preuves continues sur une période, ce que teste un rapport Type II.
- Négliger l'environnement de contrôle. Les critères CC1 à CC5 de SOC 2 (supervision par le conseil, intégrité, compétence, responsabilité) exigent des preuves qui font souvent défaut aux programmes CSF techniques.
- Surdimensionner le périmètre du rapport SOC 2 pour couvrir l'ensemble du programme CSF, au lieu du système sur lequel comptent les clients.
- Mener deux programmes parallèles. Un seul jeu de contrôles, mis en correspondance dans les deux sens, évite la duplication des preuves.
- Laisser Gouverner pour la fin. Les résultats de Gouverner de CSF 2.0 sont souvent la partie la plus faible d'un programme commencé par SOC 2 et celle que les conseils d'administration interrogent le plus.
Points clés à retenir
- CSF indique à quoi ressemble un bon dispositif ; SOC 2 prouve à un client que vous l'exploitez.
- Collectez des preuves en continu : un rapport Type II exige une justification sur toute la période d'audit.
- Traitez Processing Integrity et Privacy comme des projets distincts s'ils entrent dans le périmètre.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir NIST CSF 2.0 → viser SOC 2
61 exig. 37 mis en correspondance · · 24 sans correspondance Ouvrir dans la vue des écarts →Sur 61 exigences SOC 2 (Trust Services Criteria), 37 correspondent à un élément de NIST CSF 2.0, 0 sont seulement faiblement liées et 24 n'ont aucune correspondance dans nos données.
Les correspondances SOC 2 publiées par l'AICPA ne sont pas sous licence ouverte ; chaque lien SOC 2 présenté ici relève donc de la rédaction de ControlMapping, et les critères que nous n'avons pas cartographiés ne peuvent pas être mis en correspondance. Les critères d'intégrité des traitements (PI) et la plupart des critères de confidentialité (P) n'ont pas d'équivalent dans les référentiels de sécurité.
Travaux probablement nouveaux : exigences SOC 2 sans correspondance avec NIST CSF 2.0 (24)
| SOC 2 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P2.1 | Choice and consent | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P3.1 | Collection limited to privacy objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P3.2 | Explicit consent where required | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P4.1 | Use limited to privacy objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P4.2 | Retention of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P4.3 | Disposal of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P5.1 | Data subject access | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P5.2 | Correction of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.1 | Disclosure to third parties with consent | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.2 | Record of authorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.3 | Record of unauthorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.4 | Privacy commitments from third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.5 | Notification by third parties of unauthorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.6 | Breach notification to affected individuals | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P6.7 | Accounting of disclosures to data subjects | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P7.1 | Quality of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PI1.2 | Controls over system inputs | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PI1.3 | Controls over system processing | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PI1.4 | Controls over system outputs | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
| PI1.5 | Storing inputs, items in processing and outputs | Aucune correspondance dans nos données | — | Aucune correspondance avec NIST CSF 2.0 dans nos données. |
Mis en correspondance (37)
| SOC 2 | Exigence | Correspondance | NIST CSF 2.0 | Preuves |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Éditorial | GV.OC-04PR.IR-03RC.RP-04 | Même sujet : Continuité des activités (choix de la rédaction) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Éditorial | GV.OC-04PR.DS-11PR.IR-03+4 | Même sujet : Continuité des activités, Sauvegarde et restauration, Reprise après sinistre (choix de la rédaction) |
| A1.3 | Testing recovery plan procedures | Éditorial | ID.IM-04PR.IR-03RC.RP-01+2 | Même sujet : Planification de la reprise, Reprise après sinistre (choix de la rédaction) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Éditorial | ID.AM-05ID.AM-07 | Même sujet : Classification des données (choix de la rédaction) |
| C1.2 | Disposing of confidential information | Éditorial | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données (choix de la rédaction) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Éditorial | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| CC1.2 | Board independence and oversight of internal control | Éditorial | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Éditorial | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Éditorial | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CC1.5 | Accountability for internal control responsibilities | Éditorial | GV.RR-01GV.RR-02GV.RR-03 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Éditorial | PR.AT-01PR.AT-02 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CC2.3 | Communication with external parties | Éditorial | RC.CO-03RC.CO-04RC.RP-05+2 | Même sujet : Communication et rétablissement (choix de la rédaction) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Éditorial | GV.OC-01GV.OC-04GV.OC-05+4 | Même sujet : Environnement métier (choix de la rédaction) |
| CC3.2 | Risk identification and analysis | Éditorial | ID.RA-03ID.RA-04ID.RA-05+1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC3.3 | Considering the potential for fraud | Éditorial | ID.RA-03ID.RA-04ID.RA-05+1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC3.4 | Identifying and assessing significant changes | Éditorial | ID.RA-03ID.RA-04ID.RA-05+1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Éditorial | GV.OC-03GV.OV-03 | Même sujet : Conformité (choix de la rédaction) |
| CC4.2 | Communicating and remediating control deficiencies | Éditorial | GV.OC-03GV.OV-03 | Même sujet : Conformité (choix de la rédaction) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Éditorial | GV.RM-01GV.RM-02GV.RM-03+1 | Même sujet : Gestion des risques (choix de la rédaction) |
| CC5.2 | General controls over technology | Éditorial | PR.PS-01 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CC5.3 | Control activities deployed through policies and procedures | Éditorial | GV.PO-01GV.PO-02 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Éditorial | ID.AM-01ID.AM-02ID.AM-04+6 | Même sujet : Gestion des actifs (choix de la rédaction) |
| CC6.2 | User registration, authorization and removal | Éditorial | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Éditorial | PR.AA-01PR.AA-05 | Même sujet : Contrôle d'accès, Accès privilégiés (choix de la rédaction) |
| CC6.4 | Physical access restrictions | Éditorial | DE.CM-02PR.AA-06PR.IR-02 | Même sujet : Sécurité physique (choix de la rédaction) |
| CC6.5 | Protection of data when assets are disposed of | Éditorial | PR.DS-01PR.DS-02PR.DS-10 | Même sujet : Protection des données (choix de la rédaction) |
| CC6.6 | Protection against threats from outside system boundaries | Éditorial | DE.CM-01ID.AM-03PR.AA-03+4 | Même sujet : WAF, Pare-feu / Segmentation réseau, Zero Trust (choix de la rédaction) |
| CC6.7 | Restricting transmission, movement and removal of information | Éditorial | PR.AA-05PR.DS-01PR.DS-02+2 | Même sujet : Sécurité mobile, Chiffrement, DLP (choix de la rédaction) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Éditorial | DE.CM-09PR.DS-02PR.PS-05 | Même sujet : Protection des terminaux, Sécurité de la messagerie (choix de la rédaction) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Éditorial | ID.RA-01ID.RA-08PR.PS-01+1 | Même sujet : Gestion des vulnérabilités, Configuration sécurisée (choix de la rédaction) |
| CC7.2 | Monitoring system components for anomalies | Éditorial | DE.AE-02DE.AE-03DE.AE-04+4 | Même sujet : Détection d'intrusion, Détection d'anomalies, Journalisation et audit (choix de la rédaction) |
| CC7.3 | Evaluating security events to determine if they are incidents | Éditorial | DE.AE-03DE.AE-06DE.AE-08+5 | Même sujet : SIEM / SOC (choix de la rédaction) |
| CC7.4 | Responding to identified security incidents | Éditorial | ID.IM-04RS.AN-03RS.AN-06+7 | Même sujet : Réponse aux incidents, Criminalistique numérique (choix de la rédaction) |
| CC7.5 | Recovering from identified security incidents | Éditorial | ID.IM-03ID.IM-04RC.CO-03+5 | Même sujet : Enseignements tirés, Planification de la reprise, Communication et rétablissement (choix de la rédaction) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Éditorial | PR.PS-06 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Éditorial | GV.OC-04GV.RM-01GV.RM-02+4 | Même sujet : Continuité des activités, Gestion des risques (choix de la rédaction) |
| CC9.2 | Managing vendor and business partner risk | Éditorial | DE.CM-06GV.SC-01GV.SC-03+10 | Même sujet : Gestion des risques fournisseurs, Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
Avoir SOC 2 → viser NIST CSF 2.0
106 exig. 86 mis en correspondance · · 20 sans correspondance Ouvrir dans la vue des écarts →Sur 106 exigences NIST Cybersecurity Framework 2.0, 86 correspondent à un élément de SOC 2, 0 sont seulement faiblement liées et 20 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences NIST CSF 2.0 sans correspondance avec SOC 2 (20)
| NIST CSF 2.0 | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Govern (GV) · 10 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.RR-04 | Cybersecurity is included in human resources practices | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| RS.MA-05 | The criteria for initiating incident recovery are applied | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
Mis en correspondance (86)
| NIST CSF 2.0 | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| Detect (DE) · 10 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Éditorial | CC7.2 | Même sujet : Détection d'intrusion, Détection d'anomalies (choix de la rédaction) |
| DE.AE-03 | Information is correlated from multiple sources | Éditorial | CC7.2CC7.3 | Même sujet : Journalisation et audit, SIEM / SOC (choix de la rédaction) |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Éditorial | CC7.2 | Même sujet : Détection d'anomalies (choix de la rédaction) |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Éditorial | CC7.3 | Même sujet : SIEM / SOC (choix de la rédaction) |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Éditorial | CC7.3 | Même sujet : SIEM / SOC (choix de la rédaction) |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Éditorial | CC6.6CC7.2 | Même sujet : WAF, Surveillance continue, Détection d'intrusion (choix de la rédaction) |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Éditorial | CC7.2 | Même sujet : Surveillance continue (choix de la rédaction) |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Éditorial | CC6.8CC7.2 | Même sujet : Protection des terminaux, Sécurité de la messagerie, Surveillance continue, Détection d'anomalies (choix de la rédaction) |
| Govern (GV) · 21 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Éditorial | CC3.1 | Même sujet : Environnement métier (choix de la rédaction) |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Éditorial | CC4.1CC4.2 | Même sujet : Conformité (choix de la rédaction) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Éditorial | A1.1A1.2CC3.1+1 | Même sujet : Continuité des activités, Environnement métier (choix de la rédaction) |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Éditorial | CC3.1 | Même sujet : Environnement métier (choix de la rédaction) |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Éditorial | CC4.1CC4.2 | Même sujet : Conformité (choix de la rédaction) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Éditorial | CC1.1CC5.3 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Éditorial | CC1.1CC5.3 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Éditorial | CC3.1CC5.1CC9.1 | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Éditorial | CC3.1CC5.1CC9.1 | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Éditorial | CC3.1CC5.1CC9.1 | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Éditorial | CC3.1CC5.1CC9.1 | Même sujet : Gestion des risques (choix de la rédaction) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Éditorial | CC1.2CC1.3CC1.5 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Éditorial | CC1.2CC1.3CC1.5 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Éditorial | CC1.2CC1.3CC1.5 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Éditorial | CC9.2 | Même sujet : Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Éditorial | CC9.2 | Même sujet : Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Éditorial | CC9.2 | Même sujet : Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Éditorial | CC9.2 | Même sujet : Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| Identify (ID) · 17 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Éditorial | CC6.1 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Éditorial | CC6.1 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Éditorial | CC6.6 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Éditorial | CC6.1CC9.2 | Même sujet : Gestion des actifs, Sécurité du cloud (choix de la rédaction) |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Éditorial | C1.1 | Même sujet : Classification des données (choix de la rédaction) |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Éditorial | C1.1 | Même sujet : Classification des données (choix de la rédaction) |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Éditorial | CC6.1 | Même sujet : Gestion des actifs (choix de la rédaction) |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Éditorial | CC7.5 | Même sujet : Enseignements tirés (choix de la rédaction) |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Éditorial | A1.3CC7.3CC7.4+1 | Même sujet : Planification de la reprise, Réponse aux incidents (choix de la rédaction) |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Éditorial | CC7.1 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Éditorial | CC3.2CC3.3CC3.4 | Même sujet : Évaluation des risques (choix de la rédaction) |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Éditorial | CC3.2CC3.3CC3.4 | Même sujet : Évaluation des risques (choix de la rédaction) |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Éditorial | CC3.2CC3.3CC3.4 | Même sujet : Évaluation des risques (choix de la rédaction) |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Éditorial | CC3.2CC3.3CC3.4 | Même sujet : Évaluation des risques (choix de la rédaction) |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Éditorial | CC7.1 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Éditorial | CC9.2 | Même sujet : Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| PR.AA-03 | Users, services, and hardware are authenticated | Éditorial | CC6.1CC6.6 | Même sujet : Authentification multifacteur, Zero Trust (choix de la rédaction) |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Éditorial | CC6.6 | Même sujet : Zero Trust (choix de la rédaction) |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Éditorial | CC6.1CC6.2CC6.3+2 | Même sujet : Contrôle d'accès, Accès privilégiés (choix de la rédaction) |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Éditorial | CC1.4CC2.2 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Éditorial | CC1.4CC2.2 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Éditorial | C1.2CC6.1CC6.5+1 | Même sujet : Protection des données, Chiffrement (choix de la rédaction) |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Éditorial | C1.2CC6.1CC6.5+2 | Même sujet : Protection des données, Chiffrement (choix de la rédaction) |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Éditorial | C1.2CC6.5CC6.7 | Même sujet : Protection des données, DLP (choix de la rédaction) |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Éditorial | A1.2 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Éditorial | CC6.6CC9.2 | Même sujet : Pare-feu / Segmentation réseau, Sécurité web, Zero Trust, WAF, Sécurité du cloud (choix de la rédaction) |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Éditorial | A1.1A1.2A1.3+1 | Même sujet : Continuité des activités, Reprise après sinistre (choix de la rédaction) |
| PR.PS-01 | Configuration management practices are established and applied | Éditorial | CC5.2CC6.7CC7.1+1 | Même sujet : Configuration sécurisée, Sécurité mobile (choix de la rédaction) |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Éditorial | CC7.1 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Éditorial | CC7.2 | Même sujet : Journalisation et audit (choix de la rédaction) |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Éditorial | CC6.8 | Même sujet : Protection des terminaux (choix de la rédaction) |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Éditorial | CC6.6CC8.1 | Même sujet : Sécurité web, Développement sécurisé (choix de la rédaction) |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Éditorial | CC2.3CC7.5 | Même sujet : Communication et rétablissement (choix de la rédaction) |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Éditorial | CC2.3CC7.5 | Même sujet : Communication et rétablissement (choix de la rédaction) |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Éditorial | A1.3CC7.5 | Même sujet : Planification de la reprise (choix de la rédaction) |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Éditorial | A1.2A1.3CC7.5 | Même sujet : Reprise après sinistre, Planification de la reprise (choix de la rédaction) |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Éditorial | A1.2 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Éditorial | A1.1A1.2CC9.1 | Même sujet : Continuité des activités (choix de la rédaction) |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Éditorial | A1.2A1.3CC2.3+1 | Même sujet : Reprise après sinistre, Communication et rétablissement (choix de la rédaction) |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Éditorial | CC7.5 | Même sujet : Enseignements tirés (choix de la rédaction) |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Éditorial | CC7.4 | Même sujet : Criminalistique numérique (choix de la rédaction) |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Éditorial | CC7.4 | Même sujet : Criminalistique numérique (choix de la rédaction) |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Éditorial | CC7.4 | Même sujet : Criminalistique numérique (choix de la rédaction) |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Éditorial | CC2.3 | Même sujet : Notification (choix de la rédaction) |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Éditorial | CC2.3 | Même sujet : Communication (choix de la rédaction) |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MA-02 | Incident reports are triaged and validated | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MA-03 | Incidents are categorized and prioritized | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MA-04 | Incidents are escalated or elevated as needed | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| RS.MI-01 | Incidents are contained | Éditorial | CC7.4 | Même sujet : Atténuation (choix de la rédaction) |
| RS.MI-02 | Incidents are eradicated | Éditorial | CC7.4 | Même sujet : Atténuation (choix de la rédaction) |
Par thème
Les deux couvrent (46) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementReprise après sinistreGestion des risques fournisseursSécurité physique
Seulement NIST CSF 2.0 (4) :
Questions
SOC 2 est-il fondé sur NIST ?
Non. SOC 2 repose sur les Trust Services Criteria de l'AICPA, qui s'appuient sur le référentiel de contrôle interne COSO. L'AICPA publie bien une correspondance entre ces critères et les référentiels NIST, mais pas sous licence ouverte.
SOC 2 est-il fondé sur NIST CSF ?
Non. SOC 2 repose sur les Trust Services Criteria de l'AICPA, qui s'appuient sur le référentiel de contrôle interne COSO. Les deux se recoupent largement sur le contenu lié à la sécurité, mais ils ont été élaborés indépendamment.
Un rapport SOC 2 peut-il démontrer un alignement sur NIST CSF ?
Pas formellement ; l'avis SOC 2 porte sur les Trust Services Criteria. Mais les contrôles testés dans un rapport SOC 2 constituent des preuves solides pour de nombreux résultats CSF, et certaines organisations établissent cette correspondance pour leur propre reporting.
Quelle démarche une start-up devrait-elle engager en premier, NIST CSF ou SOC 2 ?
Si vos clients demandent un rapport SOC 2, commencez par là. Sinon, CSF est un moyen gratuit de structurer le programme, et ses contrôles alimenteront plus tard un rapport SOC 2.
Combien de temps un rapport SOC 2 reste-t-il valable ?
Un rapport SOC 2 couvre une période passée. Les clients attendent généralement un nouveau rapport Type II chaque année, idéalement sans rupture entre les périodes.
NIST CSF comporte-t-il des niveaux de maturité ?
CSF 2.0 comporte des Tiers (Partiel, Informé des risques, Répétable, Adaptatif) qui décrivent le degré de rigueur de la gouvernance et de la gestion des risques d'une organisation. Ce ne sont pas des niveaux de certification.
Un auditeur SOC 2 peut-il évaluer NIST CSF ?
Certains cabinets d'audit proposent des évaluations CSF distinctes, mais celles-ci sont différentes d'un examen SOC 2 et de son avis.
SOC 2 couvre-t-il tout ce qui figure dans NIST CSF 2.0 ?
Non. SOC 2 couvre bien la plupart des résultats Protéger, Détecter et Répondre, mais la fonction Gouverner de CSF 2.0 (stratégie de risque, gestion des risques de la chaîne d'approvisionnement, supervision) et certains résultats Identifier et Rétablir vont au-delà de ce qu'exigent les Trust Services Criteria.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.