Environnement métier
Comprendre la mission, les parties prenantes et la criticité de l'organisation.
Environnement métier est défini par les résultats NIST CSF 2.0 GV.OC-01 (The organizational mission is understood and informs cybersecurity risk management); GV.OC-04 (Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated); GV.OC-05 (Outcomes, capabilities, and services that the organization depends on are understood and communicated). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS et 800-53. Éditorial Mis en correspondance de manière éditoriale dans SOC 2 et DORA. Seulement faiblement liés dans HIPAA et NIS2. Aucune correspondance dans nos données Aucune correspondance dans nos données pour CIS v8.1, CMMC, GDPR, Essential Eight, CPS 234 et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.OC-01GV.OC-04GV.OC-05 | The organizational mission is understood and informs cybersecurity risk management; Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated; Outcomes, capabilities, and services that the organization depends on are understood and communicated | Définition du sujet | GV.OC-01 GV.OC-04 GV.OC-05 |
| ISO 27001 | Clause 4.1Clause 4.2 | Understanding the organization and its context; Understanding the needs and expectations of interested parties | Correspondance | Clause 4.1: via GV.OC-01; NIST 800-53 map: PM-11 Clause 4.2: via GV.OC-04 |
| CIS v8.1 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CIS v8.1 n'est mise en correspondance avec ce thème dans nos données. |
| SOC 2 | CC3.1 | Objectives specified clearly enough to identify risks | Éditorial | CC3.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.5.2 | PCI DSS scope confirmed annually and on change | Correspondance | 12.5.2: via GV.OC-04; GV.OC-05 |
| CMMC | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CMMC n'est mise en correspondance avec ce thème dans nos données. |
| 800-53 | PM-11RA-9 | Mission and Business Process Definition; Criticality Analysis | Correspondance | PM-11: via GV.OC-01; GV.OC-04; GV.OC-05 RA-9: via GV.OC-04 |
| HIPAA | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D)§164.308(a)(7)(ii)(E)§164.310(a)(2)(i) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (GV.OC-01, GV.OC-04, GV.OC-05) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 4.15.15.213.1 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (GV.OC-01, GV.OC-04, GV.OC-05) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.8(1)Art.11(5) | Identification; Response and recovery | Éditorial | Art.8(1): Identify ICT-supported business functions, roles and their dependencies. Art.11(5): A business impact analysis of exposure to severe business disruptions. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Environnement métier
Comprendre l'environnement métier permet de s'assurer que les priorités en cybersécurité sont alignées sur la mission de l'organisation, ses fonctions critiques et les attentes de ses parties prenantes. Cela implique d'identifier les processus métier clés, de cartographier les dépendances entre les systèmes informatiques et les opérations métier, et de déterminer quels actifs sont les plus critiques pour la réussite de l'organisation. Une compréhension claire du contexte métier permet aux équipes de sécurité de prendre des décisions éclairées concernant l'appétence au risque, l'allocation des ressources et les systèmes qui nécessitent les niveaux de protection les plus élevés.