Conformité
Assurer la conformité aux exigences de cybersécurité applicables.
Conformité est défini par les résultats NIST CSF 2.0 GV.OC-03 (Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed); GV.OV-03 (Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS, 800-53 et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, CMMC, HIPAA, GDPR, DORA et CPS 234. Aucune correspondance dans nos données Aucune correspondance dans nos données pour CIS v8.1, Essential Eight et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.OC-03GV.OV-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed; Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Définition du sujet | GV.OC-03 GV.OV-03 |
| ISO 27001 | A.5.31A.5.36Clause 9.1 | Legal, statutory, regulatory and contractual requirements; Compliance with policies, rules and standards for information security; Monitoring, measurement, analysis and evaluation | Correspondance | A.5.31: via GV.OC-03 A.5.36: Compliance with policies, rules and standards is the Annex A control for checking internal compliance; not linked in the OLIR mapping. Clause 9.1: via GV.OV-03; NIST 800-53 map: PM-6 |
| CIS v8.1 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CIS v8.1 n'est mise en correspondance avec ce thème dans nos données. |
| SOC 2 | CC4.1CC4.2 | Ongoing and/or separate evaluations of controls; Communicating and remediating control deficiencies | Éditorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.4.2 | Service providers: quarterly reviews of operational tasks | Correspondance | 12.4.2: via GV.OV-03 |
| CMMC | CA.L2-3.12.1 | Security Control Assessment | Éditorial | CA.L2-3.12.1: Periodically assess security controls: CMMC's compliance-checking practice; NIST's crosswalk only reaches it via CA-2, itself an editorial pick here. |
| 800-53 | CA-2PM-4PM-6 | Control Assessments; Plan of Action and Milestones Process; Measures of Performance | Correspondance | CA-2: Control assessments are how compliance with requirements is checked; NIST's CSF 2.0 references don't link CA-2 to GV.OC-03/GV.OV-03. PM-4: via GV.OV-03 PM-6: via GV.OV-03 |
| HIPAA | §164.308(a)(8) | Evaluation | Éditorial | §164.308(a)(8): Evaluation (periodic technical and non-technical evaluation); NIST maps it to CA-2, itself an editorial pick for this topic. |
| GDPR | Art.5(2) | Principles relating to processing of personal data | Éditorial | Art.5(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.22.3 | Compliance monitoring; Independent review of information and network security | Correspondance | 2.2: via ENISA ISO map: A.5.31, A.5.36 2.3: Independent review of network and information security; ENISA links it to GV.OV-02. |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.6(6)Art.6(7)Art.5(2)(f) | ICT risk management framework; ICT risk management framework; Governance and organisation | Éditorial | Art.6(6): The ICT risk management framework is subject to regular internal audit. Art.6(7): A formal follow-up process to verify and remediate critical ICT audit findings. Art.5(2)(f): The management body approves and reviews ICT internal audit plans. |
| CPS 234 | Para 32Para 33Para 34 | Internal audit reviews control design and effectiveness; Assurance provided by appropriately skilled personnel; Internal audit assesses third-party assurance relied on | Éditorial | Para 32: Internal audit reviews the design and operating effectiveness of information security controls. Para 33: Control assurance is provided by appropriately skilled personnel. Para 34: Internal audit assesses the third-party assurance it relies on. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Conformité
La gestion de la conformité consiste à identifier l'ensemble des exigences légales, réglementaires, contractuelles et sectorielles applicables en matière de cybersécurité, puis à mettre en œuvre les contrôles nécessaires pour les satisfaire. Elle comprend le suivi des obligations découlant de référentiels tels que RGPD (GDPR), HIPAA, PCI DSS et SOX, la conservation des preuves de conformité au moyen de documentation et de pistes d'audit, ainsi que la réalisation d'audits internes périodiques ou d'évaluations d'écarts. Un programme de conformité mature passe d'une approche réactive, fondée sur la simple cochage de cases, à une intégration proactive des exigences réglementaires dans les opérations de sécurité quotidiennes.