Politique de gouvernance
Établir et maintenir des politiques et procédures de gouvernance de la cybersécurité.
Politique de gouvernance est défini par les résultats NIST CSF 2.0 GV.PO-01 (Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced); GV.PO-02 (Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS, 800-53, HIPAA et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, GDPR, DORA et CPS 234. Aucune correspondance dans nos données Aucune correspondance dans nos données pour CIS v8.1, CMMC, Essential Eight et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.PO-01GV.PO-02 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced; Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Définition du sujet | GV.PO-01 GV.PO-02 |
| ISO 27001 | A.5.1A.5.37Clause 5.2 | Policies for information security; Documented operating procedures; Policy | Correspondance | A.5.1: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 A.5.37: via GV.PO-01; NIST 800-53 map: PL-1 Clause 5.2: via GV.PO-01; GV.PO-02; NIST 800-53 map: PL-1, PM-1 |
| CIS v8.1 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CIS v8.1 n'est mise en correspondance avec ce thème dans nos données. |
| SOC 2 | CC5.3CC1.1 | Control activities deployed through policies and procedures; Commitment to integrity and ethical values | Éditorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.112.1.2 | Information security policy established and published; Security policy reviewed at least annually | Correspondance | 12.1.1: via GV.PO-01 12.1.2: via GV.PO-01; GV.PO-02 |
| CMMC | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CMMC n'est mise en correspondance avec ce thème dans nos données. |
| 800-53 | PM-1PL-1 | Information Security Program Plan; Policy and Procedures | Correspondance | PM-1: via GV.PO-01; GV.PO-02 PL-1: via GV.PO-01; GV.PO-02 |
| HIPAA | §164.316(a)§164.316(b)(2)(iii) | Policies and Procedures; Updates | Correspondance | §164.316(a): via NIST HIPAA map: PL-1 §164.316(b)(2)(iii): via NIST HIPAA map: PL-1, PM-1 |
| GDPR | Art.24(2) | Responsibility of the controller | Éditorial | Art.24(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.1 | Policy on the security of network and information systems | Correspondance | 1.1: via GV.PO-01; GV.PO-02; ENISA ISO map: Clause 5.2, A.5.1 |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.5(2)(b)Art.9(4)(a)Art.6(5) | Governance and organisation; Protection and prevention; ICT risk management framework | Éditorial | Art.5(2)(b): The management body puts in place policies for the availability, authenticity, integrity and confidentiality of data. Art.9(4)(a): Develop and document an information security policy. Art.6(5): The ICT risk management framework is documented and reviewed at least once a year. |
| CPS 234 | Para 18Para 19 | Maintain an information security policy framework; Policies direct everyone with security obligations | Éditorial | Para 18: Maintain an information security policy framework commensurate with exposures to vulnerabilities and threats. Para 19: The policy framework directs everyone with an obligation to maintain information security. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Politique de gouvernance
Les politiques de gouvernance de la cybersécurité constituent le socle du programme de sécurité d'une organisation : elles définissent les règles, les normes et les attentes encadrant la gestion des risques de cybersécurité. Une gouvernance efficace suppose d'établir une responsabilité claire, de définir des politiques d'utilisation acceptable et de mettre en place un référentiel de prise de décision qui aligne les objectifs de sécurité sur les objectifs métier. Les référentiels attendent que les politiques soient revues régulièrement et après tout changement significatif ; la norme PCI DSS, par exemple, exige une revue annuelle de la politique de sécurité (12.1.2).