Rôles et responsabilités
Définir les rôles, les responsabilités et les pouvoirs en matière de cybersécurité.
Rôles et responsabilités est défini par les résultats NIST CSF 2.0 GV.RR-01 (Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving); GV.RR-02 (Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced); GV.RR-03 (Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, PCI DSS, 800-53, HIPAA et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, GDPR, DORA et CPS 234. Seulement faiblement liés dans CIS v8.1. Aucune correspondance dans nos données Aucune correspondance dans nos données pour CMMC, Essential Eight et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.RR-01GV.RR-02GV.RR-03 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving; Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced; Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Définition du sujet | GV.RR-01 GV.RR-02 GV.RR-03 |
| ISO 27001 | A.5.2A.5.4 | Information security roles and responsibilities; Management responsibilities | Correspondance | A.5.2: via GV.RR-02; NIST 800-53 map: PM-2, PM-29 A.5.4: via GV.RR-01 |
| CIS v8.1 | CIS 14.1CIS 14.9 | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (GV.RR-01, GV.RR-02, GV.RR-03) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| SOC 2 | CC1.3CC1.2CC1.5 | Structures, reporting lines, authorities and responsibilities; Board independence and oversight of internal control; Accountability for internal control responsibilities | Éditorial | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.1.312.1.4 | Security roles and responsibilities defined; Executive responsibility for information security assigned | Correspondance | 12.1.3: via GV.RR-01; GV.RR-02 12.1.4: via GV.RR-01; GV.RR-03 |
| CMMC | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CMMC n'est mise en correspondance avec ce thème dans nos données. |
| 800-53 | PM-2PS-9PM-29 | Information Security Program Leadership Role; Position Descriptions; Risk Management Program Leadership Roles | Correspondance | PM-2: via GV.RR-01; GV.RR-02 PS-9: Position descriptions must state security and privacy roles and responsibilities; NIST links PS-9 only to GV.RR-04 (HR practices), but it is the 800-53 control that writes roles down. PM-29: via GV.RR-01; GV.RR-02 |
| HIPAA | §164.308(a)(2) | Assigned Security Responsibility | Correspondance | §164.308(a)(2): via NIST HIPAA map: PM-2 |
| GDPR | Art.37(1)Art.39(1) | Designation of the data protection officer; Tasks of the data protection officer | Éditorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 1.2 | Roles, responsibilities and authorities | Correspondance | 1.2: via GV.RR-02; ENISA ISO map: A.5.2, A.5.4 |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.5(2)(c)Art.6(4)Art.5(3) | Governance and organisation; ICT risk management framework; Governance and organisation | Éditorial | Art.5(2)(c): The management body sets clear roles and responsibilities for all ICT-related functions. Art.6(4): An independent control function manages and oversees ICT risk, with segregated risk, control and audit functions. Art.5(3): A role, or a senior manager, monitors arrangements with ICT third-party service providers. |
| CPS 234 | Para 13Para 14 | Board ultimately responsible for information security; Define information security roles and responsibilities | Éditorial | Para 13: The Board is ultimately responsible for information security. Para 14: Clearly define information security roles and responsibilities, from the Board to operations. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Rôles et responsabilités
Des rôles et responsabilités en matière de cybersécurité clairement définis garantissent la redevabilité et évitent les lacunes dans la couverture de sécurité au sein de l'organisation. Cela implique de désigner un RSSI ou un responsable équivalent, de définir les responsabilités de sécurité des propriétaires de systèmes, de mettre en place un comité de sécurité et de documenter les chemins d'escalade pour les décisions de sécurité. La clarté des rôles est particulièrement cruciale lors des incidents : une incertitude sur les pouvoirs de décision peut retarder la réponse et accroître l'ampleur des dommages.