Questions fréquemment posées

Utiliser ControlMapping

Qu'est-ce que ControlMapping ?

Une référence gratuite qui indique quelles exigences de sécurité se retrouvent d'un référentiel à l'autre parmi 14 référentiels : NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, RGPD (GDPR), NIST SP 800-53, CIS Controls et Essential Eight. Elle couvre 1 421 exigences, regroupées en 50 sujets de sécurité, et chaque lien indique son origine.

Comment réaliser une analyse d'écarts ?

Ouvrez l'analyse d'écarts, puis sélectionnez le référentiel que vous possédez et celui que vous devez atteindre. Chaque exigence de ce dernier figure comme correspondante (selon une correspondance publiée ou notre jugement éditorial), faiblement liée, ou avec la mention « Aucune correspondance dans nos données ». Les lignes sans correspondance représentent vraisemblablement votre nouveau travail. Exportez le résultat au format CSV, avec des colonnes vides pour le responsable, le statut et les preuves, afin de l'utiliser comme outil de suivi.

Que signifient les symboles ?

Correspondance (carré plein) : une correspondance publiée (de NIST, ENISA, CIS ou PCI SSC) établit le lien. Éditorial (carré contour) : notre jugement lorsqu'aucune correspondance publiée n'existe ; le motif est toujours indiqué. Faiblement liés (anneau ambré) : les deux ne partagent qu'un résultat du NIST CSF 2.0, à vérifier avant de s'y fier. Aucune correspondance dans nos données (tiret) : généralement un nouveau travail, mais la couverture est partielle pour certains référentiels. Un losange marque les résultats CSF qui définissent un sujet. Voir la méthodologie.

Qu'est-ce qu'un sujet ?

Un thème de sécurité tel que le chiffrement, l'authentification multifacteur ou la réponse aux incidents. Chaque sujet est défini par des résultats du NIST CSF 2.0 et recense l'exigence de chaque référentiel qui le traite. Les pages de sujet sont le moyen le plus rapide de voir un thème à travers tous les référentiels.

Puis-je télécharger les données ?

Oui. La page téléchargements propose la correspondance complète aux formats CSV, Excel et JSON sous licence CC BY 4.0, les licences des contenus tiers étant indiquées dans chaque fichier.

ControlMapping est-il gratuit ?

Oui : ni compte ni accès payant. Les données peuvent être réutilisées librement sous licence CC BY 4.0.

Exactitude et sources

Quelle est la fiabilité des correspondances ?

Chaque identifiant d'exigence est vérifié par rapport au catalogue officiel du référentiel lors de la génération du site, et les identifiants retirés font échouer cette génération. Les liens étiquetés « Correspondance » proviennent de correspondances publiées ; les liens étiquetés « Éditorial » reflètent notre jugement, accompagné d'un motif. Les correspondances indiquent que des exigences traitent des résultats apparentés, et non qu'en satisfaire une satisfait l'autre ; utilisez donc le site pour planifier, et confirmez avec le texte source avant de vous y fier pour un audit.

D'où viennent les correspondances ?

NIST (références informatives du CSF 2.0, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Annexe D), ENISA (NIS2 → ISO 27001 et CSF 2.0), CIS (CIS Controls → CSF 2.0) et PCI SSC (PCI DSS → CSF 2.0). SOC 2, RGPD et Essential Eight ne disposent d'aucune correspondance sous licence ouverte ; leurs liens sont donc éditoriaux. La méthodologie précise chaque source et version.

Pourquoi ne puis-je pas voir le texte intégral des exigences ISO, PCI ou SOC 2 ?

Ce texte est protégé par le droit d'auteur de l'ISO, du PCI SSC et de l'AICPA. Nous affichons les identifiants, les intitulés ISO, ainsi que nos propres résumés courts pour PCI DSS et SOC 2. Les textes du NIST, de HIPAA, de NIS2 et d'Essential Eight sont affichés lorsque leur licence le permet.

J'ai repéré une erreur. Comment la signaler ?

Utilisez le lien « signaler une erreur » présent sur chaque page d'exigence, ou consultez la page À propos.

Référentiels

Quelle différence entre SOC 2 et ISO 27001 ?

ISO 27001 aboutit à un certificat pour un système de management de la sécurité de l'information, délivré par un organisme de certification accrédité et valable trois ans. SOC 2 aboutit à un rapport : l'avis d'un cabinet CPA sur vos contrôles, généralement sur une période de 3 à 12 mois (Type II). Leurs contrôles de sécurité se recoupent largement ; ISO ajoute le système de management, tandis que SOC 2 ajoute les critères facultatifs de disponibilité, de confidentialité, d'intégrité des traitements et de protection de la vie privée. Voir ISO 27001 vs SOC 2.

Faut-il SOC 2 Type I ou Type II ?

La plupart des clients demandent le Type II, qui vérifie que les contrôles ont fonctionné pendant une période donnée. Le Type I ne couvre que la conception à un instant donné ; il constitue une première étape utile pendant le déroulement de la période Type II. Voir le guide SOC 2.

La certification ISO 27001 suffit-elle pour NIS2 ?

Pas à elle seule. L'ENISA fait correspondre chaque mesure technique du règlement d'exécution NIS2 à l'ISO 27001 : les organisations certifiées ont donc déjà accompli une grande partie du travail. Toutefois, NIS2 ajoute des délais de notification des incidents (24 heures, 72 heures, un mois), une formation et une responsabilisation de la direction, ainsi que l'enregistrement auprès de l'autorité nationale. Voir le guide NIS2.

Quelle différence entre le NIST CSF et le NIST SP 800-53 ?

Le CSF 2.0 décrit des résultats (106 sous-catégories) et son application est volontaire pour la plupart des organisations. Le SP 800-53 est un catalogue de contrôles permettant d'atteindre ces résultats ; il est obligatoire pour les systèmes fédéraux américains et constitue la base de FedRAMP. Le NIST publie la correspondance officielle entre les deux, que ce site utilise.

Qui a besoin de CMMC Level 2 ?

Les entrepreneurs et sous-traitants du département de la Défense des États-Unis qui traitent des informations non classifiées contrôlées (CUI). Le niveau 2 correspond aux 110 exigences du NIST SP 800-171 Rev 2, évaluées soit par auto-évaluation, soit, pour la plupart des contrats CUI, par un évaluateur tiers accrédité (C3PAO).

Existe-t-il une certification pour le NIST CSF, HIPAA ou Essential Eight ?

Non, aucune certification officielle. Le NIST CSF et l'Essential Eight font l'objet d'évaluations, et non de certifications ; HIPAA est appliquée par le Bureau des droits civils (Office for Civil Rights) du HHS. Des attestations de tiers existent pour les trois, mais aucune n'est un certificat officiel.