Glossaire
A · C · D · E · É · F · G · I · M · N · O · P · Q · R · S · T · V · W · Z
- Accréditation
- Reconnaissance formelle attestant qu'un organisme de certification est compétent pour certifier selon une norme. Pour ISO 27001, recherchez un organisme de certification accrédité par un organisme national d'accréditation membre de l'International Accreditation Forum (IAF).
- Analyse d'écarts
- Comparaison entre ce que vous faites déjà, ou le référentiel que vous respectez déjà, et les exigences d'un autre référentiel, afin d'identifier les travaux manquants. L'analyse d'écarts de ControlMapping procède ainsi exigence par exigence entre deux référentiels quelconques.
- Analyse d'impact relative à la protection des données (AIPD)
- Processus exigé par l'article 35 du RGPD (GDPR) pour identifier et réduire les risques pour la protection des données d'un projet ou d'un système susceptible d'engendrer un risque élevé pour les droits et libertés des personnes.
- Associé commercial
- Au sens de HIPAA, personne ou organisation qui crée, reçoit, conserve ou transmet des informations de santé protégées pour le compte d'une entité couverte, comme un fournisseur cloud ou un prestataire de facturation. Les associés commerciaux doivent respecter la règle de sécurité et signer un contrat d'associé commercial.
- Attestation
- Avis d'un praticien indépendant sur un sujet donné, comme l'avis d'un cabinet CPA sur les contrôles d'une entreprise dans un rapport SOC 2. Une attestation n'est pas une certification : il n'y a ni certificat ni note de passage.
- Authentification
- Processus de vérification de l'identité d'un utilisateur, d'un appareil ou d'un système. Les méthodes courantes incluent les mots de passe, l'authentification multifacteur (MFA), la biométrie et les certificats numériques.
- Autorisation
- Processus consistant à déterminer si un utilisateur authentifié est habilité à accéder à une ressource spécifique ou à effectuer une action précise. Généralement mis en œuvre par un contrôle d'accès basé sur les rôles (RBAC) ou sur les attributs (ABAC).
- C3PAO
- CMMC Third-Party Assessment Organization : organisation habilitée à mener les évaluations de certification CMMC Level 2 auprès des entrepreneurs de la défense.
- Chiffrement
- Processus de conversion des données sous une forme codée (texte chiffré) pour empêcher tout accès non autorisé. Les données doivent être chiffrées au repos (stockées), en transit (circulant sur les réseaux) et, de plus en plus, en cours d'utilisation.
- Classification des données
- Processus consistant à organiser les données en catégories selon leur niveau de sensibilité et l'impact d'une divulgation non autorisée. Les niveaux courants sont Public, Interne, Confidentiel et Restreint.
- Continuité d'activité
- Capacité d'une organisation à poursuivre la fourniture de ses produits ou services à des niveaux acceptables prédéfinis à la suite d'un incident perturbateur. La planification de la continuité d'activité (BCP) identifie les menaces et établit les procédures garantissant la résilience.
- Contrôle
- Sauvegarde ou contre-mesure conçue pour protéger la confidentialité, l'intégrité et la disponibilité des systèmes d'information et des données. Les contrôles peuvent être techniques (pare-feux, chiffrement), administratifs (politiques, formation) ou physiques (serrures, badges).
- Contrôle compensatoire
- Mesure de sécurité alternative mise en place lorsqu'un contrôle principal ne peut pas être implémenté. Les contrôles compensatoires doivent répondre à l'objectif de l'exigence d'origine, offrir un niveau de protection similaire et être documentés.
- Contrôle d'accès
- Mesures de sécurité qui régulent qui ou quoi peut consulter ou utiliser les ressources d'un environnement informatique. Les contrôles d'accès comprennent l'authentification (vérification de l'identité), l'autorisation (attribution des droits) et la comptabilisation (traçabilité des accès).
- Contrôles complémentaires à la charge des entités utilisatrices (CUEC)
- Contrôles qu'un rapport SOC 2 indique que les clients de l'organisation prestataire doivent eux-mêmes exploiter pour que les contrôles décrits fonctionnent, par exemple la gestion de leurs propres comptes utilisateurs.
- Correspondance
- Correspondance publiée entre les exigences de deux référentiels, comme la correspondance du NIST entre SP 800-53 et ISO 27001. Une correspondance indique que des exigences visent des résultats apparentés, et non que la satisfaction de l'une satisfait l'autre. Sur ce site, les liens issus de correspondances sont étiquetés « Correspondance » et représentés par un carré plein.
- Correspondance éditoriale
- Lien établi par ControlMapping lorsqu'aucune correspondance publiée n'existe, toujours accompagné d'une brève justification. Représenté par un carré contouré. Tous les liens SOC 2, RGPD (GDPR) et Essential Eight de ce site sont éditoriaux.
- CUI
- Controlled Unclassified Information : informations créées ou détenues par l'État, qui nécessitent une protection sans être classifiées. Les exigences de protection des CUI sont définies dans NIST SP 800-171 et appliquées via CMMC.
- Déclaration d'applicabilité (SoA)
- Document ISO 27001 qui recense chaque contrôle de l'Annexe A, indique s'il est appliqué et pourquoi : il fait le lien entre le traitement des risques et les contrôles en place. Les auditeurs l'examinent de près.
- Défense en profondeur
- Stratégie de sécurité qui repose sur plusieurs couches de contrôles dans l'ensemble d'un système informatique. Si une couche défaillit, les couches supplémentaires continuent d'assurer la protection. Également appelée sécurité en couches.
- DLP
- Data Loss Prevention : technologies et politiques qui détectent et empêchent la transmission non autorisée de données sensibles en dehors de l'organisation. Les solutions DLP surveillent la messagerie, le web, les postes de travail et les services cloud.
- Données personnelles
- En vertu du RGPD (GDPR), toute information se rapportant à une personne physique identifiée ou identifiable. Cela inclut notamment les noms, adresses e-mail, adresses IP, données de localisation et identifiants en ligne.
- EDR
- Endpoint Detection and Response : solutions de sécurité déployées sur les postes et serveurs, qui surveillent en continu les cybermenaces et y répondent. L'EDR apporte une analyse comportementale, la recherche de menaces et des capacités forensiques, au-delà des antivirus traditionnels.
- Entité couverte
- Au sens de HIPAA, organisation tenue de respecter les règles de confidentialité et de sécurité : régimes de santé, centres de traitement de données de santé et prestataires de soins qui transmettent électroniquement des informations de santé.
- Entités essentielles et importantes
- Les deux catégories de la NIS2. Toutes deux doivent respecter les mêmes obligations de gestion des risques et de notification ; les entités essentielles font l'objet d'une supervision proactive et d'amendes maximales plus élevées, les entités importantes sont supervisées a posteriori.
- ePHI
- Electronic Protected Health Information : informations de santé individuellement identifiables, créées, stockées, transmises ou reçues par voie électronique. La règle de sécurité HIPAA traite spécifiquement de la protection des ePHI.
- Évaluation des risques
- Processus systématique d'identification des menaces et des vulnérabilités, d'analyse de leur probabilité et de leur impact potentiel, et de détermination des mesures d'atténuation appropriées. Les évaluations des risques doivent être réalisées régulièrement et à chaque changement significatif.
- FedRAMP
- Federal Risk and Authorization Management Program : programme gouvernemental américain fournissant une évaluation de sécurité et une autorisation standardisées pour les produits et services cloud utilisés par les agences fédérales. Fondé sur les contrôles de NIST SP 800-53.
- FISMA
- Federal Information Security Modernization Act : loi américaine exigeant des agences fédérales qu'elles élaborent, documentent et mettent en œuvre des programmes de sécurité de l'information. La conformité FISMA se mesure à l'aune des contrôles de NIST SP 800-53.
- Gestion des correctifs
- Processus d'identification, de test et de déploiement des mises à jour logicielles visant à corriger les vulnérabilités de sécurité. Une gestion efficace des correctifs suppose des inventaires d'actifs précis, une priorisation fondée sur les risques et des SLA définis pour les délais de remédiation.
- Gouvernance
- Ensemble des politiques, processus et structures organisationnelles qui garantissent que les activités de cybersécurité sont alignées sur les objectifs métier et les exigences réglementaires. La gouvernance établit les responsabilités, définit les rôles et fixe la direction stratégique.
- IDS/IPS
- Intrusion Detection System / Intrusion Prevention System : outils de sécurité réseau qui surveillent le trafic à la recherche d'activités suspectes. L'IDS détecte et alerte ; l'IPS détecte et bloque. Ils peuvent être réseau (NIDS/NIPS) ou basés sur l'hôte (HIDS/HIPS).
- Information Security Manual (ISM)
- Référentiel de contrôles de cybersécurité de l'Australian Signals Directorate, publié sous licence CC BY 4.0. Les exigences de l'Essential Eight sont des contrôles de l'ISM associés à des niveaux de maturité.
- MFA
- Multi-Factor Authentication : exigence d'au moins deux facteurs de vérification (quelque chose que l'on connaît, possède ou est) pour accéder à une ressource. Les méthodes MFA résistantes au hameçonnage, comme FIDO2 et les passkeys, sont privilégiées par rapport aux codes envoyés par SMS.
- MITRE ATT&CK
- Base de connaissances accessible à tous, recensant les tactiques, techniques et procédures (TTP) des adversaires, fondée sur des observations réelles. Utilisée par les équipes de sécurité pour améliorer la détection, la recherche de menaces et les exercices de red team.
- Moindre privilège
- Principe selon lequel les utilisateurs, systèmes et processus ne doivent se voir accorder que les droits d'accès minimaux nécessaires à leurs fonctions autorisées. Il réduit la surface d'attaque et limite l'impact des comptes compromis.
- Niveau de maturité
- Dans l'Essential Eight de l'ASD, l'un des trois niveaux (de One à Three) de protection croissante face à des adversaires de plus en plus capables. Une stratégie n'atteint un niveau que lorsque toutes les exigences de ce niveau et des niveaux inférieurs sont satisfaites.
- OLIR
- Programme Online Informative References du NIST : catalogue de correspondances entre les référentiels NIST et d'autres normes, soumises par le NIST ou par des tiers. Le NIST vérifie le format des soumissions de tiers, et non leur exactitude.
- Organisme de certification
- Organisme qui audite des systèmes de management selon une norme telle qu'ISO 27001 et délivre des certificats. Les clients attendent généralement qu'il soit accrédité.
- Période d'observation
- Période couverte par un rapport SOC 2 de type II, généralement de 3 à 12 mois, pendant laquelle l'auditeur vérifie si les contrôles ont fonctionné de manière efficace.
- Piste d'audit
- Journal chronologique des activités d'un système, fournissant une preuve documentaire de la séquence des événements. Les pistes d'audit servent à détecter les violations de sécurité, les problèmes de performance et les failles applicatives.
- Plan d'actions et jalons (POA&M)
- Registre des faiblesses de sécurité, assorti des actions et échéances de correction, utilisé dans les évaluations NIST SP 800-53, SP 800-171 et CMMC.
- Plan de sécurité du système (SSP)
- Document décrivant les frontières et l'environnement d'un système, ainsi que la manière dont chaque exigence de sécurité est mise en œuvre. Exigé par NIST SP 800-171 (pratique CMMC Level 2 CA.L2-3.12.4) et par le Risk Management Framework du NIST.
- QSA, ROC, SAQ et AOC
- Termes d'évaluation PCI DSS. Un Qualified Security Assessor (QSA) rédige un Report on Compliance (ROC) ; les petits commerçants peuvent à la place remplir un Self-Assessment Questionnaire (SAQ). Les deux aboutissent à une Attestation of Compliance (AOC).
- Référentiel
- Ensemble structuré d'exigences ou de résultats de sécurité. Certains relèvent de la loi (HIPAA, RGPD (GDPR), NIS2), d'autres sont contractuels (PCI DSS via les accords avec les réseaux de cartes, CMMC via les contrats de défense), d'autres sont volontaires (NIST CSF, CIS Controls), et certains peuvent faire l'objet d'une certification (ISO 27001).
- Registre des risques
- Inventaire documenté des risques identifiés, incluant leur probabilité, leur impact, les contrôles en place, le responsable du risque et le plan de traitement. Le registre des risques est un document vivant qui soutient la gestion continue des risques.
- Règlement d'exécution (UE) 2024/2690
- Règlement de la Commission européenne qui détaille les mesures de gestion des risques de l'article 21 de la NIS2 pour les fournisseurs DNS, cloud, centres de données, services gérés et autres fournisseurs numériques. Les exigences NIS2 de ControlMapping correspondent aux points de son annexe.
- Renseignement sur les menaces
- Informations sur les cybermenaces actuelles et émergentes, collectées à partir de sources multiples (ISAC, flux gouvernementaux, plateformes commerciales, OSINT). Le renseignement sur les menaces alimente les règles de détection, la priorisation des vulnérabilités et la réponse aux incidents.
- Réponse aux incidents
- Démarche organisée de détection, de confinement, d'éradication et de rétablissement après des incidents de cybersécurité. Un plan de réponse aux incidents définit les rôles, les procédures, les protocoles de communication et les chemins d'escalade.
- Responsable du traitement
- En vertu du RGPD (GDPR), entité qui détermine les finalités et les moyens du traitement de données personnelles. Le responsable du traitement porte la responsabilité principale du respect des principes de protection des données.
- Risque lié à la chaîne d'approvisionnement
- Risque qu'une organisation soit compromise à travers des vulnérabilités de ses fournisseurs, sous-traitants ou prestataires de services. Les attaques de la chaîne d'approvisionnement exploitent les relations de confiance pour contourner les défenses directes.
- SIEM
- Security Information and Event Management : plateforme qui agrège et corrèle les données de journaux de l'ensemble de l'environnement informatique afin d'offrir une visibilité centralisée, la détection des menaces et le reporting de conformité.
- SMSI
- Information Security Management System : approche systématique de gestion des informations sensibles afin de garantir leur sécurité. La certification ISO 27001 exige la mise en œuvre et le maintien d'un SMSI.
- SOC (Security Operations Centre)
- Équipe, souvent dotée de locaux dédiés, qui surveille, détecte et traite les incidents de sécurité. À ne pas confondre avec le SOC 2, qui est un rapport d'audit.
- SOC 2 Type I et Type II
- Un rapport de type I couvre la question de savoir si les contrôles étaient correctement conçus et en place à une date donnée. Un rapport de type II couvre en outre leur efficacité de fonctionnement sur une période, et c'est celui que demande la plupart des clients.
- Sous-catégorie CSF
- Le niveau le plus précis du Cybersecurity Framework du NIST : un résultat tel que PR.AA-03 (les utilisateurs, services et matériels sont authentifiés). Le CSF 2.0 compte 106 sous-catégories actives réparties en 22 catégories et six fonctions. ControlMapping les utilise comme pivot auquel chaque référentiel se rattache.
- Sous-traitant
- En vertu du RGPD (GDPR), entité qui traite des données personnelles pour le compte d'un responsable du traitement. Les sous-traitants doivent suivre les instructions du responsable du traitement et mettre en œuvre des mesures de sécurité appropriées.
- Sous-traitant de service
- Fournisseur dont les contrôles comptent pour un rapport SOC 2, comme le fournisseur cloud qui héberge le service. Avec la méthode d'exclusion (carve-out), le rapport exclut ses contrôles et s'appuie sur ses propres rapports d'assurance.
- Spécification d'implémentation adressable
- Spécification de la règle de sécurité HIPAA qu'une organisation doit évaluer et mettre en œuvre si cela est raisonnable et approprié, ou documenter les raisons de ne pas le faire et adopter une mesure équivalente. Cela ne signifie pas qu'elle est facultative. Les spécifications marquées « Required » doivent être mises en œuvre.
- Test d'intrusion
- Attaque simulée et autorisée contre un système afin d'en évaluer la sécurité. Les tests d'intrusion identifient les vulnérabilités susceptibles d'être exploitées par des attaquants et vérifient l'efficacité des contrôles existants.
- Triade CIA
- Les trois principes fondamentaux de la sécurité de l'information : la confidentialité (prévention de la divulgation non autorisée), l'intégrité (prévention de la modification non autorisée) et la disponibilité (garantie d'un accès autorisé lorsque nécessaire).
- Trust Services Criteria
- Les critères de l'AICPA utilisés dans les rapports SOC 2, répartis en cinq catégories : Security (toujours incluse), Availability, Confidentiality, Processing Integrity et Privacy.
- Violation de données
- Incident au cours duquel des données sensibles, protégées ou confidentielles sont consultées, divulguées ou volées par une partie non autorisée. Les obligations de notification varient selon la réglementation (le RGPD (GDPR) impose une notification sous 72 heures, HIPAA sous 60 jours).
- Vulnérabilité
- Faiblesse d'un système, d'une application ou d'un processus qui pourrait être exploitée par un acteur malveillant pour obtenir un accès non autorisé ou causer des dommages. Les vulnérabilités sont notées à l'aide du CVSS (Common Vulnerability Scoring System).
- WAF
- Web Application Firewall : solution de sécurité qui inspecte le trafic HTTP/HTTPS entrant et sortant des applications web, et bloque les attaques courantes telles que l'injection SQL, le XSS et l'inclusion de fichiers distants.
- Zero Trust
- Modèle de sécurité fondé sur le principe « ne jamais faire confiance, toujours vérifier ». Le Zero Trust exige une vérification continue de l'identité et de l'autorisation pour chaque demande d'accès, quel que soit l'emplacement réseau. Sa mise en œuvre implique la micro-segmentation, des proxys sensibles à l'identité et des contrôles de posture des appareils.