NIST CSF et ISO 27001 : choisir le rôle de chacun

Le NIST CSF et ISO 27001 aident les organisations à structurer leur sécurité, mais ils jouent des rôles différents. La décision de la direction devient plus claire lorsqu’on se demande de quel résultat l’entreprise a besoin : une vision partagée des priorités de cybersécurité, un programme de sécurité de l’information géré de manière formelle, une assurance indépendante pour les clients, ou une combinaison de ces éléments.

Choisir un référentiel ne décharge pas la direction de sa responsabilité. Les dirigeants doivent toujours fixer le périmètre, financer les améliorations, désigner les responsables et décider quels risques résiduels l’entreprise acceptera. La question utile n’est donc pas « Quel référentiel est le meilleur ? », mais « Quel rôle chacun doit-il jouer dans la façon dont nous pilotons la sécurité et la démontrons ? »

Comparer les résultats, pas seulement les listes de mesures

Le NIST Cybersecurity Framework, actuellement dans sa version CSF 2.0, décrit des résultats de cybersécurité. Il donne aux équipes techniques et aux dirigeants un langage commun pour discuter des risques, des capacités et des priorités, sans prescrire une mise en œuvre unique pour toutes les organisations.

ISO/IEC 27001 spécifie les exigences d’un système de management de la sécurité de l’information, ou SMSI. Ce système établit la manière dont une organisation identifie les risques liés à la sécurité de l’information, choisit les traitements, attribue les responsabilités, évalue les performances et s’améliore. Une certification indépendante peut apporter une assurance sur la conformité du système de management dans son périmètre défini.

Les deux sont utilisables par des organisations de tailles et de niveaux de maturité différents. Le NIST CSF n’est pas réservé aux débutants ni aux entreprises américaines, et ISO 27001 n’est pas réservée aux grandes entreprises internationales. Le niveau de préparation influe sur l’effort requis, pas sur la pertinence conceptuelle de l’approche.

Ce que le NIST CSF apporte aux décisions de la direction

Le CSF 2.0 organise les résultats en six fonctions. Elles fonctionnent ensemble ; ce ne sont pas six phases de projet qui se terminent définitivement l’une après l’autre.

La fonction Govern est particulièrement importante pour les dirigeants. Elle relie la cybersécurité aux objectifs de l’entreprise, à la responsabilité, aux politiques et à la supervision. Elle évite que la sécurité devienne un backlog technique sans responsable métier explicite.

Transformer les résultats en plan d’investissement

Un profil actuel (Current Profile) décrit les résultats de cybersécurité que l’organisation atteint aujourd’hui. Un profil cible (Target Profile) décrit les résultats qu’elle souhaite atteindre, en fonction de ses objectifs, des menaces, de ses obligations et des attentes des parties prenantes. L’écart entre les deux fournit une base pour hiérarchiser le travail.

Par exemple, une entreprise peut disposer de sauvegardes mais de peu de preuves que son service le plus important peut être restauré dans des conditions réalistes. L’écart utile n’est pas simplement « rétablissement incomplet ». C’est un résultat défini, un service concerné, un responsable, un exercice de restauration proposé et une décision sur l’interruption acceptable.

Les niveaux (Tiers) du CSF décrivent les caractéristiques des pratiques de gouvernance et de gestion des risques de cybersécurité. Ils fournissent un contexte pour discuter de la rigueur et de la cohérence ; ce ne sont ni des niveaux de certification ni un score de maturité universel que chaque organisation devrait maximiser.

Le CSF lui-même n’est pas une norme de certification de type ISO. Une organisation peut commander une évaluation et étayer son profil par des preuves, mais ne doit pas présenter cela comme une certification délivrée par le NIST. La valeur pour l’entreprise vient de la clarté de l’évaluation et des améliorations qu’elle suscite.

Ce qu’ISO 27001 ajoute au système de pilotage

ISO 27001 se concentre sur un système de management à périmètre défini. Ses articles 4 à 10 traitent du contexte de l’organisation, du leadership, de la planification, du support, du fonctionnement, de l’évaluation des performances et de l’amélioration. La mettre en œuvre signifie instaurer un cycle de management opérationnel, et non simplement rassembler des politiques pour un auditeur.

La sécurité de l’information englobe la confidentialité, l’intégrité et la disponibilité. La confidentialité concerne l’accès approprié ; l’intégrité concerne l’exactitude, l’exhaustivité et la protection contre les modifications inappropriées ; la disponibilité concerne l’accès autorisé au moment où il est nécessaire. L’intégrité ne signifie pas que l’information ne peut jamais changer : les modifications légitimes nécessitent une autorisation et une maîtrise appropriées.

Le SMSI applique ces exigences au moyen de l’appréciation et du traitement des risques. Ce n’est pas une instruction générale de déployer toutes les technologies de sécurité possibles.

Garder distincts les principaux livrables du SMSI

Plusieurs documents sont étroitement liés mais répondent à des questions différentes :

• Périmètre : quelles activités, quels sites, quelles informations, quels systèmes et quelles interfaces de l’organisation le SMSI couvre-t-il ?
• Appréciation des risques : que pourrait-il se passer, avec quelle importance, et comment ce jugement est-il porté de manière cohérente ?
• Plan de traitement des risques : quelles actions traiteront les risques identifiés, qui en est responsable et quelles approbations sont requises ?
• Déclaration d’applicabilité : quelles mesures nécessaires sont incluses, pourquoi, sont-elles mises en œuvre, et pourquoi des mesures de l’annexe A sont-elles exclues ?
• Audit interne : le SMSI est-il conforme aux exigences applicables et fonctionne-t-il efficacement, sur la base d’un examen suffisamment impartial ?
• Revue de direction : la direction examine-t-elle les performances, les changements, les constats et les besoins d’amélioration, et prend-elle les décisions qui en découlent ?

Un registre des risques ne remplace pas une déclaration d’applicabilité. Une réunion de direction ne constitue pas automatiquement une revue de direction. Chaque livrable a besoin de son propre objectif, de ses propres éléments d’entrée et de conclusions consignées.

L’annexe A d’ISO 27001:2022 contient 93 mesures regroupées en catégories organisationnelles, liées aux personnes, physiques et technologiques. L’applicabilité est fondée sur les risques. Les organisations déterminent les mesures nécessaires et les comparent à l’annexe A afin de ne pas omettre de mesures nécessaires ; elles peuvent avoir besoin de mesures allant au-delà de cet ensemble de référence. ISO 27002 fournit des recommandations de mise en œuvre pour les mesures.

Notre guide de l’annexe A explique plus en détail la structure des mesures. Pour la direction, l’essentiel est qu’une checklist remplie n’est pas un SMSI qui fonctionne.

Comprendre ce que démontre la certification

La certification est facultative, sauf si un contrat ou une autre obligation applicable l’exige. Une organisation peut exploiter un SMSI sans rechercher de certificat.

Lorsque la certification est nécessaire, un organisme de certification indépendant évalue le SMSI ; ce n’est pas l’ISO qui délivre le certificat. La certification initiale comporte généralement une première étape d’examen de l’état de préparation et des dispositions documentées, suivie d’une seconde étape d’évaluation de la mise en œuvre. Le maintien de la certification implique une évaluation continue et un renouvellement selon les modalités de l’organisme de certification.

Lisez le périmètre avant de vous fier à un certificat. La certification d’un service ou d’une unité opérationnelle ne doit pas être présentée comme couvrant tous les produits, filiales ou sites. Elle ne garantit pas non plus qu’aucun incident ne se produira et n’établit pas la conformité à toutes les lois applicables.

Choisir en fonction de la décision que l’entreprise doit prendre

Partez des attentes externes, puis examinez les besoins opérationnels internes. Demandez aux équipes commerciales et achats de distinguer ce que les clients exigent réellement de ce qu’ils se contentent de préférer.

« Conforme à ISO 27001 », « certifié ISO 27001 » et « aligné sur le NIST CSF » sont des affirmations différentes. Si un contrat exige un certificat, une évaluation CSF ne satisfera pas cette formulation. Si le conseil d’administration a besoin d’un plan d’amélioration clair, un certificat seul peut ne pas expliquer où l’organisation doit investir ensuite.

Utilisez ces points de décision :

• Choisissez le CSF comme structure de communication principale lorsque le besoin immédiat est d’établir une base de référence partagée, de comparer les résultats actuels et souhaités, et de hiérarchiser les investissements en cybersécurité.
• Choisissez ISO 27001 comme structure de management principale lorsque l’organisation a besoin d’un SMSI formel avec un traitement des risques, une évaluation et une amélioration cohérents.
• Visez la certification lorsqu’une assurance indépendante à périmètre défini sert un objectif client, contractuel ou métier documenté.
• Utilisez les deux lorsque le SMSI peut piloter la mise en œuvre tandis que les profils CSF communiquent les résultats visés à la direction et aux parties prenantes.

Une organisation mature peut utiliser le CSF pour réévaluer ses priorités après une acquisition. Une petite entreprise peut mettre en place tôt un SMSI ISO 27001 parce que les attentes des acheteurs l’exigent. Évitez de faire de la taille de l’entreprise un substitut à la compréhension du besoin réel.

Aucune des deux approches ne dispense d’analyser séparément les obligations légales. Par exemple, un certificat ISO n’établit pas la conformité au RGPD ou à NIS2. Les obligations légales applicables doivent éclairer l’appréciation des risques et le choix des mesures, avec leurs propres preuves et responsabilités.

Établir un modèle de mise en œuvre unique, avec des correspondances examinées

Utiliser les deux approches ne doit pas signifier créer deux programmes de sécurité déconnectés. À titre de recommandation pratique, organisez la mise en œuvre autour des services, des risques, des mesures, des responsables et des preuves, puis rattachez ce travail à chaque référentiel.

Une fiche de mise en œuvre utile contient les éléments suivants :

Les correspondances sont de plusieurs à plusieurs. Un processus de réponse aux incidents peut soutenir plusieurs résultats du CSF et plusieurs exigences du SMSI. À l’inverse, un résultat peut dépendre de politiques, de protections techniques, de formations et d’accords avec des fournisseurs.

Pour la réponse aux incidents, le CSF décrit des capacités attendues comme la coordination de la réponse et l’analyse des incidents. Le SMSI ajoute des dispositions de management concernant la responsabilité, le traitement des risques, l’évaluation et l’amélioration. Un compte rendu d’exercice peut soutenir les deux, mais il ne prouve pas que chaque exigence mise en correspondance est satisfaite.

Gardez explicites le périmètre et les versions des référentiels. N’appliquez pas à une filiale acquise une correspondance élaborée pour un service de production sans examiner les différences. Notre guide des correspondances entre référentiels explique comment mutualiser le travail sans traiter des exigences différentes comme équivalentes.

Exemple concret : une entreprise de services face à deux demandes

Prenons, à titre d’illustration, un éditeur de logiciels disposant d’un service destiné aux clients. Supposons que son conseil d’administration souhaite un plan d’investissement en sécurité plus clair et qu’un client potentiel exige une certification ISO 27001 couvrant ce service. Ce sont des hypothèses fictives, pas une étude de cas client.

Le PDG désigne un sponsor exécutif responsable et demande au responsable sécurité de proposer un périmètre incluant l’exploitation du service et les processus de support pertinents. La proposition identifie l’infrastructure cloud, le support client, le développement, l’administration des identités et les prestataires externes. La direction vérifie que les limites correspondent à l’exigence du client plutôt que de choisir le plus petit périmètre commode.

L’équipe élabore un profil actuel CSF. Elle constate que les approbations d’accès sont consignées, mais que les revues des accès à privilèges sont irrégulières. Des sauvegardes existent, mais les preuves de restauration sont incomplètes. Les rôles en cas d’incident sont documentés, mais l’escalade vers les fournisseurs n’a jamais été exercée.

Le profil cible fixe trois priorités : une gouvernance cohérente des accès à privilèges, une capacité de restauration démontrée et une réponse aux incidents coordonnée. L’appréciation des risques du SMSI évalue les conséquences métier correspondantes et établit les décisions de traitement.

La direction examine l’avancement au regard du profil cible et des objectifs du SMSI. Elle finance les dépendances de rétablissement non résolues et décide du traitement des exceptions d’accès temporaires. L’audit interne vérifie le système de management et la mise en œuvre ; les actions correctives sont traitées avant l’évaluation de certification.

Le résultat n’est pas deux séries de captures d’écran. C’est un ensemble unique de preuves de mise en œuvre, interprété au regard d’exigences différentes, avec des responsabilités et des décisions de direction visibles.

Budgéter la mise en œuvre et le fonctionnement dans la durée

Le NIST CSF est disponible gratuitement, mais son application n’est pas sans coût. Les deux approches demandent du temps de personnel pour comprendre les risques, améliorer les mesures, collecter des preuves, former les équipes et entretenir les pratiques. ISO 27001 implique en outre l’achat de la norme et, le cas échéant, les honoraires de l’organisme de certification.

Construisez un budget autour de lots de travaux plutôt que d’un prix de marché supposé :

• Évaluation de référence et définition du périmètre.
• Modifications des mesures, y compris les travaux d’ingénierie et avec les fournisseurs.
• Documentation, examen des preuves et formation du personnel.
• Audit interne, revue de direction et actions correctives.
• Évaluation de certification externe, si nécessaire.
• Responsabilités récurrentes, surveillance, exercices et réévaluation.

Demandez des propositions de certification sur le même périmètre afin de pouvoir les comparer utilement. Demandez quelles évaluations, quels sites, quels travaux de suivi et quels frais sont inclus. Séparez la remédiation des mesures des honoraires de certification : un devis d’audit bon marché ne rend pas prêt un programme de sécurité sous-financé.

Évaluez la valeur commerciale à partir d’exigences et d’opportunités clients documentées, et non d’une promesse selon laquelle la certification générerait automatiquement du chiffre d’affaires.

Éviter les affirmations que les preuves ne peuvent pas étayer

Les erreurs courantes consistent à déclarer une « conformité NIST » sans expliquer le profil et le périmètre, à présenter un certificat restreint comme une assurance couvrant toute l’entreprise et à traiter des mesures mises en correspondance comme une preuve d’efficacité.

Une autre erreur consiste à mesurer le succès uniquement au nombre de documents achevés. La direction doit aussi se demander si les services importants disposent de chemins de rétablissement testés, si les exceptions ont des responsables, si les traitements en retard font l’objet d’une escalade et si des constats antérieurs se reproduisent. Ces questions relient le système de management à la performance opérationnelle.

Il n’existe pas de pourcentage universel défendable indiquant à quel point une mise en œuvre du CSF est proche de la conformité à ISO 27001. Des mesures existantes peuvent être réutilisables, mais les exigences manquantes du système de management, les différences de périmètre et les preuves insuffisantes doivent quand même être évaluées.

Faire de l’étape suivante une décision de direction à périmètre défini

Rédigez une courte note de décision précisant le résultat attendu, les limites proposées, les attentes des clients, le sponsor responsable, les principaux écarts et les ressources nécessaires. Décidez si le prochain jalon est un profil CSF examiné, un SMSI opérationnel ou la préparation à la certification. Attribuez à chaque jalon des critères d’acceptation qui incluent des preuves, et pas seulement l’achèvement de documents.

Secani soutient ce fonctionnement en modélisant les systèmes et services, en reliant les preuves aux exigences, aux mesures et aux décisions, et en attribuant des responsables et des tâches de revue. Les équipes peuvent conserver les liens vers les sources, les commentaires, les approbations et les horodatages, tout en traitant les suggestions assistées par l’IA comme des brouillons soumis à une revue humaine. Commencez par un périmètre représentatif et ses preuves existantes avant d’élargir la couverture.

La responsabilité de la direction reste explicite : approuver les priorités, doter le travail de ressources et vérifier si les preuves étayent les affirmations de l’entreprise.