Exploration du NIST Cybersecurity Framework
Objectifs de formation
Une fois cette unité terminée, vous pourrez :
- Décrire les composantes du cadre de cybersécurité du NIST
- Expliquer comment utiliser le cadre de cybersécurité du NIST
Introduction au cadre de cybersécurité (CCS) du National Institute of Standards and Technology (NIST)
Vous souvenez-vous de Jim, l’ingénieur en sécurité réseau travaillant dans une petite clinique, dont nous avons fait la connaissance dans le module précédent ? Il décide de se lancer enfin dans la construction de la maison de ses rêves. Il pense aux éléments qui sont les plus importants pour lui : un jardin clôturé où ses enfants peuvent jouer en toute sécurité, des chambres séparées pour chacun d’entre eux, et une terrasse pour accueillir des invités.
Il appelle son amie architecte et lui décrit sa vision. Il souhaite que l’ambiance soit cohérente dans l’ensemble de la maison : celle-ci doit être moderne, épurée et minimaliste. Son architecte lui donne un aperçu des étapes à suivre, de la conception et de la construction jusqu’aux finitions et à l’emménagement.
Tout comme Jim ne construirait jamais une maison sans plan, il n’aborderait pas non plus la cybersécurité de son organisation sans en avoir un. Le fait de disposer d’un cadre, que ce soit pour construire une maison ou pour gérer la sécurité d’une organisation, peut aider à hiérarchiser les tâches, à communiquer avec les parties prenantes et à faire en sorte que tout le monde comprend les activités, les processus et les précautions nécessaires pour atteindre les objectifs finaux.
Le CCS du NIST peut être utilisé pour comprendre, évaluer, prioriser et communiquer les risques de cybersécurité. Il a été développé par l’organisme de normalisation du département du Commerce des États-Unis, mais peut s’appliquer dans des organisations publiques et privées de toutes tailles partout dans le monde. Il s’appuie sur des recommandations propres à chaque secteur d’activité relatives à la gestion des risques en matière de cybersécurité. Le CCS du NIST est destiné à :
- pouvoir s’appliquer dans de nombreuses organisations ;
- renforcer la posture de sécurité d’une organisation ;
- instaurer une communication claire à tous les niveaux au sein d’une organisation ;
- souligner l’importance de la gouvernance et des chaînes d’approvisionnement ;
- améliorer la communication avec les fournisseurs et partenaires ;
- aider à concevoir des plans de mise en œuvre.
- aider à intégrer les questions liées à la cybersécurité aux stratégies plus larges de gestion des risques d’entreprise.
Le CCS du NIST complète une stratégie de cybersécurité existante et n’est qu’un des nombreux cadres existants sur lesquels il est possible de s’appuyer. Consultez la section Ressources à la fin de cette unité pour en savoir plus sur les autres cadres dont il est possible de tirer parti.
Découverte des fonctions du CCS du NIST
Les six fonctions du CCS du NIST décrivent les activités de cybersécurité et leurs résultats escomptés, du niveau exécutif au niveau opérationnel, dans les organisations où un ingénieur en sécurité réseau opère au quotidien. Ces six fonctions sont la gouvernance, l’identification, la protection, la détection, la réponse et la récupération. Ces fonctions fournissent une vue complète du cycle de vie de la gestion des risques de cybersécurité auxquels fait face une organisation et peuvent être appliquées à de nombreux domaines, notamment la sécurité des applications, la veille sur les menaces et la sécurité des réseaux.
Les unités de ce module et du suivant présentent des informations sur chacune des six fonctions de cybersécurité et sur la manière dont elles peuvent être employées pour comprendre le rôle d’un ingénieur en sécurité réseau. Voici un aperçu de chacune d’entre elles.
-
Gouvernance : la stratégie de gestion des risques de cybersécurité est établie. La fonction de gouvernance vous aide à comprendre comment les risques de cybersécurité peuvent perturber la réalisation de la mission de l’entreprise.
-
Identification : les risques de cybersécurité sont compris. La fonction d’identification vous aide à déterminer quels actifs et utilisateurs se trouvent sur le réseau et quels vulnérabilités, menaces et risques sont associés à chacun d’entre eux. Si un ingénieur en sécurité réseau ne sait pas ce qui se trouve sur son réseau, comment peut-il le protéger ?
-
Protection : des mesures de protection pour gérer les risques sont utilisées. la fonction de protection comprend les contrôles de sécurité se rapportant aux périphériques réseau, à l’accès au réseau et aux données qui transitent et sont stockées sur celui-ci. Elle consiste également à veiller à ce que les utilisateurs connaissent les politiques et procédures de sécurité du réseau et y soient formés.
-
Détection : les incidents possibles sont détectés et analysés. la fonction de détection se rapporte au fait de repérer la survenue d’événements d’anormaux ou dangereux sur le réseau, de comprendre l’impact de cet incident et de vérifier l’efficacité des mesures de protection.
-
Répondez : des actions sont prises contre les incidents identifiés. peu importe la qualité du travail d’un professionnel de la sécurité, il arrive que des incidents se produisent. Dans ces situations, les ingénieurs en sécurité réseau doivent être en mesure de mettre en œuvre des processus de réponse et de gérer la communication, ainsi que d’apprendre des erreurs commises pour renforcer la posture de sécurité de l’entreprise à l’avenir.
-
Récupération : les actifs et les opérations concernées sont restaurés. après un incident, les ingénieurs en sécurité réseau peuvent avoir un rôle à jouer dans la restauration des systèmes atteints et dans l’implémentation d’améliorations pour renforcer la sécurité du réseau. Il s’agit là des aspects clés de la fonction de récupération.
Gouvernance
Premièrement, la fonction de gouvernance, l’ajout le plus récent au cadre, établit la stratégie de gestion des risques de cybersécurité de l’organisation, en garantissant qu’elle s’aligne sur les objectifs commerciaux globaux et sur la tolérance au risque. Cette fonction est transversale, ajoute du contexte et est conçue pour aider les équipes de sécurité à prioriser les résultats des cinq autres fonctions. La fonction de gouvernance comprend quatre catégories essentielles :
-
Contexte organisationnel : cela implique d’examiner la mission, la vision et l’appétence au risque de l’organisation, ainsi que l’adéquation entre la cybersécurité et les objectifs stratégiques de l’entreprise.
-
Stratégie de gestion des risques : cela implique de développer une stratégie pour identifier et évaluer les risques de cybersécurité, ainsi que pour y répondre, en s’assurant qu’elle complète les objectifs commerciaux plus larges.
-
Politiques et procédures : cela comprend l’établissement et l’application de politiques et de procédures qui soutiennent la stratégie de gestion des risques de cybersécurité (par exemple, politiques de cybersécurité, politique de formation, plan de réponse aux incidents).
-
Rôles et responsabilités : cela met l’accent sur la définition et l’attribution claires des rôles et responsabilités en matière de cybersécurité, ainsi que sur la mise en place de mécanismes de communication et de collaboration.
Bien que l’ingénieur en sécurité réseau ne joue pas un rôle direct dans les aspects de haut niveau de la fonction de gouvernance, il joue un rôle crucial dans l’appui des décisions et dans l’implémentation des contrôles qui mettront en œuvre les décisions prises au cours de cette phase.Vérification des connaissances
Prêt à réviser ce que vous venez d’apprendre ? L’évaluation ci-dessous n’est pas notée, elle vous permet simplement de faire le point. Pour commencer, faites glisser l’un des éléments de la colonne de gauche vers la catégorie correspondante à droite. Lorsque vous avez fini d’associer tous les éléments, cliquez sur Soumettre pour vérifier votre travail. Si vous souhaitez recommencer, cliquez sur Réinitialiser.
Bon travail ! Vous avez appris à utiliser un cadre tel que le CCS du NIST pour comprendre et gérer un programme de sécurité. Dans la section suivante, nous allons étudier plus en détail la première fonction, l’identification, et expliquer comment un ingénieur en sécurité réseau procède pour acquérir une compréhension des appareils, des utilisateurs et de la topologie du réseau qu’il doit sécuriser.
Ressources
- Site externe : NIST : le cadre de cybersécurité du NIST (CCS) 2.0 est disponible !
- Site externe : Contrôles du Center for Internet Security
- Site externe : Norme internationale ISO/IEC 27001 relative à la sécurité de l’information
- Site externe : Objectifs de contrôle ISACA concernant les technologies liées à l’information (COBIT)