NIST Cybersecurity Framework 2.0 : Une vue d'ensemble

Le 26 février 2024, la nouvelle Cadre de cybersécurité NIST 2.0 a été publié par le National Institute of Standards and Technology (NIST) des États-Unis en collaboration avec des parties prenantes issues d'organisations de toutes tailles.

Le cadre NIST guide les organisations dans la gestion des risques de cybersécurité grâce à sa taxonomie de résultats de haut niveau en matière de cybersécurité qui peut être utilisée par toute organisation, indépendamment de sa taille, de son secteur ou de son niveau de maturité. Le cadre aide les organisations à mieux comprendre, évaluer, hiérarchiser et communiquer leurs efforts en matière de cybersécurité afin d'améliorer leur position dans ce domaine.

Qu'est-ce que le NIST CSF 2.0 ?

Le champ d'application du NIST CSF 2.0 a également été élargi afin de répondre aux défis mondiaux en matière de cybersécurité, au-delà de l'accent mis initialement sur les infrastructures critiques américaines. Désormais, toutes les organisations peuvent utiliser les pratiques du NIST, quel que soit leur secteur d'activité.

Le cadre cybernétique comprend les éléments suivants :

• CSF Core. La taxonomie des résultats de haut niveau en matière de cybersécurité qui aide les organisations à gérer leurs risques de cybersécurité. Les éléments fondamentaux du CCA sont une hiérarchie de fonctions, de catégories et de sous-catégories qui détaillent chaque résultat s'appliquant à tous les systèmes de technologie de l'information (TI).
• Profils organisationnels des CCA. détaille les mécanismes de description de la posture de cybersécurité cible d'une organisation.
• Niveaux du CCA. Les niveaux fournissent un contexte pour la façon dont une organisation considère ses risques de cybersécurité et les processus de gestion de ces risques, y compris les pratiques de gouvernance et de gestion.

Pourquoi le cadre NIST est-il essentiel pour la conformité en matière de cybersécurité ?

Le NIST CSF 2.0 est largement reconnu comme une ressource essentielle pour les organisations qui cherchent à améliorer leur position en matière de cybersécurité.

Les organisations peuvent faire correspondre diverses normes de cybersécurité avec le cadre NIST afin de respecter les exigences réglementaires en matière d'identification, de détection et de récupération des incidents de cybersécurité.

La conformité NIST fournit une base complète qui s'aligne sur de nombreuses normes de conformité existantes, telles que GDPR, HIPAA, ISO et... Contrôles CIS.

La gouvernance est une nouvelle fonction essentielle du NIST CSF 2.0.

Pour élaborer le nouveau cadre de cybersécurité du NIST, ce dernier a travaillé directement avec les parties prenantes afin de relever les défis les plus récents en matière de cybersécurité.

L'une des modifications importantes apportées au cadre est l'ajout d'un nouvel élément Gouverner fonction. Cette nouvelle fonction clé aide les organisations à prendre des décisions éclairées sur les politiques et les pratiques de gestion alignées sur une stratégie de cybersécurité plus large, y compris le contexte organisationnel, les stratégies de gestion des risques et la gestion des risques de la chaîne d'approvisionnement.

NIST 2.0 peut aider les organisations européennes à mettre en œuvre les meilleures pratiques en matière de cybersécurité

L'Union européenne a mis en œuvre le Directive NIS 2 La directive sur la cybersécurité a été adoptée en octobre 2024 afin d'établir un cadre juridique unifié pour garantir la cybersécurité dans 18 secteurs critiques de l'UE. Cependant, la directive n'est pas un cadre en soi, mais plutôt un cadre de référence, un ensemble d'exigences que les organisations doivent respecter.

Le Le cadre NIST CSF 2.0 peut aider les pays de l'UE et les organisations pour mettre en œuvre la directive NIS 2. Le NIST dispose de nombreux exemples de mise en œuvre d'organisations de tailles et de secteurs divers pour soutenir les meilleures pratiques en matière de cybersécurité.

Quels sont les 5 piliers du NIST CSF 2.0 ?

Le cadre NIST est organisé en 5 fonctions principales de la version 1.1, plus la nouvelle fonction Gouverner a été ajoutée à la version 2.0.

Les fonctions essentielles du NIST CSF 2.0 sont les suivantes :

• Gouverner-La fonction de gouvernance fournit des résultats qui permettent à l'organisation de réaliser les cinq autres fonctions et d'en définir les priorités. Pour réduire les risques liés à la cybersécurité, il est important de prendre en compte le contexte organisationnel plus large afin d'obtenir des résultats durables, notamment en établissant une stratégie de cybersécurité, en envisageant la gestion des risques liés à la cybersécurité dans la chaîne d'approvisionnement (y compris les rôles, les responsabilités et les autorités), et en se conformant aux exigences des organismes de réglementation en matière de cybersécurité.
• Identifier-La fonction d'identification demande aux organisations d'examiner le paysage actuel des menaces pour la cybersécurité et d'identifier les domaines à améliorer dans les politiques, les plans, les processus, les procédures et les pratiques de gestion.
• Protéger-La fonction de protection porte sur les mesures de protection visant à gérer le risque cybernétique de l'organisation, en empêchant l'exploitation des vulnérabilités. Il est important d'aborder des domaines tels que la gestion des identités, le contrôle d'accès, la sécurité des données, la sécurité des plateformes et la résilience de l'infrastructure.
• Détecter-La fonction de détection détermine la rapidité avec laquelle les organisations peuvent découvrir une menace potentielle et analyser les événements indésirables qui indiquent des cyberattaques. Cette fonction contribue à la réussite des activités de réponse et de récupération en cas d'incident afin d'améliorer l'atténuation des menaces.
• Répondre-La fonction Réagir fournit des lignes directrices sur les mesures à prendre après la découverte d'une menace pour contenir les cybermenaces. Elle couvre la gestion des incidents, l'analyse, l'atténuation, le signalement et la communication des cyberattaques.
• Récupérer-La fonction de récupération aide les organisations à identifier les actifs et les opérations touchés par une cyberattaque et les aide à revenir à un fonctionnement normal.

Principaux avantages de la mise en œuvre de la norme NIST CSF 2.0

L'apparition de nouvelles applications technologiques, telles que l'IA, entraîne de nouveaux risques en matière de protection de la vie privée et de cybersécurité. Le cadre a été élaboré pour aider à faire face à ces risques.

La mise en œuvre du NIST CSF 2.0 peut aider les organisations à :

• Répondre aux exigences réglementaires: NIST CSF 2.0 est aligné sur des normes telles que ISO, HIPAA et GDPR, aidant les entreprises à répondre aux différentes exigences de conformité.
• Améliorer la transparence de la chaîne d'approvisionnement: Gérer les cyber-risques modernes, en favorisant la confiance entre l'entreprise, les clients et les fournisseurs de services.
• Élaborer une stratégie de gestion des cyberrisques résiliente: Le NIST CSF 2.0 fournit aux organisations un point de départ pour l'élaboration de leur stratégie de gestion des risques liés à la cybersécurité. Utilisez les lignes directrices pour créer des TTP (Tactiques, Techniques et Protocoles) qui correspondent aux objectifs de l'entreprise.
• Adaptable et flexible pour toutes les organisations: La structure adaptable du NIST CSF 2.0 signifie que toute organisation peut mettre en œuvre les conseils, qu'il s'agisse d'une petite entreprise ou d'une entreprise de grande envergure.
• Préparer l'avenir de votre organisation: Les organisations et les organismes publics qui utilisent le cadre NIST sont plus résistants face à l'évolution des cybermenaces, ce qui favorise une croissance durable.

Une entreprise de construction a perdu $550 000 euros à la suite d'une attaque par keylogging.

Employés de une petite entreprise de construction s'est connecté aux systèmes de l'entreprise avec son identifiant spécifique. Peu de temps après, le propriétaire a été informé qu'en une semaine, les cybercriminels avaient effectué six virements à partir des comptes bancaires de la société pour un montant total de $550 000 à destination d'une source inconnue.

Il a été révélé que des cybercriminels avaient installé un logiciel malveillant d'enregistrement des clés sur les systèmes de l'entreprise afin de saisir les informations d'identification bancaire. La banque n'a pu récupérer que $200 000, ce qui a entraîné une perte de $350 000. L'entreprise de construction n'avait mis en place aucun programme ou plan de cybersécurité pour prévenir une attaque.

Le cadre NIST CSF 2.0 aurait pu aider l'entreprise à le mettre en œuvre :

• Notifications pour les transactions: Créez des alertes de transaction sur tous les comptes bancaires afin d'être informé lorsqu'une transaction est effectuée.
• Accès restreint: Veillez à ce que les comptes sensibles ne soient accessibles qu'aux employés qui ont besoin d'y accéder dans le cadre de leur fonction. Il est important de changer régulièrement les mots de passe pour réduire les risques.
• Politiques de gestion des risques: Évaluer les risques liés à la cybersécurité, par exemple en procédant à une évaluation des risques afin de déterminer la tolérance au risque.
• Plan de réponse aux incidents: Les entreprises disposant d'un plan de réponse aux incidents obtiennent de meilleurs résultats en matière de cybersécurité.
• Formation des employés: Former le personnel à réagir à des incidents tels que le phishing permet d'atténuer les effets néfastes de la cybersécurité.

Un hôtel a perdu $1 million d'euros à cause d'une menace d'hameçonnage.

Le PDG d'un hôtel de charme s'est rendu compte qu'il était victime d'une fraude électronique lorsque l'hôtel n'a pas eu les fonds nécessaires pour payer les dépenses courantes. Quelques semaines avant l'attaque, le PDG avait cliqué sur un lien malveillant dans un courriel qu'il croyait provenir du fisc.

Grâce à une attaque par hameçonnage, les cybercriminels ont réussi à s'emparer des identifiants de connexion du PDG, ce qui leur a permis d'accéder à tous les systèmes internes de l'entreprise. L'entreprise a perdu $1 million sur un compte en Chine.

Pour prévenir une nouvelle attaque, l'entreprise peut utiliser le cadre NIST CSF 2.0 pour :

• Former le personnel aux risques d'hameçonnage: Les employés doivent être conscients des dangers qu'il y a à cliquer sur des liens malveillants et des pièces jointes suspectes, savoir comment identifier les courriels frauduleux et recevoir une formation régulière en matière de sécurité.
• Mettre en œuvre des protocoles de virement bancaire rigoureux: Cela comprend l'authentification multifactorielle (MFA) et d'autres formes secondaires de validation des transferts.
• Disposer d'un plan d'intervention en cas d'incident cybernétique: La mise en œuvre d'un plan d'intervention en cas d'incident garantit que même si une attaque se produit, l'entreprise peut y répondre sans avoir à subir d'autres pertes potentielles.

Comment les organisations peuvent-elles mettre en œuvre le NIST CSF 2.0 dans leur stratégie de cybersécurité ?

Le NIST CSF 2.0 peut être mis en œuvre par des entreprises de toute taille, de la petite entreprise à l'entreprise, grâce à son système de gestion des risques. de nombreuses ressources informatives.

Le Guide de démarrage rapide de la gestion du risque d'entreprise est une ressource gratuite qui aide les organisations à évaluer leur tolérance au risque en enregistrant les risques dans toute l'entreprise dans un format de registre commun.

Voici comment commencer à mettre en œuvre le NIST CSF 2.0 :

• Comprendre le cadre : Plongez dans le cadre de cybersécurité NIST 2.0, y compris ses cinq fonctions essentielles : Identifier, Protéger, Détecter, Répondre et Récupérer. Accordez une attention particulière à la nouvelle fonction "Gouverner", qui se concentre sur la gouvernance et la gestion des risques.
• Impliquer les dirigeants et les parties prenantes : Obtenir l'engagement de la direction de l'organisation et impliquer les principales parties prenantes pour garantir l'alignement sur les objectifs de l'entreprise et les exigences réglementaires.
• Évaluer la situation actuelle : Procéder à une évaluation complète de la position actuelle de votre organisation en matière de cybersécurité, en identifiant les forces, les faiblesses, les risques et les lacunes en matière de conformité.
• Définir un état cible : Fixer des objectifs clairs pour la posture de cybersécurité souhaitée en fonction de la tolérance au risque de votre organisation, des exigences légales et des priorités de l'entreprise.
• Élaborer une feuille de route : Créez un plan d'action pour combler les lacunes et atteindre votre état cible. Ce plan devrait comprendre des initiatives prioritaires, des calendriers et l'affectation des ressources.
• Mettre en œuvre des contrôles et des processus : Établir ou améliorer les mesures, les politiques et les procédures de sécurité qui s'alignent sur les lignes directrices NIST 2.0.
• Contrôler et mesurer les progrès : Utiliser des indicateurs pour suivre les progrès, mesurer l'efficacité et assurer une amélioration continue. Revoir et affiner régulièrement votre stratégie pour l'adapter à l'évolution des menaces et des besoins.
• Organiser une formation et une sensibilisation continues : Sensibiliser les employés aux risques liés à la cybersécurité et aux meilleures pratiques pour favoriser une culture de la sécurité.

Comment les petites entreprises peuvent-elles mettre en œuvre le NIST CSF 2.0 ?

Les entreprises qui n'ont pas de stratégie de cybersécurité peuvent commencer à mettre en œuvre le NIST CSF 2.0 à l'aide des modèles et des informations fournis par le NIST.

Le Guide de démarrage rapide pour les petites entreprises propose des suggestions pour chacune des six fonctions essentielles afin de guider les petites entreprises dans le processus de création d'une infrastructure de cybersécurité.

FAQ

1. Quelles sont les principales différences entre les normes NIST CSF 1.1 et 2.0 ? Le cadre de cybersécurité NIST 2.0 s'appuie sur la version 1.1 publiée en 2018. Le cadre NIST mis à jour a une orientation plus large pour s'appliquer à tous les secteurs, y compris de nouvelles lignes directrices du cadre pour la gouvernance.
2. Comment le NIST CSF 2.0 aide-t-il les organisations à répondre aux exigences réglementaires ? Le NIST CSF 2.0 aide les organisations à répondre aux exigences réglementaires en mettant en correspondance les pratiques de cybersécurité avec les réglementations, en se concentrant sur la gestion des risques et en encourageant l'amélioration continue. L'adaptabilité et l'approche structurée du cadre facilitent l'alignement sur les diverses normes réglementaires et garantissent la conformité.
3. Les petites entreprises peuvent-elles tirer profit de l'adoption du NIST CSF 2.0 ? Le cadre du NIST aide les petites entreprises à identifier et à atténuer les risques, à renforcer la confiance avec les clients et les partenaires, à répondre efficacement aux exigences réglementaires et à renforcer leur résilience face aux cybermenaces, sans nécessiter de ressources considérables.
4. Quelles sont les ressources disponibles pour aider à la mise en œuvre ? Le NIST fournit un catalogue consultable de références informatives qui permet aux utilisateurs de faire des références croisées entre les orientations du cadre et plus de 50 autres documents sur la cybersécurité. Le Outil de référence du CCA 2.0 simplifie la mise en œuvre du cadre par les organisations, en permettant aux utilisateurs de parcourir, de rechercher et d'exporter les données et les détails des orientations fondamentales du CCA dans des formats lisibles par l'homme et par la machine.
5. Comment la fonction "Gouverner" améliore-t-elle les efforts de mise en conformité ? La fonction supplémentaire de gouvernance du NIST CSF 2.0 renforce les efforts de conformité en établissant des rôles, des responsabilités et des processus clairs pour la gestion des risques de cybersécurité. En mettant en œuvre des stratégies de gouvernance, les organisations peuvent mieux s'aligner sur les exigences réglementaires et superviser les pratiques de cybersécurité.
6. Quel est le rôle de la veille sur les menaces en temps réel dans la mise en conformité ? Le cadre NIST CSF 2.0 permet aux organisations de faire face de manière proactive aux menaces et aux vulnérabilités en matière de cybersécurité en fournissant des informations actualisées. L'élaboration d'une stratégie de surveillance et de réponse aux risques en temps réel garantit la protection des données sensibles et le respect de la conformité.

Gérez vos risques de cybersécurité avec NIST CSF 2.0

Pour protéger les infrastructures critiques face à l'évolution des cybermenaces, les organisations doivent adopter une approche adaptative de leur dispositif de cybersécurité.

Le NIST CSF 2.0 représente une avancée essentielle dans les pratiques de cybersécurité, avec une approche flexible et proactive de la gestion des risques et de la mise en conformité. L'ajout de la fonction "Govern" permet aux entités de toutes tailles de renforcer leur position en matière de cybersécurité et de protéger leurs actifs critiques.

Assurer la conformité de la cybersécurité avec les solutions de CybelAngel

La plateforme EASM complète de CybelAngel peut surveiller et détecter les menaces dans l'ensemble de votre infrastructure informatique en temps réel.

Découvrez comment vous pouvez utiliser CybelAngel en conjonction avec le cadre NIST CSF 2.0 pour une couverture inégalée.