Partie 1 — Comprendre le NIST CSF 2.0
Origine, philosophie et architecture du framework le plus adopté au monde
Qu'est-ce que le NIST CSF 2.0 — et pourquoi il n'est pas ISO 27001
Le NIST Cybersecurity Framework (CSF) est publié par le National Institute of Standards and Technology (NIST), agence fédérale américaine. La version 2.0, publiée en février 2024, est la première mise à jour majeure depuis la version 1.1 (2018).
Ce qu'il est important de comprendre dès le départ : le NIST CSF est un framework de communication et de gestion des risques, pas une norme de conformité. Il n'est pas certifiant — aucun organisme n'émet de certificat "NIST CSF". C'est sa force autant que sa limite.
| Critère | NIST CSF 2.0 | ISO 27001:2022 |
|---|---|---|
| Certification | Non certifiant (auto-évaluation) | Certifiable par organisme accrédité |
| Contrainte | Volontaire — chaque organisation adapte | Exigences obligatoires pour la certification |
| Secteur | Tous secteurs, toutes tailles | Tous secteurs, mais processus lourd pour PME |
| Origine | Américain, adopté mondialement | International (ISO/IEC) |
| Complexité | Langage accessible, structure intuitive | Technique, nécessite une expertise |
| Coût | Gratuit (framework public) | Achat de la norme + coût de certification |
| Valeur marché | Référence de communication | Preuve de conformité pour clients/assureurs |
Le CSF 2.0 a étendu son audience : initialement conçu pour les infrastructures critiques américaines, il est maintenant explicitement conçu pour toutes les organisations, incluant les PME, les ONG et les organisations gouvernementales. Plus de 50 pays ont adopté ou traduit le framework.
Les 6 fonctions du NIST CSF 2.0 — architecture du framework
Le NIST CSF 2.0 s'organise autour de 6 fonctions (contre 5 en version 1.1). Chaque fonction est divisée en catégories (22 au total) et en sous-catégories (106 au total). Les fonctions ne sont pas un workflow séquentiel — elles fonctionnent en parallèle et se renforcent mutuellement.
La structure hiérarchique du CSF est : Fonction → Catégorie → Sous-catégorie → Références informatives. Par exemple : PROTECT → Gestion des accès (PR.AA) → PR.AA-01 : Les identités et les accréditations des utilisateurs, services et matériels sont gérées. Les références informatives font le lien avec d'autres standards (ISO 27001, CIS Controls, NIST SP 800-53).
GOVERN — La grande nouveauté du CSF 2.0
La fonction GOVERN est la nouvelle addition du CSF 2.0. Son introduction reconnaît que la cybersécurité est fondamentalement une question de gouvernance organisationnelle, pas seulement une question technique. GOVERN donne le "pourquoi" et la "direction" à toutes les autres fonctions.
Les 6 catégories de GOVERN :
- GV.OC — Contexte organisationnel : la mission, les parties prenantes, les exigences légales et réglementaires, les risques de la chaîne de valeur
- GV.RM — Stratégie de gestion des risques : l'appétit pour le risque, les priorités, la tolérance, les ressources allouées à la cybersécurité
- GV.RR — Rôles, responsabilités et autorités : qui fait quoi, qui décide, chaîne de responsabilité jusqu'au conseil d'administration
- GV.PO — Politique de cybersécurité : politiques formalisées, approbation par la direction, révision régulière
- GV.OV — Supervision : comment la direction surveille l'efficacité du programme de cybersécurité
- GV.SC — Gestion des risques de la chaîne d'approvisionnement : évaluation des tiers, clauses contractuelles, surveillance continue des fournisseurs
La catégorie GV.SC (chaîne d'approvisionnement) est particulièrement importante dans CSF 2.0. Après des incidents majeurs comme SolarWinds (2020) et Kaseya (2021), le NIST a considérablement renforcé les exigences sur la gestion des risques tiers. Pour les PME, cela signifie : évaluer la sécurité de vos fournisseurs SaaS, hébergeurs cloud, prestataires IT.
Pour chaque question, notez votre organisation sur 1-5 (1 = inexistant, 5 = exemplaire) :
- La direction a défini et approuvé une politique de cybersécurité documentée
- Les rôles et responsabilités cybersécurité sont attribués et compris par les intéressés
- Un budget cybersécurité est alloué et suivi
- L'appétit pour le risque cyber est défini et documenté
- Les risques liés aux fournisseurs clés sont évalués au minimum annuellement
Score 20-25 : GOVERN mature. 12-19 : axes d'amélioration identifiés. <12 : priorité de gouvernance à adresser en premier.
Partie 2 — Les 5 fonctions opérationnelles en détail
IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER — ce que chaque fonction couvre concrètement
IDENTIFY — La fondation : savoir ce qu'on protège
La fonction IDENTIFY est la fondation sur laquelle toutes les autres s'appuient. Sans inventaire des actifs et compréhension des risques, il est impossible de prioriser les investissements en sécurité. C'est aussi la fonction la plus souvent sous-investie.
Les 3 catégories d'IDENTIFY dans CSF 2.0 :
- ID.AM — Gestion des actifs : inventaire des équipements physiques et logiciels, des données, des services cloud, des fournisseurs critiques. Les actifs non inventoriés ne peuvent pas être protégés.
- ID.RA — Évaluation des risques : identification des menaces et vulnérabilités, évaluation de l'impact et de la vraisemblance, priorisation des risques, intégration des informations sur les menaces (threat intelligence).
- ID.IM — Amélioration : nouveau dans CSF 2.0. Inclut les leçons tirées des incidents passés, des exercices de simulation, des audits — pour améliorer continuellement l'identification des risques.
Pour une PME, les actions concrètes IDENTIFY prioritaires :
- Inventaire de tous les équipements (physiques et virtuels) — outil recommandé : Lansweeper, OCS Inventory, ou même un tableau Excel tenu à jour
- Cartographie de toutes les données sensibles — où sont-elles stockées, traitées, transmises ?
- Identification des 5-10 fournisseurs les plus critiques (ceux dont l'indisponibilité bloquerait l'activité)
- Analyse de risques simplifiée couvrant au moins les scénarios : ransomware, phishing compromettant un compte admin, perte du fournisseur cloud principal
PROTECT & DETECT — Réduire la surface d'attaque et voir ce qui passe
La fonction PROTECT couvre tous les contrôles préventifs — ce qu'on fait pour rendre une attaque plus difficile ou moins probable. Les 5 catégories :
- PR.AA — Gestion des identités et des accès : authentification forte (MFA), principe du moindre privilège, revue des accès, gestion des comptes à privilèges (PAM)
- PR.AT — Sensibilisation et formation : formation régulière des employés, simulations de phishing, sensibilisation aux rôles à risque élevé
- PR.DS — Sécurité des données : chiffrement au repos et en transit, classification des données, gestion du cycle de vie, sauvegardes
- PR.PS — Sécurité des plateformes : configuration sécurisée des systèmes (hardening), gestion des correctifs (patch management), intégrité des logiciels
- PR.IR — Résilience de l'infrastructure : redondance, continuité d'activité, capacité à maintenir les services essentiels
La fonction DETECT couvre la surveillance continue pour identifier les évènements de sécurité. Deux catégories :
- DE.CM — Surveillance continue : monitoring du réseau, des endpoints, des accès, des activités inhabituelles. Outils : SIEM, EDR, IDS, journaux d'audit.
- DE.AE — Analyse des évènements : corréler les alertes, distinguer les faux positifs des vrais incidents, établir des seuils et des règles de détection.
| Action | Catégorie | Coût estimé | Impact |
|---|---|---|---|
| MFA sur tous les comptes Microsoft 365 / Google Workspace | PR.AA | Inclus dans abonnement | Critique |
| Formation phishing annuelle + 2 simulations | PR.AT | 500-2 000 $ | Élevé |
| Sauvegardes 3-2-1 testées mensuellement | PR.DS | 500-1 500 $/an | Critique |
| Mises à jour automatiques activées (Windows, navigateurs, antivirus) | PR.PS | Gratuit | Élevé |
| EDR (Endpoint Detection & Response) sur tous les postes | DE.CM | 3-8 $/poste/mois | Élevé |
| Audit des comptes admin (supprimer les comptes inutiles) | PR.AA | Gratuit (temps interne) | Élevé |
RESPOND & RECOVER — La résilience face à l'inévitable
La question n'est plus "si" un incident surviendra, mais "quand". Les fonctions RESPOND et RECOVER déterminent la capacité réelle d'une organisation à survivre à un incident.
RESPOND couvre la réponse immédiate à un incident détecté :
- RS.MA — Gestion de la réponse : plan de réponse aux incidents activé, rôles clairs (qui fait quoi), escalade, communication
- RS.AN — Analyse de l'incident : investigation, attribution, étendue de la compromission
- RS.CO — Communication : qui informer ? Clients ? Régulateurs (CAI pour Loi 25) ? Assureurs ? Médias ? Définir à l'avance, pas pendant la crise
- RS.MI — Atténuation : contenir l'incident, arrêter la propagation, éliminer la menace
RECOVER couvre le retour à la normale :
- RC.RP — Planification du rétablissement : RTO (Recovery Time Objective) et RPO (Recovery Point Objective) définis pour chaque système critique
- RC.CO — Communication post-incident : informer les parties prenantes, gérer la réputation
La métrique clé est le MTTD/MTTR (Mean Time to Detect / Mean Time to Recover). Des études montrent que le MTTD moyen est de 194 jours pour les violations non détectées — soit 6 mois pendant lesquels un attaquant peut extraire des données. Investir dans DETECT réduit directement ce chiffre.
Scénario tabletop : "Il est 9h un lundi matin. Un employé vous appelle : son ordinateur affiche un message de ransomware et il ne peut plus ouvrir ses fichiers."
- Qui est le premier à appeler ? (le plan de réponse identifie-t-il un numéro de crise ?)
- Quel est le premier geste technique ? (isoler le poste du réseau)
- Qui prend la décision d'arrêter les serveurs partagés ?
- Avez-vous une sauvegarde hors ligne testée dans les 30 derniers jours ?
- Faut-il notifier la CAI ? Dans quel délai ?
Si vous ne pouvez pas répondre immédiatement à ces 5 questions, votre RESPOND est à Tier 1.
Partie 3 — Tiers et Profils : mesurer et planifier
Les outils du CSF pour évaluer sa maturité et définir ses objectifs
Les 4 Tiers de maturité — où êtes-vous ?
Les Tiers du NIST CSF décrivent le niveau de maturité des pratiques de cybersécurité d'une organisation. Ils ne sont pas des niveaux de certification, mais des outils d'auto-évaluation qui permettent de situer sa posture actuelle et de définir des objectifs d'amélioration.
Le NIST ne recommande pas que toutes les organisations visent le Tier 4. Le niveau cible doit être proportionnel aux risques, aux ressources et aux exigences des parties prenantes. Pour la plupart des PME, le Tier 3 est une cible ambitieuse mais réaliste sur 2-3 ans.
Profil courant et profil cible — l'analyse de l'écart
Un Profil CSF est la description de l'état de cybersécurité d'une organisation à un moment donné. Le CSF 2.0 utilise deux profils :
L'analyse de l'écart (gap analysis) entre profil courant et profil cible génère naturellement une feuille de route de sécurité priorisée. Les gaps dans les fonctions à fort impact (ex : DETECT à Tier 1 alors que la cible est Tier 3) deviennent des projets avec budget et responsables.
| Fonction | Tier courant | Tier cible | Écart | Action prioritaire |
|---|---|---|---|---|
| GOVERN | 1 | 3 | -2 | Politique de sécurité + rôles formalisés |
| IDENTIFY | 2 | 3 | -1 | Compléter l'inventaire des actifs et l'analyse de risques |
| PROTECT | 2 | 3 | -1 | Généraliser MFA, sauvegardes testées |
| DETECT | 1 | 3 | -2 | Déployer EDR, journalisation centralisée |
| RESPOND | 1 | 2 | -1 | Plan de réponse aux incidents documenté |
| RECOVER | 2 | 3 | -1 | RTO/RPO définis, test de restauration annuel |
Le profil cible est dynamique. Il doit être révisé si : l'organisation acquiert de nouvelles lignes de business, un incident majeur change la perception du risque, des exigences réglementaires évoluent (Loi 25, contrats clients), ou le paysage des menaces change significativement.
Partie 4 — Mise en pratique et cas d'usage
Utiliser le NIST CSF comme outil de gestion, pas seulement de conformité
TransportQuébec Express — adopter le NIST CSF pour structurer sa sécurité en 12 mois
Contexte : Suite à un incident ransomware mineur (cryptage de 3 postes administratifs, récupération sous 72h grâce aux sauvegardes), la direction décide de structurer la cybersécurité avec un référentiel. Le DSI recommande le NIST CSF 2.0 : pas de certification requise par les partenaires, plus accessible qu'ISO 27001, et adapté à communiquer avec les élus et administrateurs non-techniques.
Évaluation initiale — profil courant (février 2025) :
- GOVERN : Tier 1 — aucune politique formalisée, responsabilités floues
- IDENTIFY : Tier 2 — inventaire partiel, analyse de risques jamais réalisée formellement
- PROTECT : Tier 2 — MFA déployé sur 60% des comptes seulement, sauvegardes présentes mais non testées
- DETECT : Tier 1 — logs Windows non centralisés, pas d'alertes automatiques
- RESPOND : Tier 1 — plan de réponse inexistant, réaction improvisée lors de l'incident
- RECOVER : Tier 2 — sauvegardes OK mais RTO/RPO non définis
Profil cible (défini avec le conseil d'administration) : Tier 3 sur toutes les fonctions dans les 18 mois. Budget approuvé : 85 000 $ sur 2 ans (incluant consultant, outils et formation).
Actions réalisées en 12 mois (résultats à février 2026) :
- GOVERN : Politique de cybersécurité approuvée par le CA, RSSI nommé (DSI à 40% + consultant 2 j/mois), comité sécurité trimestriel institué, 8 fournisseurs critiques évalués
- IDENTIFY : Inventaire complet (347 équipements), analyse de risques formelle avec 28 risques identifiés dont 5 critiques
- PROTECT : MFA à 100%, sauvegardes testées mensuellement, formation phishing (taux de clic réduit de 34% à 8%), correctifs automatiques sur postes
- DETECT : SIEM basique (Wazuh open source), EDR déployé sur tous les postes, alertes automatiques sur 12 scénarios clés
- RESPOND : Plan de réponse aux incidents rédigé et testé (tabletop exercise en novembre), liste de contacts d'urgence, contrat avec consultant DFIR pour support en cas d'incident majeur
- RECOVER : RTO défini à 4h pour les systèmes critiques, RPO à 24h, test de restauration complet réalisé
Leçons tirées :
- Le NIST CSF a permis de présenter la feuille de route au CA en 15 minutes — le langage des 6 fonctions est accessible aux non-techniciens.
- Commencer par GOVERN avant PROTECT a été contre-intuitif mais payant : avoir l'appui formel de la direction a facilité le budget et la mobilisation des équipes.
- La gap analysis a révélé que DETECT était le point le plus critique — c'est là que l'organisation était la plus aveugle.
- Le NIST CSF est gratuit et les guides de mise en pratique pour PME sont disponibles sur le site nist.gov — très complet.
NIST CSF 2.0 et les autres référentiels — intégration et chevauchements
Le NIST CSF 2.0 est conçu pour coexister avec d'autres référentiels. Il ne prétend pas remplacer ISO 27001, CIS Controls ou RGPD — il fournit un cadre d'organisation au-dessus de ces référentiels.
| Fonction CSF | ISO 27001:2022 | CIS Controls v8 | Loi 25 |
|---|---|---|---|
| GOVERN | Clauses 4, 5, 6 (contexte, leadership, planification) | CIS 17 (gestion du programme) | Responsable de la protection, politiques |
| IDENTIFY | Clauses 6.1 (analyse de risques), 4.1-4.2 | CIS 1-2 (inventaire actifs) | EFVP, cartographie des RP |
| PROTECT | Contrôles Annexe A (organisationnels, personnes, tech.) | CIS 3-16 (protections techniques) | Mesures de sécurité proportionnées |
| DETECT | Contrôle 8.16 (surveillance), 8.15 (journalisation) | CIS 8 (logs), CIS 13 (surveillance réseau) | Détection des incidents impliquant des RP |
| RESPOND | Contrôles 5.24-5.28 (gestion des incidents) | CIS 17 (réponse aux incidents) | Notification CAI dans les 72h |
| RECOVER | Contrôle 5.29-5.30 (continuité, préparation TIC) | CIS 11 (sauvegardes) | Reprise des activités traitant des RP |
Stratégie recommandée pour une PME québécoise :
- Démarrer avec le NIST CSF pour cartographier sa posture et prioriser — c'est gratuit, accessible et lisible par la direction.
- Utiliser les CIS Controls IG1 pour la liste d'actions concrètes à implémenter dans PROTECT et DETECT (voir module A10).
- Intégrer Loi 25 dans GOVERN (politique) et RESPOND (notification CAI) — voir module A08.
- Envisager ISO 27001 si des clients ou partenaires l'exigent formellement — le NIST CSF aura préparé 70% du terrain.
Le NIST CSF 2.0 est avant tout un outil de communication et de priorisation. Ses 6 fonctions donnent un langage commun entre les équipes techniques, la direction et les partenaires — c'est sa valeur principale, au-delà de la conformité.