Chapitre 8 — Frameworks NIST, ISO & Audits

Les frameworks de sécurité fournissent une structure pour gérer les risques. Ce module couvre NIST CSF, NIST SP 800-series, ISO 27001/27002 et les processus d'audit.

NIST Cybersecurity Framework (CSF)

Mémorisez ! NIST CSF = 5 fonctions : Identifier → Protéger → Détecter → Répondre → Récupérer. Mémo : "I Protect Defending Rapidly Recovering". CSF 2.0 (2024) ajoute une 6ème fonction : Gouverner.

Fonction	Objectif	Exemples
Identifier (ID)	Comprendre les actifs, risques, et contexte	Inventaire actifs, évaluation risques, politiques
Protéger (PR)	Contrôles de protection préventifs	IAM, formation, maintenance, chiffrement
Détecter (DE)	Identifier les événements de sécurité	SIEM, IDS, surveillance continue
Répondre (RS)	Réagir aux incidents détectés	Plan de réponse aux incidents, analyse, mitigation
Récupérer (RC)	Restaurer les opérations normales	BCP, DR, communication post-incident

Publications NIST SP 800

NIST SP 800-53 : Security and Privacy Controls — catalogue complet de contrôles de sécurité pour les systèmes d'information fédéraux. Base du framework RMF (Risk Management Framework).
NIST SP 800-171 : Protecting Controlled Unclassified Information — exigences de sécurité pour les contractants fédéraux.
NIST SP 800-63 : Digital Identity Guidelines — recommandations pour l'authentification, les mots de passe, et la gestion des identités. Favorise les passphrases longues sur la complexité.
NIST SP 800-61 : Computer Security Incident Handling Guide — guide de réponse aux incidents. 4 phases : Préparation → Détection/Analyse → Confinement/Éradication/Récupération → Post-incident.
NIST SP 800-30 : Guide for Conducting Risk Assessments — méthodologie d'évaluation des risques.
NIST RMF (Risk Management Framework) : processus en 7 étapes pour la gestion du risque : Préparer → Catégoriser → Sélectionner → Implémenter → Évaluer → Autoriser → Surveiller.

ISO 27001 & ISO 27002

ISO 27001 : norme internationale pour les Systèmes de Management de la Sécurité de l'Information (SMSI). Certification possible après audit. Exigences (Shall) : obligatoires pour la certification.
ISO 27002 : guide pratique des contrôles de sécurité. Complément à ISO 27001 — fournit les lignes directrices de mise en œuvre. Pas de certification ISO 27002 directe.
ISMS (Information Security Management System) : système de management qui utilise une approche PDCA (Plan-Do-Check-Act) pour améliorer continuellement la sécurité.
SOC 2 : rapport d'audit sur les contrôles de sécurité des prestataires de services. Basé sur les Trust Services Criteria (TSC) : Sécurité, Disponibilité, Intégrité, Confidentialité, Vie privée. SOC 2 Type I = point dans le temps. SOC 2 Type II = sur une période (6-12 mois).

Astuce Examen

ISO 27001 = certification que l'organisation a un SMSI (quoi). ISO 27002 = guide sur comment implémenter les contrôles (comment). Un fournisseur peut être "conforme ISO 27001" (certifié) mais "suit ISO 27002" sans certification. SOC 2 Type II est plus solide que Type I car il couvre une période de temps.

Audits de Sécurité

Audit interne : réalisé par l'équipe de sécurité ou audit interne de l'organisation. Objectif : vérifier la conformité aux politiques internes. Moins coûteux, mais moins objectif.
Audit externe : réalisé par un tiers indépendant. Nécessaire pour les certifications (ISO 27001, SOC 2). Plus objectif, plus coûteux.
Audit de conformité : vérifier que l'organisation respecte une réglementation (GDPR, HIPAA, PCI-DSS).
Évaluation de la configuration : vérifier que les systèmes respectent les baselines de sécurité (CIS Benchmarks, STIGs).
Revue de code : SAST (statique) ou DAST (dynamique) pour identifier les vulnérabilités dans les applications.
Attestation : déclaration formelle par laquelle une entité confirme la conformité. Peut être auto-attestée ou tierce partie.

Quiz — Frameworks & Audits

1. Les 5 fonctions du NIST CSF sont :

Planifier, Faire, Vérifier, Agir, Améliorer Identifier, Authentifier, Autoriser, Auditer, Répondre Identifier, Protéger, Détecter, Répondre, Récupérer Prévenir, Détecter, Analyser, Isoler, Récupérer

NIST CSF = Identify → Protect → Detect → Respond → Recover (IPD-RR). Mémo : chaque initiale dans l'ordre. CSF 2.0 (2024) ajoute Govern (Gouverner) comme 6ème fonction transversale. Ces fonctions ne sont pas séquentielles — elles sont exercées simultanément.

2. NIST SP 800-63 fournit des recommandations sur :

La gestion des incidents de sécurité L'identité numérique, l'authentification et les mots de passe Les contrôles de sécurité pour les systèmes fédéraux L'évaluation des risques

NIST SP 800-63 (Digital Identity Guidelines) = recommandations sur l'authentification. Favorise les passphrases longues (12+ caractères) sur la complexité forcée. Recommande contre les resets de mots de passe périodiques sans raison de compromission. Définit les niveaux d'assurance AAL1/AAL2/AAL3.

3. La différence entre ISO 27001 et ISO 27002 est :

ISO 27001 est gratuit, ISO 27002 est payant ISO 27002 est supérieur et remplace ISO 27001 ISO 27001 concerne le cloud, ISO 27002 concerne le réseau ISO 27001 définit les exigences du SMSI (certification possible) ; ISO 27002 fournit les lignes directrices de mise en œuvre des contrôles (pas de certification)

ISO 27001 = "quoi faire" (exigences, certification possible après audit). ISO 27002 = "comment le faire" (guide pratique des contrôles). Une organisation peut être certifiée ISO 27001 mais il n'existe pas de certification ISO 27002 à proprement parler.

4. Un rapport SOC 2 Type II diffère d'un rapport SOC 2 Type I en ce qu'il :

Évalue l'efficacité des contrôles sur une période (6-12 mois) plutôt qu'à un instant T Est réalisé par un auditeur interne plutôt qu'externe Couvre plus de Trust Service Criteria Est spécifique aux prestataires cloud

SOC 2 Type I = photographie à un instant T (les contrôles sont en place). Type II = film sur 6-12 mois (les contrôles fonctionnent effectivement). Type II est plus rigoureux et plus valorisé par les clients. Pour les prestataires SaaS/cloud, SOC 2 Type II est souvent exigé par les clients entreprise.

5. NIST SP 800-53 est principalement :

Un guide de réponse aux incidents Un framework de gestion des risques en 7 étapes Un catalogue complet de contrôles de sécurité pour les systèmes d'information Un standard d'authentification multifacteur

NIST SP 800-53 = "Security and Privacy Controls for Information Systems and Organizations". Catalogue exhaustif de contrôles organisés en familles (AC=Access Control, AU=Audit, CA=Assessment, CM=Configuration, etc.). Obligatoire pour les systèmes fédéraux US (FISMA). Très détaillé : des centaines de contrôles.

6. Le NIST RMF (Risk Management Framework) comprend combien d'étapes ?

5 étapes 7 étapes 4 étapes 6 étapes

NIST RMF = 7 étapes : 1-Préparer, 2-Catégoriser (FIPS 199), 3-Sélectionner les contrôles (SP 800-53), 4-Implémenter, 5-Évaluer, 6-Autoriser (ATO = Authority to Operate), 7-Surveiller. Processus cyclique pour la gestion continue du risque des systèmes d'information.

7. Un audit de sécurité externe est préférable à un audit interne principalement parce qu'il :

Est toujours moins coûteux Couvre plus de systèmes Prend moins de temps Fournit une évaluation indépendante et objective, nécessaire pour les certifications officielles

Audit externe = tiers indépendant = objectivité. Requis pour les certifications ISO 27001, SOC 2, PCI-DSS QSA. L'auditeur externe n'a pas de biais organisationnel et peut identifier des problèmes que l'équipe interne n'a pas voulu escalader. Plus coûteux mais plus crédible auprès des clients et régulateurs.

8. Dans le NIST CSF, la fonction "Récupérer" (Recover) inclut : La planification de la reprise, les améliorations post-incident, et les communications pendant la récupération La détection des incidents et la surveillance continue L'identification des actifs et des risques L'implémentation des contrôles de protection

Recover (Récupérer) = restaurer les opérations après un incident. Inclut : Recovery Planning (plans de reprise documentés), Improvements (leçons apprises pour améliorer les plans), Communications (informer les parties prenantes et le public). Correspond au BCP/DR en pratique.

9. L'approche PDCA (Plan-Do-Check-Act) est associée à : Le NIST CSF Le PCI-DSS ISO 27001 et son système de management SMSI SOC 2

PDCA = cycle d'amélioration continue de Deming. ISO 27001 l'applique au SMSI : Plan (définir les objectifs et processus), Do (implémenter), Check (surveiller et mesurer), Act (améliorer). Ce cycle itératif garantit que le SMSI s'améliore continuellement plutôt que d'être statique.

10. NIST SP 800-61 couvre : La gestion des identités numériques Le traitement des incidents de sécurité informatique (4 phases) Les contrôles de sécurité pour les systèmes cloud L'évaluation des risques et la sélection des contrôles

NIST SP 800-61 = Computer Security Incident Handling Guide. 4 phases : 1-Préparation (politiques, équipes, outils), 2-Détection & Analyse (identifier et comprendre l'incident), 3-Confinement, Éradication & Récupération, 4-Activités post-incident (rapport, leçons apprises). Standard de l'industrie pour la réponse aux incidents.