Le cadre de cybersécurité du NIST
En 2014, l’Institut national des normes et des technologies (NIST) du ministère américain du Commerce a élaboré l’un des documents d’orientation les plus importants en matière de cybersécurité, intitulé « Cadre de cybersécurité du NIST » ( ). Ce cadre sert de référence commune aux entreprises de tous les secteurs afin de mieux évaluer les risques et de renforcer la sécurité et la résilience des infrastructures critiques. Ce cadre propose aux organisations des secteurs privé et public un ensemble de normes sectorielles facultatives et de bonnes pratiques destinées à faciliter la gestion des risques. En moins de trois ans, plus de 30 % de l'ensemble des organisations américaines ont adopté le cadre ou une partie de celui-ci. D'ici 2020, ce chiffre devrait passer à 50 %.
Au début du mois, j'ai eu l'occasion d'évoquer ce cadre de référence et les meilleures pratiques pour sa mise en œuvre lors du sommet sur la cybersécurité organisé par l' , le « Billington Cybersecurity Summit » , à Washington, DC, aux côtés d'un groupe impressionnant de dirigeants du secteur :
- Jeff Snyder, vice-président chargé des programmes de cybersécurité chez Raytheon Corporation
- Contre-amiral (à la retraite) Michael Brown, vice-président et directeur général, Secteur public mondial, RSA
- Donna Dodson, conseillère en chef en cybersécurité au NIST et directrice du NCCOE au NIST
- Ryan Gillis, vice-président chargé de la stratégie en matière de cybersécurité et de la politique mondiale chez Palo Alto Networks
- Terry Rice, vice-président et responsable de la sécurité des systèmes d'information (CISO) chez Merck
Renforcer la cybersécurité du pays
Le cadre du NIST a été élaboré en réponse à un décret présidentiel intitulé « » ( ), signé par le président Barack Obama, qui appelait à la mise en place d’un cadre visant à améliorer la cybersécurité des infrastructures critiques de notre pays. Ce qui était initialement destiné aux politiques publiques s'est transformé en une solution d'entreprise à plus grande échelle, grâce à laquelle toute organisation peut non seulement utiliser « The Framework », mais aussi l'assimiler de manière concrète. L'adoption de ce cadre a connu un tel succès pour quatre raisons :
- C'est une solution flexible. Ce cadre n'est pas un modèle « universel ». Les organisations peuvent l'adapter à leurs besoins spécifiques, l'intégrer à leurs politiques de cybersécurité existantes et le compléter par des recommandations spécifiques à leur secteur, telles que le « Guide de mise en œuvre du cadre de cybersécurité du secteur de la santé ».
- Il offre une « » de langage commun. Enfin, il existe un moyen pour tous les membres d'une organisation, de la salle des serveurs à la salle du conseil d'administration, de communiquer clairement sur les risques d'une manière compréhensible par tous. Cela permet ainsi aux acheteurs et aux fournisseurs d'indiquer leurs processus de cybersécurité actuels ou souhaités.
- Cela aide les organisations à hiérarchiser leurs investissements en matière d' de cybersécurité. En identifiant les activités informatiques essentielles à la mission, ce cadre permet de cibler les principales menaces et d'optimiser ainsi chaque dollar dépensé dans le domaine informatique.
- C'est réaliste. Ce document reconnaît que des violations de données sont inévitables et fournit des conseils pour les détecter, y faire face et rétablir la situation le plus rapidement possible.
Ce mois-ci, le NIST a publié un supplément au guide intitulé « Baldrige Cybersecurity Excellence Builder » ( , BCEB), un outil d'auto-évaluation que les organisations peuvent utiliser pour mesurer plus efficacement leurs efforts en matière de cybersécurité. Il est important de noter que l'adoption du Cadre ou du BCEB ne signifie pas pour autant qu'une organisation se conforme aux réglementations fédérales, régionales ou sectorielles. Il s'agit plutôt de lignes directrices facultatives que les organisations peuvent adopter et adapter à leurs besoins spécifiques.
Le NIST a mis à profit sa capacité à rassembler les acteurs du secteur privé et les organismes publics afin d'élaborer une approche volontaire, souple et fondée sur les risques en matière de cybersécurité. Afin de rendre ce cadre encore plus utile, nous, acteurs du monde des affaires et de la sécurité, devons partager entre nous et avec les pouvoirs publics les enseignements que nous en avons tirés. Si votre organisation n'utilise pas encore ce cadre de référence, soyez l'acteur du changement pour aider 30 % à atteindre 50 %.
À propos de l'auteur : Ralph Kahn est vice-président chargé des affaires fédérales chez Tanium. À ce poste, il répond aux besoins du gouvernement américain en matière de connaissance de la situation en temps réel à grande échelle. Ralph compte plus de 25 ans d'expérience dans le secteur des technologies. Auparavant, Ralph occupait le poste de vice-président chargé d'Intel et des technologies émergentes chez McAfee, où il était chargé de diriger un groupe de technologies de pointe chargé de mener des recherches prospectives dans le domaine de la cybersécurité. Sous sa direction, ce groupe a découvert plusieurs nouveaux vecteurs de menaces et a mis au point un modèle de partage d'informations et d'interaction entre les systèmes de cybersécurité qui est aujourd'hui au cœur des produits McAfee et qui est en cours d'extension afin d'intégrer d'autres produits de cybersécurité.
