The revised NIST Cybersecurity Framework includes two key changes: expanded details on cyber supply chain risk management, and a new section on cybersecurity metrics and measurement. Tanium CSO David Damato explains why these updates matter for businesses, and where we see room for further improvement.
Le cadre de cybersécurité de l’Institut national des normes et des technologies (NIST), publié pour la première fois en 2014, a rencontré un vif succès tant auprès des entreprises que des administrations publiques, en grande partie grâce à son caractère volontaire, fondé sur les risques et non standardisé. En janvier 2017 , le cadre a fait l'objet de sa première mise à jour importante – et indispensable – . Les commentaires du public et devaient être soumis avant le 10 avril.
D'ici 2020, 50 %, toutes les organisations américaines utiliseront le cadre, prévoit le cabinet d'études Gartner. Les organisations utilisent ce référentiel pour évaluer leur niveau de cybersécurité, définir des objectifs et élaborer un programme de cybersécurité adapté à leurs risques spécifiques et à leurs objectifs stratégiques. La version révisée comporte deux modifications principales : des informations plus détaillées sur la gestion des risques liés à la chaîne d'approvisionnement numérique, ainsi qu'une nouvelle section consacrée aux indicateurs et à l'évaluation de la cybersécurité.
Cadre du NIST : prendre en compte la cybersécurité dans la gestion de la chaîne d'approvisionnement
Compte tenu de l'interdépendance de notre monde, il ne suffit plus aux organisations de se préoccuper uniquement de leur sécurité interne. Elles doivent être attentives à la sécurité tout au long de leur chaîne d'approvisionnement, car n'importe quel partenaire pourrait, à son insu, constituer un point d'entrée au sein de l'organisation. Le cadre actualisé offre aux organisations un vocabulaire commun leur permettant de communiquer leurs exigences en matière de cybersécurité aux acheteurs, aux fournisseurs et à leurs autres partenaires. Elles peuvent définir ces exigences par le biais de contrats, puis vérifier si celles-ci ont été respectées, le tout à l'aide d'un cadre commun fondé sur les risques.
On ne saurait sous-estimer l'importance d'intégrer la cybersécurité dans la gestion de la chaîne d'approvisionnement. De nombreuses entreprises et administrations publiques font appel à des dizaines, voire à des centaines de fournisseurs qui disposent souvent d'un accès étendu à leur réseau. Une agence fédérale souhaitant moderniser son système informatique, ou une entreprise à la recherche d'un fournisseur de services cloud, peut désormais définir ses besoins en matière de sécurité selon un format normalisé. Ce cadre constitue également une base commune pour de nombreuses autorités de régulation ; désormais qu'il prend en compte la gestion des risques liés à la chaîne d'approvisionnement, il gagne encore en efficacité.
Cadre du NIST : mise en place d'indicateurs de cybersécurité
La nouvelle section consacrée à l'évaluation de la cybersécurité revêt une importance encore plus grande ; elle était en effet notablement absente du projet initial. Si elle est menée correctement, l'évaluation de la cybersécurité constitue l'un des changements les plus significatifs que nous puissions mettre en œuvre pour améliorer la cybersécurité à grande échelle. Un ensemble commun d'indicateurs permettrait aux entreprises de tendre vers des objectifs communs et quantifiables. À terme, grâce à des mesures incitatives adaptées, ces indicateurs pourraient leur permettre d'évaluer leur niveau de risque par rapport à des organisations similaires. Cela ferait de la cyberassurance une option bien plus efficace qu'elle ne l'est actuellement, en permettant aux assureurs d'harmoniser les primes. Cela aiderait en outre le gouvernement à élaborer des politiques et des stratégies efficaces, étayées par des données concrètes.
Dans ce projet, les indicateurs sont définis de manière à inclure les « niveaux de mise en œuvre, les sous-catégories et les catégories ». Bien que ces éléments du cadre puissent être utilisés par les organisations pour prendre des décisions éclairées, celui-ci ne fournit toujours pas d'orientations sur la manière de mesurer les performances de manière standardisée ni d'évaluer l'efficacité des activités de cybersécurité.
Si la force de ce cadre réside dans le fait qu’il ne s’agit pas d’une solution universelle, il existe néanmoins certains indicateurs clés que toutes les organisations devraient connaître – ou, à tout le moins, s’efforcer de connaître –, tant pour leur planification interne que pour se comparer à leurs pairs. Le moment est venu pour le NIST de collaborer avec le secteur privé et les organismes publics afin de s'accorder sur ces indicateurs clés et de les publier, que ce soit dans le cadre du référentiel ou dans un document distinct.
Bien entendu, pour que ces indicateurs aient un sens, les organisations doivent s'appuyer sur des données actualisées provenant de systèmes d'enregistrement fiables et faisant autorité. Cela reste un défi pour de nombreuses organisations. Bien que le NIST reconnaisse que « l'exactitude et la précision des systèmes de mesure » influent sur la capacité des organisations à établir un lien entre la cybersécurité et les résultats commerciaux, ce point mérite d'être souligné. Un système d'enregistrement précis et actualisé constitue la base de tout effort de mesure.
Ce cadre a déjà aidé des organisations à jeter les bases nécessaires à la gestion des risques. Elle doit désormais s'attacher à appliquer cette même rigueur à l'évaluation des risques.
Pour en savoir plus, consultez le blog des dirigeants de Tanium :
- Pourquoi le service informatique ne parvient pas à garantir une bonne hygiène de sécurité
- Les trois étapes de l'hygiène de sécurité : l'évaluation
- Les trois étapes de l'hygiène de sécurité : cadre de référence
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensic, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
