Le cadre de cybersécurité révisé du NIST comprend deux modifications clés : des détails plus détaillés sur la gestion des risques de la chaîne d’approvisionnement cybernétique et une nouvelle section sur les mesures et mesures de cybersécurité. David Damato, directeur de la sécurité chez Tanium, explique pourquoi ces mises à jour sont importantes pour les entreprises et où nous voyons de la place pour une amélioration supplémentaire.
Le cadre de cybersécurité du National Institute of Standards and Technology (NIST), publié pour la première fois en 2014, est devenu très populaire auprès des entreprises et des agences gouvernementales, en grande partie en raison de sa nature volontaire, basée sur les risques et non universelle. Dans janvier 2017 le cadre, a reçu sa première mise à jour importante et indispensable, et les commentaires du public étaient dus 10 avril.
D’ici 2020, 50 % de toutes les organisations américaines utiliseront le Framework, prédit la société de recherche Gartner. Les organisations utilisent le cadre pour évaluer leur posture en matière de cybersécurité, définir des objectifs et développer un programme de cybersécurité aligné sur leurs risques et objectifs commerciaux uniques. La version révisée comprend deux modifications clés : des détails plus approfondis sur la gestion des risques de la chaîne d’approvisionnement cybernétique et une nouvelle section sur les mesures et mesures de cybersécurité.
Cadre NIST : aborder la cybersécurité dans la gestion de la chaîne d’approvisionnement
Étant donné la nature interconnectée de notre monde, il n’est plus suffisant que les organisations soient responsables uniquement de leur sécurité interne. Ils doivent être conscients de la sécurité sur l’ensemble de leur chaîne d’approvisionnement, car tout partenaire pourrait sans le savoir offrir un point d’entrée dans l’organisation. Le cadre mis à jour donne aux organisations un vocabulaire commun pour communiquer les exigences de cybersécurité aux acheteurs, fournisseurs et autres partenaires. Ils peuvent promulguer ces exigences par le biais de contrats, puis vérifier si elles ont été satisfaites, le tout à l’aide d’un cadre commun basé sur les risques.
Il est difficile de sous-estimer l’importance d’intégrer la cybersécurité dans la gestion de la chaîne d’approvisionnement. De nombreuses entreprises et organisations gouvernementales concluent des contrats avec des dizaines et même des centaines de fournisseurs qui ont souvent un accès étendu à leur réseau. Une agence fédérale cherchant à mettre à niveau son informatique, ou une entreprise recherchant un fournisseur de cloud, peut désormais indiquer ses besoins de sécurité de manière standardisée. Le cadre est également une base commune pour de nombreuses agences réglementaires ; maintenant qu’il prend en compte la gestion des risques de la chaîne d’approvisionnement, il devient encore plus efficace.
Cadre du NIST : établir des mesures de cybersécurité
Encore plus important est la nouvelle section sur la mesure de la cybersécurité, qui manquait notablement à la version originale. S’il est bien fait, mesurer la cybersécurité est l’un des changements les plus significatifs que nous pouvons apporter pour améliorer la cybersécurité à grande échelle. Un ensemble commun de mesures permettrait aux entreprises de travailler vers des cibles quantifiables communes. Finalement, avec les bonnes incitations, ces mesures pourraient leur permettre d’évaluer leur risque par rapport à des organisations similaires. Cela ferait de la cyber-assurance une option beaucoup plus efficace qu’aujourd’hui en permettant aux assureurs de normaliser les primes. Et cela aiderait le gouvernement à créer des politiques et des stratégies efficaces soutenues par des données réelles.
Dans cette ébauche, les mesures sont définies pour inclure les « Niveaux, sous-catégories et catégories de mise en œuvre ». Bien que ces composants du cadre puissent être utilisés par les organisations pour prendre des décisions éclairées, le cadre manque toujours de conseils sur la manière de mesurer les performances de manière standardisée ou d’évaluer l’efficacité des activités de cybersécurité.
Bien que la force du cadre provienne du fait qu’il ne s’agit pas d’une solution unique, il existe toujours certains indicateurs de base que toutes les organisations doivent connaître, ou, du moins, s’efforcer de savoir, à la fois pour la planification interne et la comparaison entre les pairs. Il est temps pour le NIST de travailler avec les agences industrielles et gouvernementales pour convenir de ces mesures de base et les publier, que ce soit dans le cadre ou dans un document distinct.
Bien sûr, pour que ces mesures soient significatives, les organisations doivent exploiter des données en temps opportun provenant de systèmes d’enregistrement fiables et faisant autorité. Cela reste un défi pour de nombreuses organisations. Bien que le NIST reconnaisse que « l’exactitude et la précision des systèmes de mesure » affectent la capacité des organisations à corréler la cybersécurité avec les résultats commerciaux, ce point doit être souligné. Un système d’enregistrement précis et opportun est fondamental pour tous les efforts de mesure.
Le cadre a déjà aidé les organisations à établir une base pour gérer les risques. Il doit maintenant se concentrer sur l’application de cette même rigueur à la mesure des risques.
Pour en savoir plus, consultez le blog exécutif de Tanium :
- Pourquoi l’informatique échoue en matière d’hygiène de sécurité
- Les trois étapes de l’hygiène de sécurité : l’évaluation
- Les trois étapes de l’hygiène de la sécurité : Framework
À propos de l’auteur : en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour la Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, les opérations de sécurité et l’architecture réseau et sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.
