Comprendre le cadre du NIST

Les entreprises sont soumises à différentes réglementations en matière de cybersécurité selon leur lieu d'implantation et leur secteur d'activité. Au sein de l'UE, elles sont généralement soumises à la directive NIS2. Les institutions financières sont quant à elles soumises à des normes telles que la directive DORA ou la norme PCI-DSS.

Les principaux obstacles auxquels se heurtent les entreprises pour améliorer leur cybersécurité sont une compréhension insuffisante des risques et le manque de ressources allouées à l'élaboration d'un programme de sécurité systématique et complet. L'achat d'un produit ne résout pas le problème ; la sécurité est un défi multidisciplinaire et doit être gérée en tant que tel.

En l'absence de réglementation directe, la meilleure pratique consiste pour les organisations à se conformer à des normes telles que celles de la CEI ou au cadre du NIST. En tenant compte des six fonctions du cadre de cybersécurité du National Institute of Standards and Technology (NIST), les entreprises peuvent se préparer aux incidents de cybersécurité et prendre les mesures appropriées pour y répondre.

IDENTIFIER - Acquérir une compréhension des risques de cybersécurité afin de faciliter leur identification.

L'objectif principal de la phase « Identifier » est de rendre « visibles » les actifs d'un réseau, tels que les systèmes et les périphériques réseau. Concrètement, cela implique de dresser un inventaire des actifs réseau couvrant les systèmes informatiques et les équipements utilisés.

PROTÉGER - Mettre en place des mesures de protection contre les cyberattaques.

L'objectif principal de la phase « Protéger » est de minimiser l'ampleur et la fréquence des incidents cybernétiques potentiels. Les exigences relatives à la mise en œuvre des mesures de protection nécessaires sont précisées. Un aspect particulièrement important est la « segmentation » des réseaux connectés au sein d'un réseau. La segmentation consiste à partitionner les systèmes informatiques en fonction de leur finalité et de leur criticité dans la conception du réseau.

DÉTECTER - Mettre en œuvre des mesures pour détecter les incidents cybernétiques à bord.

L'objectif principal de « Détecter » est de repérer les attaques. Concrètement, cela implique la surveillance du fonctionnement du réseau et la garantie de l'efficacité des fonctions de sécurité à bord. En fonctionnement normal, une vérification fonctionnelle périodique est effectuée, et en cas d'anomalies, des alarmes sont déclenchées pour permettre la détection précoce des cyberattaques ou autres menaces subies par le propriétaire de l'actif.

RÉAGIR - Mettre en place un protocole pour réagir aux cyberattaques détectées.

L'objectif principal de « Réagir » est d'étudier et de mettre en œuvre des moyens visant à minimiser l'impact des incidents cybernétiques détectés. Concrètement, cela nécessite l'élaboration d'un plan de réponse aux incidents précisant la manière de réagir aux incidents et d'agir conformément à ce plan.

RECOVER (RÉCUPÉRATION) - Adopter des procédures pour rétablir les capacités et/ou les services affectés par un incident cybernétique.

L'objectif principal de la phase « Récupération » est de rétablir un état opérationnel après une perturbation ou une défaillance causée par un incident cybernétique. En planifiant et en mettant en œuvre un plan de récupération conforme à ces exigences, les systèmes de gestion de la sécurité des informations (CBS) et les réseaux peuvent être rapidement restaurés. Dans le plan de récupération, les « rôles et procédures du personnel pour la récupération après un incident cybernétique » et la « gestion des sauvegardes, y compris la maintenance et les tests » doivent être élaborés sur la base de la politique cybernétique de l'entreprise.

GOUVERNANCE – Créer et maintenir des cadres et des processus de gouvernance pour gérer efficacement les risques de cybersécurité au sein d’une organisation.

Cela implique l'élaboration et l'application de politiques, de procédures et de mécanismes de contrôle visant à garantir que les initiatives en matière de cybersécurité s'alignent sur les objectifs commerciaux et respectent les normes réglementaires. Les activités clés comprennent la définition des rôles et des responsabilités, la mise en œuvre de cadres de gestion des risques, la réalisation d'évaluations régulières des risques cybernétiques et la promotion d'une culture de sensibilisation et de responsabilité en matière de cybersécurité dans l'ensemble de l'organisation.