NIST CSF 2.0 expliqué aux PME : les six fonctions en clair

Un fabricant de pièces de Saint-Hyacinthe reçoit d'un client américain un questionnaire de sécurité de 60 questions, « aligné sur le NIST CSF ». Un mois plus tard, son courtier d'assurance utilise le même sigle. Le président appelle son fournisseur TI : « Est-ce qu'il faut se faire certifier NIST ? »

Non. Cette certification n'existe pas. Le NIST CSF est un cadre de référence volontaire, pas une norme qu'on affiche au mur. Bien utilisé, c'est pourtant l'un des outils les plus pratiques pour organiser la cybersécurité d'une PME et répondre à ces questionnaires sans improviser.

Voici l'essentiel de la version 2.0, en langage d'entreprise.

Le NIST CSF 2.0 en deux minutes

Le National Institute of Standards and Technology (NIST) est une agence fédérale américaine. Son cadre de cybersécurité, le CSF (Cybersecurity Framework), est paru en 2014 et a été révisé en 2018. Les premières versions visaient d'abord les infrastructures essentielles. La version 2.0, publiée en février 2024, s'adresse explicitement à toutes les organisations, quels que soient leur taille ou leur secteur.

Le cadre repose sur trois éléments :

• Le noyau : six fonctions, découpées en 22 catégories et 106 sous-catégories. Chaque sous-catégorie décrit un résultat à atteindre (« quoi »), pas une technologie à acheter (« comment »).
• Les profils : un profil actuel décrit où vous en êtes, un profil cible décrit où vous voulez aller. L'écart entre les deux devient votre plan d'action.
• Les niveaux (tiers) : de 1 (partiel) à 4 (adaptatif), ils décrivent la rigueur de votre gouvernance et de votre gestion des risques.

C'est ce caractère neutre qui explique sa popularité : il ne vous impose aucun produit et se traduit facilement en d'autres référentiels.

Les six fonctions, en clair

Dans le schéma officiel, Govern est placée au centre de la roue : elle encadre les cinq autres. Les fonctions ne sont pas des étapes à franchir une à une, mais des volets à faire progresser en parallèle.

Govern : la nouveauté qui change la conversation

Dans la version 1.1, la gouvernance était rangée dans Identify. La version 2.0 en fait une fonction à part entière, avec six catégories : le contexte de l'organisation, la stratégie de gestion des risques, les rôles et responsabilités, la politique, la supervision, et la gestion des risques de la chaîne d'approvisionnement.

Le message est clair : la cybersécurité est une responsabilité de direction, pas seulement un dossier du fournisseur TI. Pour notre fabricant de Saint-Hyacinthe, Govern pose des questions très concrètes :

• Qui approuve une exception, par exemple un accès à distance pour un technicien de machine ?
• Existe-t-il une politique de sécurité de l'information écrite, connue des employés ?
• La direction reçoit-elle un rapport, même d'une page, chaque trimestre ?
• Qui vérifie les accès et les pratiques des fournisseurs ? Notre article pour évaluer la sécurité de votre fournisseur TI donne les questions à poser.

Le guide de démarrage rapide pour petites entreprises

Avec la version 2.0, le NIST a publié une série de guides de démarrage rapide. Celui destiné aux petites entreprises (publication SP 1300) vise les organisations qui ont peu ou pas de plan de cybersécurité. Il existe en français. Le NIST précise qu'il introduit le cadre sans le remplacer.

Le guide consacre une page à chaque fonction, divisée en quatre parties :

1. Actions à envisager, regroupées selon trois temps : comprendre et évaluer, prioriser, communiquer. Chaque action renvoie à une sous-catégorie du cadre.
2. Pour commencer, qui approfondit un concept clé de la fonction.
3. Questions à se poser, pour la discussion entre la direction et ses conseillers.
4. Ressources connexes, surtout américaines.

Quelques exemples d'actions : évaluer si une assurance cyber convient à l'entreprise, évaluer les risques d'un fournisseur avant de l'engager, dresser l'inventaire du matériel, des logiciels et des services utilisés, et classer les données d'affaires par ordre de priorité. La page Govern inclut aussi des tableaux de planification à adapter. Pour les ressources, remplacez au besoin les références américaines par leurs équivalents canadiens, comme les guides du Centre canadien pour la cybersécurité.

NIST CSF, ISO 27001 ou CyberSécuritaire Canada ?

Ces référentiels ne sont pas en concurrence. Ils répondent à des besoins différents.

Le Centre canadien pour la cybersécurité recommande, pour les organisations qui en ont les moyens, un ensemble de contrôles équivalent au NIST CSF ou à ISO 27001. Il reconnaît toutefois que ce niveau dépasse les ressources de la plupart des PME canadiennes. C'est pourquoi il publie ses contrôles de base, sur lesquels repose CyberSécuritaire Canada.

Une approche réaliste : utilisez le NIST CSF comme carte, les contrôles de base comme premiers pas, puis visez une certification seulement si vos clients l'exigent. Notre comparaison ISO 27001 vs SOC 2 vous aidera à choisir le moment venu.

Démarrer en 30 jours : profil actuel et profil cible

• Télécharger le guide de démarrage rapide pour petites entreprises, en français
• Nommer la personne responsable de la démarche à la direction
• Dresser l'inventaire des postes, des comptes, des logiciels et des services infonuagiques
• Pour chacune des six fonctions, noter où vous en êtes : rien, partiel, en place
• Fixer un profil cible réaliste pour les 12 prochains mois
• Choisir les cinq écarts les plus importants et leur attribuer un responsable
• Présenter le plan à la direction, puis le revoir aux six mois

Si vous préférez un regard externe, un audit de cybersécurité peut servir de profil actuel, présenté selon les six fonctions du cadre. Vous aurez ainsi une base solide pour répondre au prochain questionnaire de client.