Lorsque vous cherchez à protéger votre organisation contre les cyberattaques, vous constaterez qu'il existe plusieurs cadres pour le faire.
Cela peut s'avérer un peu compliqué et il n'est pas toujours évident de déterminer d'emblée lequel convient le mieux aux besoins de votre organisation.
Dans cet article, nous comparerons la norme ISO 27001 et le cadre de cybersécurité du NIST (CSF) pour vous aider à déterminer exactement cela.
Commençons par examiner chacun des cadres individuellement.
Qu'est-ce que le cadre de cybersécurité du NIST ?
L'Institut national des normes et de la technologie (NIST) est une agence américaine anciennement connue sous le nom de National Bureau of Standards.
Sur son site web, le NIST propose une infographie qui définit clairement le CSF (Cyber Security Framework), une norme volontaire que les organisations peuvent utiliser pour gérer leurs risques en matière de cybersécurité.
Les systèmes d'infrastructures critiques deviennent de plus en plus complexes, mais aussi de plus en plus vulnérables.
Lorsqu'ils sont menacés, ces systèmes peuvent entraîner non seulement des risques financiers, mais aussi des risques pour la réputation des organisations, en particulier des organisations naissantes qui n'ont pas encore mis en place de cadres de sécurité solides.
Le NISC a été chargé de renforcer la résilience des infrastructures critiques par la loi sur la cybersécurité de 2014.
Le CCA est le résultat de l'identification par le NIST :
"Une approche hiérarchisée, souple, reproductible, axée sur les résultats et rentable. Y compris les mesures et les contrôles de sécurité de l'information qui peuvent être adoptés volontairement par les propriétaires et les exploitants d'infrastructures critiques pour les aider à identifier, évaluer et gérer les cyber-risques".
À quoi sert le NIST CSF ?
Le NIST CSF aide les entreprises à mieux gérer les risques liés à la cybersécurité. Il leur montre comment gérer et réduire les risques liés à l'infrastructure informatique en fournissant des lignes directrices sur la manière de détecter et de prévenir les cyberattaques et d'y répondre.
Le CCA n'étant pas un cadre certifiable comme la norme ISO 27001, il peut être plus difficile de prouver aux clients que votre entreprise a mis en place des mesures pour protéger leurs données.
Cinq fonctions du CSF du NIST
Selon le rapport du NIST documentation officielleLe cadre permet aux organisations de :
- Décrire leur position actuelle en matière de cybersécurité.
- Décrire leur état cible en matière de cybersécurité.
- Identifier et hiérarchiser les possibilités d'amélioration dans le cadre d'un processus continu et reproductible.
- Évaluer les progrès accomplis en vue de la réalisation de l'état cible.
- Communiquer avec les parties prenantes internes et externes sur les risques liés à la cybersécurité.
Qu'est-ce que la norme ISO 27001 ?
ISO 27001 est une norme internationale pour la gestion de la sécurité de l'information. Elle fournit aux entreprises un cadre à suivre pour garantir l'efficacité de leurs systèmes de sécurité de l'information. La norme ISO 27001 se compose de 11 clauses, dont 7 sont des exigences obligatoires.
Les contrôles de la norme ISO 27001 portent sur 14 domaines. Il s'agit des domaines suivants
- Politiques de sécurité de l'information
- Organisation de la sécurité de l'information
- Ressources humaines Sécurité
- Gestion des actifs
- Contrôle d'accès
- Cryptographie
- Sécurité physique et environnementale
- Sécurité opérationnelle
- Sécurité des communications
- Acquisition, développement et maintenance des systèmes
- Relations avec les fournisseurs
- Gestion des incidents de sécurité de l'information
- Aspects de la sécurité de l'information dans la gestion de la continuité des activités
- Conformité
Data Guard fournit une guide aux contrôles de l'annexe A de l'ISO, un ensemble de contrôles de la sécurité de l'information que vous pouvez sélectionner en fonction du champ d'application de votre organisation.
À quoi sert la norme ISO 27001 ?
La norme ISO 27001 fournit aux entreprises un cadre à suivre pour garantir l'efficacité de leurs systèmes de sécurité de l'information (ISMS).
Il s'agit d'une norme volontaire, mais de nombreuses entreprises choisissent de l'adopter afin de démontrer leur engagement en matière de sécurité de l'information.
Les entreprises reçoivent un certificat à la fin de leur parcours ISO 27001, qui peut être utilisé pour prouver aux clients que leurs données sont sûres et sécurisées.
C'est l'une des principales différences entre la norme ISO 27001 et le cadre de cybersécurité du NIST.
Les similitudes entre ISO 27001 et le cadre de cybersécurité du NIST
Les objectifs de la norme ISO 27001 et du NIST CSF sont presque identiques : garantir la confidentialité, l'intégrité, la disponibilité et la sécurité.
Mais les similitudes ne s'arrêtent pas là.
La mise en œuvre de l'un ou l'autre de ces cadres fondés sur le risque nécessiterait l'adhésion et le soutien de la direction générale. Les deux cadres doivent également être maintenus en place une fois mis en œuvre.
La bonne nouvelle, c'est qu'ils sont facilement intégrables, car ils ont plusieurs principes en commun, par exemple l'identification des risques, la mise en œuvre des contrôles et le suivi des performances.
Les différences entre la norme ISO 27001 et le cadre de cybersécurité du NIST
Le NIST CSF est essentiellement un cadre de sécurité volontaire et non certifiable, tandis que la norme ISO 27001, bien que volontaire elle aussi, exige un audit indépendant pour garantir la conformité et obtenir une certification.
Nombreux sont ceux qui affirment que les entreprises moins matures, telles que les start-ups, peuvent utiliser le NIST CSF et passer ensuite à la norme ISO 27001, bien qu'il soit possible de mettre en œuvre les deux. Ce tableau donne un aperçu des différences entre la norme ISO 27001 et le NIST CSF.
| NIST CSF | ISO 27001 | |
| Le cadre | 5 Fonctions 23 Catégories | 11 Sections 1 Annexe |
| Certifiable | Non | Oui |
| Documents obligatoires | Aucune spécification | Officieusement : – Champ d'application du SMSI - Politique et objectifs en matière de sécurité de l'information - Méthodologie d'évaluation et de traitement des risques - Déclaration d'applicabilité - Plan de traitement des risques - Rapport d'évaluation des risques - Définition des rôles et responsabilités en matière de sécurité - Inventaire des actifs - Utilisation acceptable des actifs - Politique de contrôle d'accès - Procédures opérationnelles pour la gestion des technologies de l'information - Principes d'ingénierie des systèmes sécurisés - Politique de sécurité des fournisseurs - Procédure de gestion des incidents - Procédures de continuité des activités - Exigences statutaires, réglementaires et contractuelles Consultez l'article que nous avons écrit sur le Documents obligatoires pour ISO 27001. |
| Coût | Gratuit | Variable. Nécessite des dépenses pour les modèles, la documentation, les audits et la certification. +/- €50.000 |
Sécurité des risques
Selon le NIST, le "risque" est défini comme suit :
"Une mesure de la mesure dans laquelle une entité est menacée par une circonstance ou un événement potentiel, et typiquement une fonction de : (i) les impacts négatifs qui surviendraient si la circonstance ou l'événement se produisait ; et (ii) la probabilité de survenance".
Risque sécuritéElle consiste donc en toutes les mesures prises pour contrer ces menaces et englobe également la gestion des risques.
La gestion des risques est au cœur des cadres NIST et ISO. Ils ont chacun leur propre langage commun qui permet aux parties prenantes de comprendre et d'identifier les risques et la manière de les traiter.
Le NIST a été créé pour aider les agences fédérales américaines à gérer leurs risques, tandis que l'ISO est utilisé au niveau international pour guider les organisations dans l'établissement et le maintien d'un SGSI (système de gestion de la sécurité de l'information).
Processus de certification
Le NIST n'a pas de certificat officiel, il n'y a donc pas de processus de certification.
Toutefois, selon Babbage Simmel, le NIST fournit une ligne directrice en sept étapes pour la mise en place de nouveaux programmes de sécurité ou l'amélioration des programmes existants.
Les sept étapes sont les suivantes :
- Établir des priorités et délimiter le champ d'application
- Orient
- Créer un profil actuel
- Procéder à une évaluation des risques
- Créer un profil cible
- Déterminer, analyser et hiérarchiser les lacunes
- Mise en œuvre du plan d'action
Le processus de certification de la norme ISO 27001 est un peu plus compliqué.
Selon le Kolide:
"La certification ISO 27001 est un processus en plusieurs étapes, qui nécessite beaucoup de travail avant qu'un auditeur n'intervienne.
Elle présente ensuite une infographie simplifiée de la procédure :
Comment comparer les coûts du cadre de cybersécurité Iso 27001 et Nist ?
Le NIST CSF n'entraînant aucun coût, il convient mieux aux entreprises en phase de démarrage ou à celles qui ne disposent que d'un faible budget pour la sécurité.
En raison de la nature évolutive des cyberattaques, l'allocation d'un budget à la mise en œuvre d'un système de gestion de la sécurité de l'information est certainement un élément à prendre en considération.
Bien entendu, le coût réel dépend de la manière dont vous abordez la mise en œuvre de la norme ISO 27001. Il s'agit d'un processus en plusieurs étapes et il y a des variables permettant différents degrés d'implication de parties externes, ce qui signifie que les coûts peuvent varier de manière significative.
Globalement, il faut compter entre 40 000 et 60 000 euros pour l'ensemble du processus, de la préparation à l'entretien.
L'ISO est-elle meilleure que le NIST ?
La norme ISO convient mieux aux grandes organisations, à celles qui disposent d'un budget pour les cadres de sécurité et/ou à celles qui ont besoin que leurs clients les prennent plus au sérieux en matière de protection des données et de cybersécurité.
Le NIST est suffisant pour les débutants et constitue une bonne première étape dans la compréhension et la mise en œuvre d'un cadre de sécurité dans votre entreprise.
Iso 27001 vs Nist cybersecurity framework : Lequel est le meilleur pour votre entreprise ?
Si votre entreprise est nouvelle ou si vous disposez d'un faible budget, le NIST sera probablement plus utile à votre organisation, mais si vous avez pris de l'ampleur ou si vous disposez d'un bon budget pour la cybersécurité, l'ISO 27001 est certainement préférable.
Le fait de pouvoir présenter un certificat à vos interlocuteurs peut s'avérer très utile lors de présentations ou pour conserver des clients existants.
Conformité allégée : simplifier l'ISO 27001
Le choix de la norme ISO 27001 sera rentable à long terme.
Cela ne signifie pas que vous compliquerez votre processus de sécurité. En fait, simplifier ISO 27001 est ce que nous faisons le mieux chez Compleye. Découvrez commentEn adoptant une approche allégée de la conformité à la norme ISO 27001, nous rendons la conformité (presque) amusante.
D'ailleurs, si vous souhaitez en savoir plus sur les la comparaison entre ISO 27001 et SOC 2Nous avons également écrit sur ce sujet.
