NIST Cybersecurity Framework (CSF 2.0)

Définition

Le NIST Cybersecurity Framework (CSF) est un cadre de référence volontaire publié par le National Institute of Standards and Technology, agence du département du Commerce américain. Il structure la gestion du risque cyber en un langage commun, indépendant de toute technologie ou secteur d'activité. Créé en 2014 en réponse au décret présidentiel 13636 visant les infrastructures critiques, il a été révisé en 2018 (v1.1) puis profondément remanié le 26 février 2024 avec la version CSF 2.0.

Cette version 2.0 marque deux ruptures majeures : l'élargissement du périmètre à toutes les organisations — et plus seulement aux infrastructures critiques américaines — et l'ajout d'une sixième fonction, Gouverner, qui place la responsabilité cyber au niveau de la direction générale et non plus des seules équipes techniques.

Les six fonctions du Core

Le cœur du framework (CSF Core) organise 22 catégories et 106 sous-catégories réparties en six fonctions :

• Gouverner (GV) — Définir la stratégie, les rôles, les responsabilités, la politique de gestion du risque, la surveillance de la chaîne d'approvisionnement et les attentes réglementaires. Cette fonction transversale conditionne les cinq autres.
• Identifier (ID) — Cartographier les actifs, les données, les fournisseurs, les vulnérabilités et les risques métier associés.
• Protéger (PR) — Mettre en œuvre les mesures de réduction du risque : gestion des identités et des accès, sensibilisation, sécurité des données, résilience des plateformes.
• Détecter (DE) — Repérer les événements anormaux et les compromissions potentielles via la supervision continue et l'analyse des signaux.
• Répondre (RS) — Piloter le traitement d'un incident : analyse, confinement, éradication, communication interne et externe.
• Récupérer (RC) — Restaurer les actifs et les services affectés, puis communiquer sur le retour à la normale.

Chaque sous-catégorie porte un identifiant normalisé — par exemple PR.AA-05 pour la gestion des droits d'accès selon le principe du moindre privilège, ou GV.SC-04 pour la classification criticité des fournisseurs. Ces identifiants servent de clés de traçabilité dans les audits et les plans de remédiation.

Fonctionnement : profils et niveaux

Le CSF n'est pas une checklist mais une méthode d'écart. Sa mécanique repose sur trois composants complémentaires :

• Les profils (Profiles) — On établit un profil actuel décrivant les pratiques réellement en place, puis un profil cible traduisant les objectifs métier, les obligations réglementaires et l'appétence au risque. L'écart entre les deux devient un plan d'action priorisé et chiffrable.
• Les niveaux d'implémentation (Tiers 1 à 4) — Partiel, Informé du risque, Reproductible, Adaptatif. En CSF 2.0, ces niveaux qualifient la rigueur de la gouvernance du risque, pas le score de maturité technique. Un Tier 4 n'est pas un objectif universel : une PME peut légitimement viser Tier 2.
• Les références informatives — Chaque sous-catégorie renvoie vers des référentiels détaillés (NIST SP 800-53, CIS Controls, ISO/IEC 27001, COBIT), consultables via le CSF 2.0 Reference Tool et les mappings OLIR du NIST.

NIST publie également des Community Profiles sectoriels (santé, maritime, IoT, gestion des ransomwares) et des Quick Start Guides destinés aux petites structures.

Exemples concrets

Une ETI industrielle victime d'un ransomware découvre après l'incident que ses sauvegardes étaient accessibles depuis le domaine Active Directory compromis. En rejouant le CSF, l'écart se lit immédiatement : PR.DS-11 (sauvegardes protégées) et RC.RP-01 (plan de restauration testé) sont en défaut. Le profil cible impose alors des sauvegardes immuables hors domaine et un exercice de restauration semestriel.

Autre cas : un éditeur SaaS souhaite répondre aux questionnaires sécurité de ses clients grands comptes. Plutôt que de démarrer une certification longue, il construit un profil CSF, mappe ses réponses sur les identifiants de sous-catégories et fournit une matrice d'écarts datée. Ce livrable, lisible par un acheteur comme par un RSSI, accélère sensiblement les cycles de vente.

Liens avec les autres référentiels

Le CSF est un cadre d'organisation, pas un référentiel certifiant : aucune certification NIST CSF n'existe officiellement. Il se combine donc naturellement avec :

• ISO/IEC 27001 — Le CSF structure la démarche et la communication ; l'ISO 27001 apporte le SMSI certifiable et l'Annexe A. Les mappings NIST vers l'ISO 27001:2022 sont publics.
• NIS 2 — Les exigences de l'article 21 (analyse de risque, gestion d'incidents, continuité, sécurité de la chaîne d'approvisionnement) se projettent sans difficulté sur les fonctions GV, ID, RS et RC.
• DORA et le secteur financier — Le CSF sert souvent de socle unifiant les exigences TIC.
• EBIOS Risk Manager — La méthode ANSSI alimente l'analyse de risque nourrissant le profil cible ; les deux sont complémentaires plutôt que concurrents.
• MITRE ATT&CK — Utilisé pour instrumenter concrètement la fonction Détecter et mesurer la couverture de détection.

Bonnes pratiques de mise en œuvre

• Commencer par la fonction Gouverner : sans mandat de la direction ni appétence au risque formalisée, le reste dérive vers une simple liste technique.
• Ne pas viser les 106 sous-catégories d'emblée. Sélectionner un sous-ensemble aligné sur les scénarios de risque prioritaires.
• Traduire les niveaux en indicateurs mesurables (taux de couverture EDR, délai moyen de correctif, RTO/RPO testés) plutôt qu'en scores déclaratifs.
• Réévaluer le profil au moins annuellement et après tout incident significatif ou changement d'architecture majeur.
• Intégrer explicitement la chaîne d'approvisionnement (catégorie GV.SC), point d'entrée d'une part croissante des compromissions.