Familles de contrôles NIST 800-53

Définition

Les familles de contrôles NIST 800-53 désignent les vingt catégories thématiques selon lesquelles la publication spéciale 800-53 du National Institute of Standards and Technology organise son catalogue exhaustif de contrôles de sécurité et de protection de la vie privée applicables aux systèmes d'information des agences fédérales américaines et, plus largement, à toute organisation cherchant un référentiel de contrôles particulièrement détaillé. Ces familles couvrent des domaines tels que le contrôle d'accès, la sensibilisation et la formation, l'audit et la responsabilisation, la gestion de la configuration, la planification de la continuité, l'identification et l'authentification, la réponse aux incidents, la maintenance, la protection des supports, la sécurité physique et environnementale, la planification, la gestion du personnel, l'évaluation des risques, l'acquisition de systèmes et de services, ainsi que la protection de la vie privée, intégrée comme famille à part entière depuis la révision 5 de la norme. Chaque famille regroupe un ensemble de contrôles précis, eux-mêmes déclinés en plusieurs améliorations optionnelles permettant de renforcer le niveau de garantie selon la criticité du système concerné. Cette granularité, nettement supérieure à celle de l'annexe A de l'ISO 27001, explique le recours fréquent à ce catalogue par les grandes organisations américaines et par certains référentiels sectoriels s'en inspirant directement pour construire leurs propres exigences détaillées.