Un référentiel est un modèle structuré et reconnu qu'une organisation utilise pour organiser et guider son programme de sécurité. Les référentiels fournissent un vocabulaire commun, un ensemble de catégories et un corpus de bonnes pratiques accepté, de sorte que les équipes n'ont pas à inventer une approche de toutes pièces et peuvent se comparer à des attentes largement admises.
Au sein de la gouvernance stratégique, les référentiels fixent le cap et fournissent la charpente sur laquelle reposent les politiques, les contrôles et les évaluations. Ils donnent à la direction une structure cohérente pour décider de ce que le programme doit couvrir et un point de référence pour mesurer la maturité et l'exhaustivité au fil du temps.
Il est utile de distinguer deux types liés. Les référentiels de contrôle, tels qu'ISO/IEC 27001 avec ISO/IEC 27002 et NIST SP 800-53, énumèrent des garanties précises qu'une organisation peut mettre en œuvre. Les référentiels de risque, tels que NIST SP 800-39, décrivent comment identifier, apprécier et traiter le risque afin que les choix de contrôles soient guidés par l'exposition réelle. Les référentiels de gouvernance comme COBIT, de l'ISACA, relient la sécurité aux objectifs plus larges de l'entreprise. Le NIST Cybersecurity Framework propose des fonctions orientées résultats que de nombreuses organisations utilisent pour organiser l'ensemble du programme.
Les référentiels sont importants car ils apportent structure, cohérence et crédibilité. En choisir un qui correspond à la taille, au secteur et aux obligations de l'organisation, et l'appliquer avec discernement plutôt que mécaniquement, est ce qui transforme un référentiel en amélioration réelle.
Références#
- NIST Cybersecurity Framework (CSF).
- ISO/IEC 27001, Systèmes de management de la sécurité de l'information.