Alors que les entreprises s’appuient de plus en plus sur les systèmes numériques, la nécessité d’une sécurité renforcée est devenue évidente. Les cyberattaques sont de plus en plus fréquentes et de plus en plus sophistiquées. La mise en place d’une approche claire et globale de la gestion des risques de cybersécurité est donc désormais une priorité absolue pour la plupart des organisations. Mais à quoi ressemble cette approche ?
Contenu :
- Qu’est-ce que le référentiel de cybersécurité du NIST ?
- Pourquoi le référentiel de cybersécurité est-il important ?
- Six fonctions essentielles du cadre de cybersécurité du NIST
- Étapes de mise en œuvre du cadre du NIST
- Quelles sont les directives du NIST concernant les mots de passe ?
- Cadre de cybersécurité 800 63b du NIST
C’est là qu’intervient le National Institute of Standards and Technology (NIST), avec son cadre de cybersécurité. Voyons en détail ce qu’est le cadre de cybersécurité du NIST, pourquoi il est important et quelles sont les étapes à suivre pour limiter les risques de cybersécurité au sein d’une organisation.
Qu’est-ce que le référentiel de cybersécurité du NIST ?
Le cadre de cybersécurité (CSF) du NIST est un ensemble de lignes directrices, de normes et de bonnes pratiques élaborées par le National Institute of Standards and Technology (NIST) pour aider les organisations à comprendre, gérer et réduire les risques liés à la cybersécurité. Considérez-le comme une carte et une boussole pour votre programme de sécurité, qui fournit à votre équipe une approche structurée pour protéger les actifs critiques.
Avec la publication du CSF 2.0 en février 2024, le cadre a reçu sa mise à jour la plus importante depuis la version 1.1 : des recommandations plus précises et un champ d’application plus large.
Le changement le plus significatif du CSF 2.0 est peut-être l’élargissement considérable de son champ d’application. La version 1.1 était principalement destinée aux opérateurs d’infrastructures critiques. La version 2.0 a été rédigée pour tout le monde : petites et moyennes entreprises, grandes entreprises, organisations à but non lucratif et administrations, quel que soit leur niveau de maturité en matière de cybersécurité. Des années de retours d’expérience de la communauté et de commentaires du public ont façonné cette mise à jour, pour en faire l’une des ressources en matière de cybersécurité parmi les plus collaboratives disponibles aujourd’hui.
Pourquoi le référentiel de cybersécurité est-il important ?
Le cadre de cybersécurité du NIST est important pour plusieurs raisons :
Premièrement, il permet une conception commune de ce qu’est la cybersécurité et de la manière dont elle peut être gérée. C’est essentiel pour les organisations qui souhaitent évaluer leur propre cybersécurité et identifier les domaines à améliorer.
Ensuite, le cadre propose une approche structurée et flexible de la cybersécurité qui peut être adaptée aux besoins spécifiques de chaque organisation, ce qui leur permet de prioriser leurs démarches et de se concentrer sur les risques les plus importants.
Enfin, le cadre soutient la conformité en fournissant une approche de sécurité de base qui aide les organisations à respecter les réglementations et normes en vigueur, notamment celles relatives à la confidentialité et à la protection des données.
Six fonctions essentielles du cadre de cybersécurité du NIST
Le noyau du cadre de cybersécurité du NIST se compose de 6 fonctions qui se combinent pour aider les organisations à gérer et à réduire les risques en matière de cybersécurité. Avec la publication du CSF 2.0, une sixième fonction, « Gouverner » est venue s’ajouter aux 5 fonctions initiales, plaçant les décisions en matière de cybersécurité dans le contexte plus large de la direction et de la stratégie de l’organisation :
Gouverner. Cette fonction est au cœur du cadre et détermine la manière dont une organisation met en œuvre les 5 autres fonctions. Elle fait de la cybersécurité une priorité au plus haut niveau de la direction en définissant les rôles, les responsabilités et les obligations de rendre compte au sein de l’ensemble de l’organisation. La fonction Gouverner couvre la stratégie de gestion des risques de sécurité, les attentes en matière de supervision par la direction et de reporting au niveau du conseil d’administration, la tolérance organisationnelle au risque et la gestion des risques de la chaîne d’approvisionnement en matière de cybersécurité (C-SCRM) qui traite des risques liés aux tiers et aux fournisseurs.
Identifier. La première fonction du cadre de cybersécurité du NIST porte sur la connaissance, puisqu’il s’agit de comprendre les actifs, les systèmes et les données de l’organisation, ainsi que les menaces et les vulnérabilités qui pourraient les affecter. Cette compréhension implique d’évaluer les risques, de cartographier les actifs et les systèmes critiques de l’organisation et d’identifier les types de données à protéger.
Protéger. Il s’agit de définir des lignes directrices pour la mise en œuvre de contrôles de sécurité et d’autres mesures visant à protéger les actifs, les systèmes et les données de l’organisation contre diverses cybermenaces. Cette fonction du cadre de cybersécurité du NIST se concentre sur la mise en œuvre de pare-feu et de contrôles d’accès, ainsi que sur la protection contre l’ingénierie sociale et d’autres types d’attaques.
Détecter. La fonction Détecter définit les approches appropriées pour identifier les cybermenaces et les incidents et y répondre rapidement. Cela implique le déploiement de systèmes de détection des intrusions.
Répondre. La quatrième fonction du cadre de cybersécurité du NIST concerne la réponse aux cybermenaces et aux incidents. Elle définit des lignes directrices visant à minimiser l’incidence d’un cyberincident et à garantir la continuité des opérations de l’organisation.
Récupérer. La dernière fonction du cadre de cybersécurité du NIST se concentre sur la récupération suite aux cybermenaces et aux incidents, en veillant à ce que l’organisation soit en mesure de reprendre ses activités normales aussi rapidement que possible. Cela comprend la planification de la sauvegarde et de la récupération, les tests des plans de récupération, ainsi que la création et la gestion de plans de continuité des activités.
Étapes de mise en œuvre du cadre du NIST
Initialement défini dans le CSF 1.1 du NIST, le cadre de cybersécurité décrit 7 étapes de mise en œuvre qui guident les organisations, de la définition de la portée à l’élaboration d’un plan d’action concret pour renforcer leur gestion des risques de cybersécurité. Le CSF 2.0 recentre la mise en œuvre sur les profils et les niveaux, mais les étapes ci-dessous restent un point de départ pratique.
Définir les priorités et la portée. Définir les objectifs métier, identifier les systèmes et les actifs concernés, et décider quelles parties de l’organisation seront couvertes en premier lieu par le cadre.
Orienter. Identifier les menaces, les vulnérabilités et les exigences réglementaires connexes qui s’appliquent aux systèmes et aux ressources que vous avez inclus dans la portée.
Créer un profil actuel. Associer vos pratiques de cybersécurité existantes au cadre afin d’établir une base de votre situation actuelle.
Réaliser une évaluation des risques. Évaluer la probabilité et l’impact potentiel des événements de cybersécurité sur vos systèmes, en tenant compte de l’environnement actuel en matière de menaces.
Créer un profil cible. Définir les résultats souhaités en matière de cybersécurité pour votre organisation, en fonction des besoins de l’entreprise, de la tolérance au risque et des exigences du secteur.
Identifier et prioriser les lacunes. Comparer votre profil actuel à votre profil cible pour identifier les lacunes, puis les prioriser en fonction du risque, du coût et de l’impact sur l’activité.
Mettre en œuvre un plan d’action. Élaborer un plan concret et lui affecter les ressources nécessaires pour combler les lacunes prioritaires, attribuez les responsabilités, fixez les échéances et suivez les progrès au fil du temps.
Qui a dit que la sécurité des entreprises devait être compliquée ?
Protégez votre entreprise contre les cybermenaces sans sacrifier la commodité
Quelles sont les directives du NIST concernant les mots de passe ?
Le cadre de cybersécurité du NIST est facultatif pour les entreprises privées. Pour les agences fédérales américaines, le décret 13800 (2017) a rendu l’adoption du CSF obligatoire, tandis que des obligations distinctes en vertu de la FISMA et du NIST SP 800-53 régissent des contrôles de sécurité fédéraux plus larges. Son influence continue également de s’étendre au-delà du secteur public : les assureurs en cybersécurité et les fournisseurs des entreprises considèrent la conformité au CSF 2.0 du NIST comme une exigence de base pour la souscription et les évaluations des risques liés aux fournisseurs.
L’un des domaines abordés directement par le cadre est la sécurité des mots de passe, et à juste titre. Les mots de passe faibles ou réutilisés restent une cause majeure dans les fuites de données. Les directives du NIST en matière de gestion des mots de passe, publiées sous la référence SP 800-63B-3 et mises à jour régulièrement, sont largement considérées comme l’une des normes les plus pertinentes sur la manière dont les organisations doivent gérer la création, le stockage et l’utilisation des mots de passe. Ces directives couvrent plusieurs domaines de la gestion des mots de passe :
Composition du mot de passe. La norme NIST SP 800-63B Rév. 4 s’éloigne des règles de composition traditionnelles : l’obligation d’utiliser un mélange de lettres majuscules et minuscules, de chiffres et de caractères spéciaux ne doit pas être imposée. La complexité imposée tend à produire des schémas prévisibles (par exemple, « MotDePasse1! » devient « MotDePasse2! ») sans vraiment améliorer la sécurité. Au lieu de cela, le NIST privilégie la longueur des mots de passe et encourage l’utilisation de longues phrases secrètes, tout en autorisant l’ensemble des caractères imprimables, y compris les espaces et les caractères Unicode, pour plus de flexibilité.
Longueur du mot de passe. Le NIST fixe un minimum de 8 caractères pour les mots de passe choisis par les utilisateurs et un minimum de 15 caractères lorsqu’un mot de passe constitue le seul facteur d’authentification. Les systèmes doivent autoriser des mots de passe d’au moins 64 caractères, et le NIST encourage activement l’utilisation de longues phrases secrètes pour une protection renforcée.
Stockage du mot de passe. Les mots de passe doivent être stockés dans un format haché et salé afin de limiter le risque d’accès non autorisé. Le NIST recommande également d’associer les identifiants stockés à une authentification multifacteur afin d’ajouter une deuxième couche de protection.
Vieillissement du mot de passe. C’est un domaine dans lequel le NIST a changé de position. Les directives mises à jour déconseillent d’imposer des changements de mots de passe réguliers, sauf s’il existe des preuves de compromission. La rotation obligatoire amène souvent les utilisateurs à apporter des modifications mineures et prévisibles (comme changer « MotDePasse1 » en « MotDePasse2 »), ce qui affaiblit la sécurité au lieu de la renforcer.
Réutilisation des mots de passe. Le NIST déconseille fortement d’utiliser le même mot de passe pour plusieurs comptes. Les attaques par bourrage d’identifiants, dans lesquelles les pirates utilisent des identifiants volés lors d’une fuite pour les tester sur d’autres services, font de la réutilisation des mots de passe l’un des moyens les plus courants d’obtenir un accès non autorisé.
Cadre de cybersécurité 800 63b du NIST
Le SP 800-63B du NIST, dont la dernière mise à jour correspond à la révision 4 publiée en 2025, fournit des orientations supplémentaires sur l’authentification et la gestion des identités numériques. De cette manière, les organisations peuvent gérer les identités numériques de manière sûre et efficace.
Pour se conformer au NIST 800-63B, les organisations doivent :
Mettre en œuvre des méthodes d’authentification forte, telles que l’authentification multifacteur, pour protéger les identités numériques.
Évaluer et mettre à jour régulièrement les processus de gestion des identités pour les garder efficaces et à jour.
Former régulièrement les employés aux bonnes pratiques de gestion des identités, notamment la sécurité des mots de passe et les tactiques d’ingénierie sociale.
NIST 800-53 : Définition et conseils de mise en conformité
SP 800-53, un catalogue complet de plus de 1 000 contrôles de sécurité et de protection de la confidentialité, organisés en 20 familles de contrôles, est un autre ensemble de contrôles faisant partie du cadre du NIST. Celui-ci couvre tous les aspects allant du contrôle d’accès à la réponse aux incidents en passant par la confidentialité.
Pour se conformer au NIST 800-53, les organisations doivent mettre en œuvre les contrôles de sécurité adaptés décrits dans le document et procéder régulièrement à des évaluations et à des audits pour s’assurer de l’efficacité de ces contrôles. Voici quelques conseils pour faciliter la mise en conformité avec le NIST 800-53 :
Évaluer régulièrement les systèmes et les réseaux afin d’identifier les vulnérabilités et les points à améliorer.
Mettre en place des contrôles d’accès stricts, tels que l’authentification multifacteur, afin de protéger les informations et les systèmes sensibles.
Élaborer et mettre en place un plan de réponse en cas d’incident, le vérifier et le mettre à jour régulièrement pour s’assurer de son efficacité.
Former régulièrement les employés aux bonnes pratiques de la cybersécurité, notamment la sécurité des mots de passe et les tactiques d’ingénierie sociale.
NordPass Business et la conformité au cadre de cybersécurité du NIST
Avec autant de directives et de recommandations à suivre, rester en conformité peut sembler être une cible mouvante. En ce qui concerne la gestion des mots de passe, NordPass Business peut aider les organisations à respecter les aspects de ces réglementations qui concernent les mots de passe.
Côté gouvernance, le CSF 2.0 du NIST attend des organisations qu’elles considèrent la cybersécurité comme une priorité au niveau de la direction (GV.RM/GV.PO), ce qui inclut la manière dont les identifiants sont gérés dans l’ensemble de l’entreprise. NordPass Business offre aux administrateurs informatiques un contrôle centralisé des politiques de mots de passe, depuis les règles de longueur et de complexité minimales jusqu’à leur application à l’échelle de l’organisation, le tout à partir d’un tableau de bord unique. De plus, les journaux d’activité peuvent être exportés vers des plateformes SIEM telles que Splunk ou Microsoft Sentinel, offrant aux équipes de sécurité une visibilité totale sur les événements liés aux identifiants et sur le type de surveillance continue requis par la fonction Gouverner.
C’est dans la fonction Protéger du CSF 2.0 du NIST (PR.AA/PR.DS) que les choses deviennent concrètes. NordPass Business met en place plusieurs couches de défense concernant la manière dont les identifiants sont créés, stockés et utilisés :
Application de la MFA. Les administrateurs peuvent exiger l’authentification multifacteur à l’échelle de l’entreprise, conformément à la recommandation du SP 800-63B du NIST relative aux contrôles d’accès à plusieurs niveaux.
Prise en charge des clés d’accès. NordPass prend en charge les clés d’accès, la méthode d’authentification résistante au phishing que les nouvelles recommandations du NIST privilégient par rapport aux mots de passe traditionnels.
Chiffrement à connaissance nulle. Chaque identifiant stocké est protégé par le chiffrement xChaCha20 dans le cadre d’une architecture à connaissance nulle. Personne, y compris NordPass, ne peut accéder au contenu de votre coffre-fort.
Saisie automatique résistante au phishing. La saisie automatique ne renseigne les identifiants que sur les domaines vérifiés, ce qui empêche les employés de communiquer leurs mots de passe à des sites usurpés ou malveillants.
Surveillance de la qualité des identifiants. La fonction Qualité des mots de passe signale les identifiants faibles, réutilisés et obsolètes dans l’ensemble de l’organisation, afin que les vulnérabilités soient détectées avant d’être exploitées.
Tout cela correspond directement aux nouvelles orientations du SP 800-63B du NIST : des phrases secrètes plus longues plutôt que des règles de complexité arbitraires, les clés d’accès comme méthode d’authentification privilégiée et pas de rotation forcée des mots de passe, sauf en cas de suspicion de violation. NordPass Business s’appuie sur ces mêmes principes. Il génère des identifiants forts et à entropie élevée, prend en charge nativement les clés d’accès et n’impose jamais de réinitialisations inutiles.
Au-delà du NIST, NordPass Business aide les organisations à se conformer à un ensemble de cadres de sécurité et de conformité. Vous pouvez en savoir plus sur la manière dont NordPass se conforme à des normes telles que ISO 27001.