Qu’est-ce que le NIST CSF 2.0 ?

Aperçu

Le NIST CSF 2.0 est un cadre volontaire de cybersécurité publié par le National Institute of Standards and Technology en février 2024 afin de fournir une approche structurée et fondée sur les risques pour la gestion de la posture de sécurité. Il établit un langage commun pour les organisations de toute taille ou de tout secteur afin d’identifier les cybermenaces, de s’en protéger et d’y répondre.

Aux cinq principaux piliers d’un programme de cybersécurité efficace, le NIST a désormais ajouté une sixième fonction, « Gouverner », qui souligne que la cybersécurité constitue une source majeure de risques pour l’entreprise et doit être prise en compte par la direction.

Crédit : N. Hanacek/NIST

Comprendre le NIST CSF 2.0

Pour comprendre le NIST CSF 2.0, les organisations doivent le considérer comme un outil de communication flexible plutôt que comme une liste rigide de cases de conformité à cocher. Initialement conçu pour les infrastructures critiques, le cadre de cybersécurité 2.0 du NIST a été étendu à toutes les organisations, notamment aux petites entreprises, aux associations à but non lucratif et aux organismes publics. Cette portée universelle permet à toute entité d’utiliser le cadre du NIST afin d’améliorer la sécurité de ses applications et sa résilience opérationnelle.

La mise à jour CSF 2.0 constitue la première refonte majeure depuis la version 1.1 de 2018. Elle reflète un paysage des menaces devenu plus complexe, dans lequel la gestion des risques de cybersécurité doit relever de la responsabilité de l’ensemble de l’entreprise. L’une des caractéristiques déterminantes de cette nouvelle version est l’importance accordée à la fonction « Gouverner », placée au centre du cadre afin de superviser les cinq autres fonctions : Identifier, Protéger, Détecter, Réagir et Restaurer. Ce changement structurel souligne que la sécurité n’est pas seulement un défi technique, mais une exigence fondamentale de l’entreprise.

Bien que le cadre de cybersécurité du NIST reste facultatif pour le secteur privé, il devient de plus en plus la norme de facto pour le commerce mondial. Le cadre est fréquemment mentionné dans les exigences relatives aux marchés publics, lors de la souscription d’une cyberassurance et dans le cadre de l’alignement réglementaire sur des normes à haut niveau d’assurance telles que PCI DSS et CMMC. Les organisations qui adoptent le cadre constatent souvent qu’il leur est plus facile de démontrer leur maturité en matière de sécurité aux parties prenantes et aux membres de leur conseil d’administration.

Au-delà des normes principalement axées sur les États-Unis, comme PCI DSS et CMMC, le CSF 2.0 s’aligne directement sur les exigences réglementaires internationales. Les organisations présentes à l’échelle mondiale utilisent ce cadre pour mettre en place la gouvernance des risques exigée dans le cadre de l’application de la directive NIS 2 et pour se préparer aux réglementations à venir, notamment à l’échéance de septembre 2026 fixée par le règlement européen sur la cyberrésilience (CRA) pour la notification des vulnérabilités.

Quels sont les avantages du NIST CSF 2.0 ?

La mise en œuvre du cadre du NIST fournit une méthodologie normalisée pour communiquer les risques aux équipes techniques comme non techniques. En utilisant un vocabulaire commun, les ingénieurs DevOps et les dirigeants peuvent s’aligner sur les priorités d’investissement et la tolérance au risque. Cet alignement est essentiel à la gestion moderne des risques de cybersécurité, dans laquelle les décisions relatives à la sécurité ont une incidence directe sur la rapidité d’exécution de l’entreprise.

Le cadre est conçu pour fonctionner conjointement avec d’autres normes reconnues. Les organisations peuvent mettre en correspondance leurs activités relevant du NIST CSF 2.0 avec les contrôles du NIST 800-53 ou le cadre de gestion des risques du NIST, sans devoir repartir de zéro. Cette interopérabilité allège la charge liée au respect simultané de plusieurs référentiels et aide les organisations à se préparer à des évaluations plus rigoureuses. En outre, l’accès aux niveaux supérieurs de mise en œuvre du NIST CSF (qui vont de « Partiel » à « Adaptatif »), peut permettre d’obtenir des primes de cyberassurance plus avantageuses, car les assureurs utilisent ces niveaux pour mesurer la maturité des défenses d’une organisation.

Quelles sont les bonnes pratiques relatives au NIST CSF 2.0 ?

La réussite de la mise en œuvre du NIST CSF 2.0 repose sur l’utilisation de profils NIST CSF, qui aident les organisations à passer de leur situation actuelle à la situation cible souhaitée. Les organisations doivent commencer par créer un « profil organisationnel » afin de déterminer les sous-catégories les plus pertinentes pour leurs besoins opérationnels particuliers. Les équipes peuvent ainsi concentrer leurs ressources sur les lacunes qui présentent les risques les plus élevés pour leurs activités. En adaptant ces profils, les parties prenantes peuvent aligner les efforts de cybersécurité sur les exigences globales de la mission et la tolérance au risque.

L’une des principales bonnes pratiques du nouveau cadre consiste à formaliser la sécurité de la chaîne d’approvisionnement. Les organisations doivent classer leurs fournisseurs par ordre de priorité en fonction de leur criticité et analyser en continu les vulnérabilités de tous les composants tiers. Le maintien d’une provenance logicielle vérifiable pour chaque artefact du pipeline garantit que l’organisation reste en conformité avec les nouvelles catégories GV.SC de la fonction « Gouverner ». Cette approche proactive évite toute « dérive de conformité » et garantit l’intégration de la sécurité à l’ensemble du cycle de vie.

Les organisations doivent utiliser des « profils communautaires » afin de bénéficier de recommandations propres à leur secteur et de bonnes pratiques partagées. Cette approche collaborative aide les équipes à rester informées des menaces émergentes et des normes de sécurité à l’échelle du secteur. Afin de préserver leur résilience, elles doivent également intégrer des pratiques de développement logiciel sécurisé à toutes les phases du cycle de développement logiciel sécurisé. En combinant des outils automatisés avec une gouvernance stratégique, les organisations peuvent atteindre un niveau de maturité plus élevé au sein de leurs programmes de gestion des risques de cybersécurité.

NIST CSF 2.0 et chaîne d’approvisionnement logicielle

Bien que le NIST CSF 2.0 s’applique à l’ensemble de l’entreprise, l’élargissement de sa portée met directement l’accent sur la sécurité de la chaîne d’approvisionnement logicielle. La livraison des applications modernes repose en grande partie sur des packages open source, des conteneurs tiers et des pipelines de build automatisés. Pour répondre aux exigences du CSF 2.0, les équipes d’ingénierie et de sécurité doivent mettre directement en correspondance certaines sous-catégories du cadre avec les contrôles automatisés de leurs pipelines de livraison logicielle.

Mise en correspondance des sous-catégories avec les contrôles du pipeline

• Hiérarchisation des fournisseurs (GV.SC-04) : les organisations doivent recenser et évaluer les dépendances open source avec la même rigueur que les fournisseurs commerciaux. La génération de nomenclatures logicielles détaillées garantit une visibilité sur les risques transitifs dissimulés dans des arborescences de dépendances complexes.
• Vérifications préalables concernant les tiers (GV.SC-06) : la gestion des risques commence avant la mise en production du code. Le blocage des packages malveillants ou non conformes au point d’entrée empêche les vulnérabilités de pénétrer dans le SDLC sécurisé.
• Gouvernance des politiques et provenance (GV.SC-09) : l’intégration de la gouvernance aux systèmes de compilation garantit que chaque artefact compilé dispose d’une chaîne de traçabilité cryptographique et vérifiable attestant son origine.
• Intégrité des logiciels (PR.PS-05 et PR.PS-06) : pour empêcher l’exécution de fichiers binaires non autorisés, des contrôles stricts de gestion des artefacts doivent être appliqués. L’intégration des pratiques du NIST SSDF garantit que les contrôles de sécurité sont automatisés au lieu de constituer des obstacles manuels lors des audits.
• Surveillance continue (DE.CM-06) : de nouvelles vulnérabilités étant divulguées quotidiennement, les dépendances externes et les images de base doivent faire l’objet d’une analyse continue, même après leur déploiement.

Défis

L’adoption d’un cadre à l’échelle de l’entreprise, comme le CSF 2.0, présente des difficultés culturelles et techniques. L’un des principaux défis réside dans le passage d’une vision de la sécurité comme un silo technique à une initiative pilotée par la gouvernance. Cela nécessite une adhésion forte des dirigeants et un changement dans la façon dont les performances sont mesurées au sein de l’organisation.

Sur le plan technique, le volume de données et d’artefacts d’un environnement moderne rend impossible le suivi manuel des sous-catégories du cadre. Les organisations rencontrent souvent des difficultés avec les fonctions « Identifier » et « Protéger » lorsqu’elles ne disposent pas d’une visibilité suffisante sur leur SBOM ou leurs dépendances transitives les plus profondes. Sans automatisation, la détermination des bibliothèques tierces qui doivent être corrigées crée un goulot d’étranglement susceptible de ralentir le développement et de laisser l’organisation exposée à une vulnérabilité logicielle.

Prise en charge du NIST CSF 2.0 avec la plateforme JFrog

La plateforme JFrog fournit l’automatisation et la gouvernance nécessaires pour rendre opérationnels les contrôles de protection et de la chaîne d’approvisionnement exigés par le NIST CSF 2.0. En gérant chaque artefact qui traverse le pipeline de développement, JFrog aide les organisations à mettre en œuvre les fonctions fondamentales du cadre depuis le cœur de leurs systèmes.

JFrog Xray prend en charge les fonctions « Détecter » et « Protéger » en analysant en continu les vulnérabilités de l’ensemble des artefacts binaires et des images de conteneurs. Toute vulnérabilité logicielle détectée peut ainsi être corrigée suffisamment tôt dans le cycle de vie. Afin de faciliter la mise en œuvre de la fonction « Gouverner », JFrog Advanced Security génère des rapports détaillés sur les nomenclatures logicielles et fournit les informations de provenance logicielle nécessaires aux vérifications préalables concernant la chaîne d’approvisionnement.

L’alignement de la plateforme sur le SSDF (NIST SP 800-218) répond directement aux exigences de la sous-catégorie PR.PS-06, selon laquelle les pratiques de développement sécurisé doivent être intégrées au cycle de développement logiciel. En centralisant la gestion des artefacts dans Artifactory, les équipes conservent les pistes d’audit et les contrôles de configuration nécessaires pour vérifier la mise en œuvre du cadre SLSA. Elles disposent ainsi d’un lien direct entre les exigences du cadre et les contrôles opérationnels.

Pour en savoir plus, commencez un essai gratuit ou planifiez une démonstration de la plateforme JFrog.