1. Introduction au NIST Cybersecurity Framework
Origine et contexte
Le NIST Cybersecurity Framework (CSF) a été développé en 2014 par le National Institute of Standards and Technology (NIST), une agence du gouvernement des États-Unis, dans le but d’aider les organisations à mieux gérer leurs risques cybersécurité.
Initialement destiné aux infrastructures critiques, il est devenu un standard volontaire adopté dans le monde entier par des entreprises de toutes tailles et secteurs.
La version 2.0, publiée en 2024, marque une évolution majeure, avec une portée étendue à toutes les organisations, un renforcement de la gouvernance, et une meilleure prise en compte des chaînes d’approvisionnement.
Objectifs du CSF
Info
Le CSF ne prescrit pas de moyens mais définit des résultats attendus en cybersécurité.
Le CSF permet :
- De structurer une démarche cybersécurité cohérente
- De cartographier les risques et les traitements en place
- D’améliorer la communication entre acteurs (dirigeants, opérationnels, IT, juridiques…)
- D’évaluer la maturité et les priorités
- D’intégrer la cybersécurité dans une stratégie de gestion globale des risques
Public concerné
Le CSF 2.0 s’adresse à :
- Toute organisation (publique, privée, académique, ONG)
- Tous niveaux de maturité en cybersécurité
- Tous rôles : direction, IT, RH, juridique, achats, métiers…
Structure du CSF
Le CSF repose sur trois piliers structurants :
- Le Noyau (Core) : résultats attendus classés en Fonctions, Catégories et Sous-catégories
- Les Profils : état actuel et état cible de l’organisation
- Les Niveaux : niveaux de rigueur (de 1 à 4) pour évaluer la maturité
Chacun de ces éléments sera traité en détail dans ce cours.