Qu'est-ce que le NIST 800-37 ?

Les systèmes d'infrastructures critiques tels que l'énergie, l'eau, les transports et les communications fournissent les services essentiels qui sous-tendent notre société. La sécurisation de ces actifs vitaux contre les menaces cybernétiques modernes nécessite une approche holistique enracinée dans des principes établis de gestion des risques. Le National Institute of Standards and Technology (NIST) fournit des cadres de cybersécurité essentiels qui aident les propriétaires et opérateurs d'infrastructures critiques à gérer les risques et à renforcer la résilience.

Cet article explorera les éléments clés des cadres NIST 800-37 et NIST 800-161 et comment les propriétaires d'infrastructures peuvent les exploiter pour améliorer la sécurité.

Partie 1 : Qu'est-ce que NIST 800-37 ?

La publication spéciale NIST 800-37 fournit des conseils sur le Cadre de gestion des risques (RMF) pour les systèmes d'information et les organisations. Publié pour la première fois en 2010 et mis à jour en 2018, ce document fondamental décrit un processus flexible basé sur le cycle de vie pour intégrer la sécurité de l'information et la gestion des risques.

Partie 2 : Composants clés du cadre NIST SP 800-37

NIST 800-37 fournit une base de référence flexible que les organisations peuvent adapter à leurs besoins uniques. Cependant, plusieurs principes clés forment le cœur d'une mise en œuvre réussie du RMF :

• Vue du cycle de vie : Le RMF n'est pas une activité ponctuelle mais un processus continu pour gérer les risques en permanence.
• Neutre en technologie : Le RMF peut s'appliquer à tous les types de technologies et de systèmes.
• Basé sur les risques : Des évaluations efficaces des risques, tant au niveau de l'organisation que du système, sont essentielles pour identifier les contrôles appropriés.
• Basé sur les contrôles : Les exigences de sécurité minimales sont définies par des catalogues de contrôles réutilisables et personnalisables décrits dans les normes NIST.
• Évaluations échelonnées : La profondeur et la rigueur de l'évaluation évoluent en fonction de la criticité du système.
• Surveillance continue : Les contrôles sont périodiquement réévalués pour tenir compte des changements.
• Processus rationalisé : Le RMF consolide les étapes d'autres normes NIST dans un cadre unifié.

Ces principes fondamentaux rendent NIST 800-37 adaptable à divers secteurs d'infrastructures critiques et technologies tout en favorisant la sécurité et la résilience.

Partie 3 : Meilleures pratiques pour la mise en œuvre du cadre NIST 800-37

La mise en œuvre réussie du RMF NIST nécessite l'engagement de la direction et du personnel. Voici les meilleures pratiques pour les opérateurs d'infrastructures :

• Intégrer la sécurité dès le début : Prendre en compte les implications de sécurité dans toutes les phases du cycle de vie du système, de la conception à l'élimination.
• Connaître vos actifs : Maintenir des inventaires détaillés des systèmes, composants et données pour définir les catégories et contrôles de sécurité.
• Prioriser les contrôles : Concentrer les ressources sur les contrôles offrant la plus grande valeur de sécurité pour les actifs critiques.
• Promouvoir la sensibilisation : Fournir une formation RMF et des politiques de contrôle d'accès au personnel.
• Documenter rigoureusement : Conserver des enregistrements de toutes les activités pour faciliter le contrôle qualité et la supervision.
• Automatiser les processus : Utiliser des outils d'automatisation pour rationaliser le flux de travail, améliorer la cohérence et économiser du temps par rapport aux méthodes manuelles.
• Rapporter de manière concise : Produire des rapports concis sur l'état de la sécurité pour la direction et les organes de supervision.
• Favoriser la communication : Encourager une communication ouverte entre le personnel de sécurité et du système pour comprendre les besoins opérationnels.

Suivre ces meilleures pratiques aide à intégrer la sécurité dans les opérations normales du système tout en optimisant les ressources limitées. Le personnel de toutes les organisations d'infrastructures doit travailler ensemble pour mettre en œuvre les principes du RMF axés sur leurs systèmes et données les plus prioritaires.

Partie 4 : Aperçu des cadres de cybersécurité NIST

Alors que NIST 800-37 fournit un cadre large de gestion des risques, le NIST offre des directives supplémentaires pour aider à sécuriser les infrastructures critiques :

NIST 800-39

Publié en 2011, ce manuel décrit le processus de gestion des risques utilisé dans les publications NIST. Il guide le cadrage, les évaluations, les réponses et la surveillance des risques. NIST 800-39 complète 800-37 en détaillant comment évaluer et surveiller systématiquement les risques de sécurité de l'information.

NIST 800-161

Cette norme récente de gestion des risques de la chaîne d'approvisionnement guide l'identification, l'évaluation et l'atténuation des vulnérabilités au sein des chaînes d'approvisionnement de produits et services. La sécurité de la chaîne d'approvisionnement est une exposition majeure pour les opérateurs d'infrastructures, faisant de NIST 800-161 un complément inestimable au RMF.

Partie 5 : Créer un diagramme de gestion des risques avec EdrawMax

Les diagrammes visuels peuvent aider les équipes de sécurité des infrastructures à comprendre et communiquer les processus de gestion des risques décrits dans les normes NIST. EdrawMax est un logiciel de création de diagrammes convivial avec de vastes bibliothèques de modèles idéales pour cette tâche.

Avec EdrawMax, les utilisateurs peuvent sélectionner parmi des modèles de diagrammes NIST 800-37 prédéfinis et les personnaliser en ajoutant des formes et en alignant les éléments. Des aides au dessin intelligentes comme les guides d'alignement, l'espacement automatique et l'accrochage aux objets aident à créer rapidement des diagrammes professionnels.

Avec de puissantes options de personnalisation réduites à un simple glisser-déposer, EdrawMax facilite grandement la communication des directives NIST complexes.

Voici les étapes pour créer un diagramme de gestion des risques avec EdrawMax :

Étape 1 :

Ouvrez EdrawMax et sélectionnez la catégorie "Gestion des risques" sous les diagrammes. Cela ouvrira une liste de modèles de diagrammes de gestion des risques. Parcourez les modèles et sélectionnez celui qui correspond le mieux au type de diagramme de gestion des risques que vous souhaitez créer.

Étape 2 :

Personnalisez le modèle en faisant glisser et en déposant des formes depuis les bibliothèques de formes à gauche. Ajoutez ou supprimez des formes pour l'adapter à vos besoins spécifiques.

Étape 3 :

Entrez du texte dans les formes pour étiqueter les éléments ou afficher des descriptions. Redimensionnez, alignez et organisez les formes et connecteurs sur le canevas.

Étape 4 :

Modifiez les couleurs des formes, les styles de ligne et les polices à l'aide des panneaux de formatage à droite. Appliquez une coloration personnalisée pour mettre en évidence les niveaux de risque.

Étape 5 :

Lorsque vous avez terminé la personnalisation, cliquez sur "Enregistrer" ou "Enregistrer sous" pour stocker le diagramme pour une édition future.

En tirant parti des modèles de gestion des risques dans EdrawMax, vous pouvez créer efficacement des diagrammes personnalisés de qualité professionnelle.

Conclusion

Alors que les menaces cybernétiques deviennent plus sophistiquées, les secteurs d'infrastructures critiques peuvent exploiter les cadres NIST éprouvés pour gérer les risques et renforcer les défenses. NIST 800-37 fournit un plan flexible pour évaluer en permanence les menaces, mettre en œuvre des contrôles et rendre les systèmes plus résilients.