NIST publications
Le National Institute of Standards and Technology (NIST) a été fondé en 1901 et fait maintenant partie du Département du commerce des États-Unis. Le NIST est l'un des plus anciens laboratoires de sciences physiques du pays. Sa mission est de promouvoir l'innovation et
la compétitivité industrielle. De façon générale, les lignes directrices du NIST
fournissent l'ensemble des normes pour les contrôles de sécurité
recommandés pour les systèmes d'information dans les organismes
fédéraux. Les lignes directrices du NIST sont souvent élaborées pour aider
les organismes à satisfaire à des exigences réglementaires précises en
matière de conformité.
La série NIST 800
La série NIST 800 est un ensemble de documents qui décrivent les politiques, les procédures et les lignes directrices du gouvernement fédéral des États-Unis en matière de sécurité informatique. Les documents sont disponibles gratuitement et peuvent être utiles aux entreprises et aux établissements d'enseignement, ainsi qu'aux organismes gouvernementaux. Les publications de la série NIST 800 ont évolué grâce à des recherches exhaustives sur des méthodes réalisables et rentables pour optimiser la sécurité des systèmes et des réseaux de technologie de l'information (TI) de manière proactive. Les publications couvrent toutes les procédures et critères recommandés par le NIST pour évaluer et documenter les menaces et les vulnérabilités et pour mettre en œuvre des mesures de sécurité afin de minimiser le risque d'événements indésirables. Les publications peuvent être utiles comme lignes directrices pour l'application des règles de sécurité et comme références juridiques en cas de litige impliquant des questions de sécurité.
Certaines publications de la série NIST 800
-
800-205 : Considérations d'attribut pour les systèmes de contrôle d'accès
-
800-203 : Rapport annuel du Programme de cybersécurité du NIST/ITL
-
800-192 : Méthodes de vérification et d'essai pour les politiques/modèles de contrôle d'accès
-
800-177: Courriel digne de confiance
-
800-171 : Évaluation des exigences en matière de sécurité pour les renseignements non classifiés contrôlés
-
800-146: Synopsis et recommandations de Cloud Computing
-
800-137 : Surveillance continue de la sécurité de l'information
-
800-133: Recommandation pour la génération de clés cryptographiques
-
800-121: Guide de sécurité Bluetooth
-
800-115 : Guide technique des essais et de l'évaluation de la sécurité de l'information
-
800-113: Guide des VPN SSL
-
800-98 : Lignes directrices pour la sécurisation des systèmes d'identification par radiofréquence (IRF)
-
800-95 : Guide des services Web sécurisés
-
800-83: Guide de prévention et de manipulation des incidents de logiciels malveillants pour les ordinateurs de bureau et les ordinateurs portables
-
800-53 : Contrôles de sécurité
-
800-50 : Bâtir un programme de sensibilisation et de formation en matière de sécurité des technologies de l'information
-
800-46: Guide du télétravail d'entreprise, de l'accès à distance et de la sécurité de votre propre appareil (BYOD)
-
800-37 : Cadre de gestion des risques
Quand le cadre NIST est-il requis?
Si vous faites affaire avec un organisme du gouvernement fédéral américain ou avec un tiers qui fait affaire avec un organisme du gouvernement fédéral américain, ces parties peuvent exiger que votre organisation se conforme à une publication spécifique du NIST (p. ex. : 800-171). Toutes les publications du NIST sont gratuites et facilement accessibles, et vous pourriez réaliser quel est l'écart entre vos pratiques informatiques et le cadre NIST.
Comment mon organisation peut-elle démontrer qu'elle est conforme?
La façon la plus simple est que, si votre organisation est conforme avec la norme SOC 2, vous pouvez ajuster votre rapport SOC 2 pour vous conformer à la publication requise du NIST. Sinon, si votre organisation est conforme à ISO 27001, vous pouvez tenter d'envoyer votre certificat aux parties.
Yucca Conseils TI peut vous assister
Nous pouvons vous assister dans l'ensemble de votre démarche afin de respecter les publications NIST. De l'analyse des écarts à l'obtention d'un rapport SOC 2 qui incluera NIST. Avec l'aide de votre pilote interne, un échéancier réaliste sera élaboré et accepté par votre équipe de gestion.
