Comment implémenter les fonctions principales du NIST CSF 2.0 en utilisant l'IA

Aperçu

Vous apprendrez comment implémenter chacune des six fonctions principales du NIST CSF 2.0—GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND et RECOVER—en utilisant l'IA pour accélérer la sélection des contrôles, le développement des politiques et la réalisation des résultats.

À qui s'adresse ce guide

Ce guide est destiné à :

• Les équipes de sécurité implémentant des fonctions spécifiques du NIST CSF
• Les professionnels de la conformité traduisant les résultats du CSF en contrôles opérationnels
• Les responsables informatiques déployant des technologies pour atteindre les sous-catégories du CSF
• Les gestionnaires de risques alignant les activités de cybersécurité avec les objectifs commerciaux
• Les consultants fournissant des conseils d'implémentation spécifiques aux fonctions pour leurs clients

Avant de commencer

Vous devriez avoir :

• Un compte ISMS Copilot avec un espace de travail NIST CSF
• Complété les profils actuels et cibles du NIST CSF
• Une analyse des écarts identifiant les sous-catégories prioritaires pour l'implémentation
• Un parrainage exécutif et une allocation des ressources pour l'implémentation
• Une compréhension des priorités de risque et des moteurs de conformité de votre organisation

Comprendre les six fonctions

Comment les fonctions travaillent ensemble

Les six fonctions du NIST CSF 2.0 forment un programme de cybersécurité intégré :

• GOVERN : Fondement qui informe toutes les autres fonctions par la stratégie, la politique et la gestion des risques
• IDENTIFY : Compréhension des actifs, des risques et des opportunités d'amélioration qui guident les priorités de PROTECT
• PROTECT : Mesures de protection qui préviennent ou réduisent la probabilité et l'impact des événements indésirables
• DETECT : Surveillance continue qui découvre les attaques et les compromissions
• RESPOND : Actions de gestion des incidents pour contenir et atténuer les événements de cybersécurité
• RECOVER : Restauration des opérations et des services après des incidents

Implémentation de GOVERN (GV) : Établir la gouvernance de la cybersécurité

Aperçu de la fonction GOVERN

Nouvelle dans le CSF 2.0, la fonction GOVERN garantit que la gestion des risques de cybersécurité est intégrée à la gestion des risques d'entreprise (ERM) et aux objectifs commerciaux. Elle comprend six catégories :

• GV.OC : Contexte organisationnel
• GV.RM : Stratégie de gestion des risques
• GV.RR : Rôles, responsabilités et autorités
• GV.PO : Politique
• GV.OV : Surveillance
• GV.SC : Gestion des risques de la chaîne d'approvisionnement en cybersécurité

Étapes clés d'implémentation pour GOVERN

1. Établir le contexte organisationnel (GV.OC) :

   Dans votre espace de travail NIST CSF, demandez :

   "Aidez-moi à implémenter le NIST CSF GV.OC (Contexte organisationnel). Créez de la documentation pour : GV.OC-01 (mission et objectifs), GV.OC-02 (contexte interne/externe), GV.OC-03 (exigences légales et réglementaires), GV.OC-04 (objectifs et activités critiques), GV.OC-05 (résultats et performance). Notre organisation est [description]."

2. Développer une stratégie de gestion des risques (GV.RM) :

   "Créez un document de stratégie de gestion des risques de cybersécurité aligné sur le NIST CSF GV.RM. Incluez : GV.RM-01 (objectifs de gestion des risques), GV.RM-02 (appétit et tolérance pour le risque), GV.RM-03 (détermination et priorisation des risques), GV.RM-04 (alignement avec l'ERM), GV.RM-05 (communication de la stratégie), GV.RM-06 (planification stratégique pour les risques émergents). Adaptez à [contexte de l'organisation]."

3. Définir les rôles et responsabilités (GV.RR) :

   "Définissez les rôles, responsabilités et autorités en cybersécurité selon le NIST CSF GV.RR. Incluez : GV.RR-01 (responsabilités de la direction organisationnelle), GV.RR-02 (rôles et responsabilités définis et communiqués), GV.RR-03 (ressources adéquates), GV.RR-04 (intégration de la cybersécurité dans les pratiques RH). Créez une matrice RACI pour les activités clés de sécurité."

4. Établir des politiques (GV.PO) :

   "Créez un cadre de politique de sécurité de l'information satisfaisant le NIST CSF GV.PO. Abordez : GV.PO-01 (établissement et communication des politiques), GV.PO-02 (renforcement des politiques par des procédures). Incluez une politique de sécurité de haut niveau et des documents de procédure de soutien pour le contrôle d'accès, la protection des données, la réponse aux incidents, l'utilisation acceptable."

5. Mettre en place la surveillance (GV.OV) :

   "Concevez des mécanismes de surveillance de la cybersécurité selon le NIST CSF GV.OV. Incluez : GV.OV-01 (communication des résultats de cybersécurité à la direction), GV.OV-02 (la direction surveille et dirige le risque cyber), GV.OV-03 (surveillance cohérente avec la stratégie de risque). Créez des modèles de tableaux de bord, des ordres du jour de revues de gestion et des formats de rapports pour le conseil d'administration."

6. Établir la gestion des risques de la chaîne d'approvisionnement (GV.SC) :

   "Implémentez la gestion des risques de la chaîne d'approvisionnement en cybersécurité selon le NIST CSF GV.SC. Abordez : GV.SC-01 (stratégie de gestion des risques de la chaîne d'approvisionnement), GV.SC-02 (fournisseurs connus et priorisés), GV.SC-03 (contrats avec des exigences de sécurité), GV.SC-04 (fournisseurs surveillés), GV.SC-05 (réponse aux incidents de la chaîne d'approvisionnement), GV.SC-06 (pratiques de sécurité de la chaîne d'approvisionnement), GV.SC-07 (résilience de la chaîne d'approvisionnement), GV.SC-08 (partage des données pertinentes), GV.SC-09 (mécanismes pour la transparence de la chaîne d'approvisionnement)."

Implémentation de IDENTIFY (ID) : Comprendre vos risques de cybersécurité

Aperçu de la fonction IDENTIFY

La fonction IDENTIFY se concentre sur la compréhension des actifs, des vulnérabilités et des risques organisationnels. Elle comprend trois catégories :

• ID.AM : Gestion des actifs
• ID.RA : Évaluation des risques
• ID.IM : Amélioration

Étapes clés d'implémentation pour IDENTIFY

1. Implémenter la gestion des actifs (ID.AM) :

   "Aidez-moi à implémenter le NIST CSF ID.AM (Gestion des actifs). Créez des processus pour : ID.AM-01 (inventaires matériels), ID.AM-02 (inventaires logiciels), ID.AM-03 (cartographie des données et des flux de données), ID.AM-04 (systèmes externes catalogués), ID.AM-05 (ressources priorisées), ID.AM-07 (inventaires maintenus et mis à jour), ID.AM-08 (systèmes déclassés de manière sécurisée). Recommandez des outils pour la découverte automatisée des actifs et la gestion des inventaires."

2. Réaliser des évaluations des risques (ID.RA) :

   "Concevez un programme d'évaluation des risques selon le NIST CSF ID.RA. Abordez : ID.RA-01 (vulnérabilités identifiées et documentées), ID.RA-02 (renseignement sur les menaces reçu), ID.RA-03 (menaces internes et externes identifiées), ID.RA-04 (impacts sur la prestation de services identifiés), ID.RA-05 (menaces et vulnérabilités utilisées pour informer la détermination des risques), ID.RA-06 (réponses aux risques identifiées et priorisées), ID.RA-07 (changements et exceptions suivis). Créez une méthodologie d'évaluation des risques, des modèles et un calendrier."

3. Établir des processus d'amélioration (ID.IM) :

   "Implémentez l'identification et la gestion des améliorations selon le NIST CSF ID.IM. Incluez : ID.IM-01 (améliorations issues des évaluations des risques, des incidents et des activités), ID.IM-02 (plans de réponse et de récupération testés), ID.IM-03 (leçons apprises de la réponse et de la récupération), ID.IM-04 (politiques, plans et procédures mis à jour). Concevez un flux de travail d'amélioration continue et un mécanisme de suivi."

Implémentation de PROTECT (PR) : Déployer des mesures de protection en cybersécurité

Aperçu de la fonction PROTECT

La fonction PROTECT met en œuvre des mesures de protection pour gérer les risques de cybersécurité. Elle comprend cinq catégories :

• PR.AA : Gestion des identités, authentification et contrôle d'accès
• PR.AT : Sensibilisation et formation
• PR.DS : Sécurité des données
• PR.IR : Sécurité des plateformes (Résilience de l'infrastructure dans le CSF 1.1)
• PR.PS : Résilience de l'infrastructure technologique (Technologie de protection dans le CSF 1.1)

Étapes clés d'implémentation pour PROTECT

1. Implémenter les contrôles d'identité et d'accès (PR.AA) :

   "Aidez-moi à implémenter le NIST CSF PR.AA (Gestion des identités, authentification et contrôle d'accès). Abordez : PR.AA-01 (identités et justificatifs gérés), PR.AA-02 (identités vérifiées et liées), PR.AA-03 (utilisateurs, services et matériel authentifiés), PR.AA-04 (assertions d'identité protégées), PR.AA-05 (permissions d'accès gérées), PR.AA-06 (authentification et autorisation basées sur le contexte). Recommandez des solutions IAM (Okta, Azure AD, AWS IAM) et des conseils de configuration."

2. Établir la sensibilisation et la formation (PR.AT) :

   "Concevez un programme de sensibilisation et de formation à la sécurité selon le NIST CSF PR.AT. Incluez : PR.AT-01 (personnel informé et formé), PR.AT-02 (utilisateurs privilégiés formés). Créez un programme de formation couvrant : la sensibilisation au phishing, l'hygiène des mots de passe, la manipulation des données, le signalement des incidents, l'utilisation acceptable. Incluez une formation basée sur les rôles pour les administrateurs, les développeurs et les cadres. Recommandez des plateformes et du contenu de formation."

3. Implémenter la sécurité des données (PR.DS) :

   "Implémentez des contrôles de sécurité des données selon le NIST CSF PR.DS. Abordez : PR.DS-01 (données au repos protégées), PR.DS-02 (données en transit protégées), PR.DS-10 (données en cours d'utilisation protégées), PR.DS-11 (données de sauvegarde protégées). Incluez : des normes de chiffrement (AES-256, TLS 1.3), la gestion des clés, la classification des données, des outils DLP, des procédures de sauvegarde. Mappez aux technologies comme BitLocker, AWS KMS, Veeam."

4. Sécuriser les plateformes (PR.IR) :

   "Implémentez la sécurité des plateformes selon le NIST CSF PR.IR. Abordez : PR.IR-01 (réseaux et environnements sécurisés), PR.IR-02 (technologie sécurisée), PR.IR-03 (référentiels de configuration de sécurité établis), PR.IR-04 (technologie opérationnelle sécurisée). Incluez : la segmentation du réseau, la gestion des vulnérabilités, le durcissement de la configuration (CIS Benchmarks), la gestion des correctifs, les pratiques de développement sécurisé."

5. Construire la résilience technologique (PR.PS) :

   "Implémentez la résilience de l'infrastructure technologique selon le NIST CSF PR.PS. Incluez : PR.PS-01 (disponibilité assurée), PR.PS-02 (événements enregistrés), PR.PS-03 (événements corrélés), PR.PS-04 (actifs technologiques développés de manière sécurisée). Concevez une architecture de haute disponibilité, une stratégie de journalisation (intégration SIEM), des processus SDLC sécurisés. Recommandez des technologies comme les équilibreurs de charge, Splunk, GitLab CI/CD security."

Implémentation de DETECT (DE) : Détecter et analyser les événements de cybersécurité

Aperçu de la fonction DETECT

La fonction DETECT permet la découverte et l'analyse en temps opportun des anomalies et incidents de cybersécurité. Elle comprend deux catégories :

• DE.CM : Surveillance continue
• DE.AE : Analyse des événements indésirables

Étapes clés d'implémentation pour DETECT

1. Implémenter la surveillance continue (DE.CM) :

   "Aidez-moi à implémenter le NIST CSF DE.CM (Surveillance continue). Abordez : DE.CM-01 (réseaux et services réseau surveillés), DE.CM-02 (environnement physique surveillé), DE.CM-03 (activité du personnel surveillée), DE.CM-06 (activité des fournisseurs de services externes surveillée), DE.CM-09 (matériel et logiciels informatiques surveillés). Concevez une architecture de surveillance avec : l'analyse du trafic réseau (Zeek, Suricata), le SIEM (Splunk, Sentinel), la détection des points de terminaison (CrowdStrike, Microsoft Defender), la surveillance cloud (CloudTrail, Azure Monitor)."

2. Établir l'analyse des événements indésirables (DE.AE) :

   "Implémentez l'analyse des événements indésirables selon le NIST CSF DE.AE. Incluez : DE.AE-02 (événements analysés pour comprendre les cibles et les méthodes), DE.AE-03 (données d'événements agrégées et corrélées), DE.AE-04 (impact de l'événement déterminé), DE.AE-06 (informations sur les événements indésirables partagées), DE.AE-07 (menaces et vulnérabilités détectées), DE.AE-08 (incidents déclarés). Créez des procédures SOC, des cas d'utilisation de détection, des flux de travail de tri des alertes, des critères de déclaration d'incident."

3. Concevoir des cas d'utilisation de détection :

   "Créez des cas d'utilisation de détection mappés à notre modèle de menace [décrivez les principales menaces]. Pour chaque menace (ransomware, menace interne, compromission de la chaîne d'approvisionnement, exfiltration de données), définissez : les indicateurs de compromission (IOC), la logique de détection pour le SIEM, les modèles de comportement de référence, les critères de gravité des alertes, les seuils d'escalade. Formatez pour une implémentation dans [plateforme SIEM]."

Implémentation de RESPOND (RS) : Agir face aux incidents de cybersécurité

Aperçu de la fonction RESPOND

La fonction RESPOND soutient la gestion et le confinement des incidents. Elle comprend cinq catégories :

• RS.MA : Gestion des incidents
• RS.AN : Analyse des incidents
• RS.MI : Atténuation des incidents
• RS.RP : Rapport des incidents
• RS.CO : Communications de réponse aux incidents

Étapes clés d'implémentation pour RESPOND

1. Établir la gestion des incidents (RS.MA) :

   "Aidez-moi à implémenter le NIST CSF RS.MA (Gestion des incidents). Abordez : RS.MA-01 (plan de réponse aux incidents exécuté), RS.MA-02 (rapports d'incidents triés et priorisés), RS.MA-03 (incidents catégorisés), RS.MA-04 (incidents escaladés ou élevés), RS.MA-05 (plan de réponse mis à jour en fonction des leçons apprises). Créez un plan de réponse aux incidents incluant : la définition d'un incident, la classification par gravité, la matrice d'escalade, les rôles de l'équipe (RACI), les playbooks pour les scénarios courants."

2. Concevoir l'analyse des incidents (RS.AN) :

   "Implémentez des capacités d'analyse des incidents selon le NIST CSF RS.AN. Incluez : RS.AN-03 (données et métadonnées des incidents collectées et corrélées), RS.AN-04 (impact et portée de l'incident compris), RS.AN-06 (actions effectuées lors de l'investigation), RS.AN-07 (données des incidents préservées), RS.AN-08 (données des incidents analysées). Créez des procédures médico-légales, des listes de contrôle de collecte des preuves, des formulaires de chaîne de possession, des outils d'analyse (SIFT, Autopsy)."

3. Implémenter des capacités d'atténuation (RS.MI) :

   "Concevez des processus d'atténuation des incidents selon le NIST CSF RS.MI. Abordez : RS.MI-01 (incidents contenus), RS.MI-02 (incidents éradiqués). Créez des playbooks de confinement pour : le ransomware (isolement du réseau, suspension des comptes), la violation de données (révocation de l'accès aux données, rotation des identifiants), les attaques DDoS (filtrage du trafic, basculement), la menace interne (résiliation de l'accès, préservation des preuves)."

4. Établir le rapport (RS.RP) :

   "Créez un cadre de rapport des incidents selon le NIST CSF RS.RP. Incluez : RS.RP-01 (exigences de rapport comprises). Documentez : les obligations de rapport réglementaires (lois sur les violations de données, réglementations sectorielles), la coordination avec les forces de l'ordre, les exigences de notification aux clients, le rapport interne, les exigences de calendrier. Créez des modèles de rapport et des arbres de décision."

5. Concevoir les communications (RS.CO) :

   "Implémentez les communications de réponse aux incidents selon le NIST CSF RS.CO. Abordez : RS.CO-02 (parties prenantes internes et externes informées), RS.CO-03 (informations partagées avec les organisations désignées). Créez des plans de communication pour : les dirigeants, les employés, les clients, les régulateurs, les forces de l'ordre, les médias, les assurances. Incluez des modèles pour chaque audience."

Implémentation de RECOVER (RC) : Restaurer les opérations après des incidents

Aperçu de la fonction RECOVER

La fonction RECOVER soutient la restauration des opérations et des services après des incidents de cybersécurité. Elle comprend trois catégories :

• RC.RP : Exécution du plan de récupération des incidents
• RC.IM : Communications de récupération des incidents
• RC.CO : Communications de récupération des incidents (externes)

Étapes clés d'implémentation pour RECOVER

1. Développer des plans de récupération (RC.RP) :

   "Aidez-moi à implémenter le NIST CSF RC.RP (Exécution du plan de récupération des incidents). Abordez : RC.RP-01 (plan de récupération exécuté), RC.RP-03 (activités de récupération communiquées), RC.RP-05 (échecs pendant la récupération gérés), RC.RP-06 (activités de restauration priorisées). Créez des plans de récupération pour : le ransomware (restauration des sauvegardes, reconstruction du système), la violation de données (renforcement de la sécurité, amélioration de la surveillance), la défaillance de l'infrastructure (procédures de basculement, restauration des services). Incluez les RTO et RPO."

2. Établir des processus d'amélioration (RC.IM) :

   "Implémentez des processus d'amélioration de la récupération selon le NIST CSF RC.IM. Incluez : RC.IM-01 (réponse et récupération mises à jour en fonction des leçons apprises), RC.IM-02 (stratégies de réponse et de récupération mises à jour). Concevez un processus de revue post-incident : calendrier (dans les 7 jours suivant la clôture), participants (équipe d'incident, parties prenantes), ordre du jour (revue de la chronologie, ce qui a fonctionné/ce qui n'a pas fonctionné, recommandations), documentation (rapport post-mortem), suivi (suivi des actions correctives)."

3. Concevoir les communications de récupération (RC.CO) :

   "Créez un cadre de communications de récupération selon le NIST CSF RC.CO. Abordez : RC.CO-03 (activités de récupération communiquées aux parties prenantes), RC.CO-04 (mises à jour publiques sur la récupération). Incluez des plans de communication pour : les mises à jour de progression à la direction, les notifications de statut aux clients, le suivi réglementaire, les rapports de transparence post-incident. Créez des modèles et des flux de travail d'approbation."

4. Tester les capacités de récupération :

   "Concevez un programme de test de récupération. Incluez : des tests de restauration de sauvegardes (mensuels), des exercices de reprise après sinistre (trimestriels), des tests de continuité des activités (annuels), des exercices spécifiques au ransomware. Pour chaque type de test, fournissez : les objectifs, le périmètre, les procédures, les critères de succès, les exigences de documentation. Mappez à ID.IM-02 (plans de réponse et de récupération testés)."

Créer des feuilles de route d'implémentation spécifiques aux fonctions

Prioriser l'implémentation des fonctions

Utilisez l'IA pour séquencer l'implémentation des fonctions en fonction de votre profil de risque :

1. Priorisation basée sur les risques :

   "En fonction de nos principaux risques de cybersécurité [listez les risques avec leur gravité], priorisez l'implémentation des fonctions du NIST CSF. Pour chaque risque, identifiez : les fonctions les plus critiques pour l'atténuation, les sous-catégories spécifiques à prioriser, la séquence d'implémentation (quelles fonctions dépendent des autres), les gains rapides (sous-catégories à fort impact et faible effort)."

2. Feuille de route avec ressources limitées :

   "Créez une feuille de route d'implémentation du NIST CSF sur 18 mois avec des ressources limitées (budget : [montant], équipe : [taille]). Priorisez : Phase 1 (mois 1-6) : GOVERN + IDENTIFY/PROTECT critiques, Phase 2 (mois 7-12) : DETECT + PROTECT restant, Phase 3 (mois 13-18) : RESPOND + RECOVER + optimisation. Incluez les cibles des jalons, l'allocation des ressources, les dépendances."

3. Implémentation axée sur la conformité :

   "Nous devons démontrer l'alignement avec le NIST CSF pour [contrat fédéral / audit client / exigence réglementaire] dans 9 mois. Quelles fonctions et sous-catégories sont obligatoires pour la conformité ? Créez un plan d'implémentation accéléré en vous concentrant sur les résultats indispensables, en reportant les capacités souhaitables à la Phase 2."

Mesurer le succès de l'implémentation des fonctions

Métriques spécifiques aux fonctions

Suivez les progrès et l'efficacité pour chaque fonction :

1. Concevoir un cadre de mesure :

   "Créez un cadre de mesure pour l'implémentation des fonctions du NIST CSF. Pour chaque fonction (GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER), définissez : les métriques d'implémentation (% de sous-catégories atteintes), les métriques d'efficacité (résultats réalisés), les indicateurs avancés (progrès vers les cibles), les indicateurs retardés (résultats réels). Incluez les sources de données et les méthodes de collecte."

2. Indicateurs clés de performance (KPI) spécifiques aux fonctions :

   "Définissez des KPI pour mesurer l'efficacité du NIST CSF. Exemples : GOVERN (décisions de gestion des risques prises, taux de conformité aux politiques), IDENTIFY (% d'actifs inventoriés, évaluations des risques réalisées), PROTECT (% de systèmes durcis, achèvement de la formation), DETECT (délai moyen de détection, taux de faux positifs), RESPOND (délai moyen de confinement, précision de l'escalade), RECOVER (délai moyen de récupération, atteinte des RTO/RPO)."

3. Conception de tableau de bord :

   "Concevez un tableau de bord exécutif pour le suivi des progrès de l'implémentation du NIST CSF. Incluez : l'état global de l'implémentation (profil actuel vs. profil cible), la santé spécifique à chaque fonction (rouge/jaune/vert), les métriques clés par fonction, la tendance de la posture de risque, les incidents récents et la récupération, les jalons à venir. Formatez pour les rapports trimestriels au conseil d'administration."

Prochaines étapes

Vous avez maintenant acquis des conseils complets pour l'implémentation des fonctions :

• ✓ Compréhension de toutes les six fonctions et de leurs objectifs
• ✓ Implémentation de GOVERN pour les fondations de la gouvernance de la cybersécurité
• ✓ Implémentation de IDENTIFY pour la compréhension des actifs et des risques
• ✓ Implémentation de PROTECT pour le déploiement des mesures de protection
• ✓ Implémentation de DETECT pour la surveillance continue
• ✓ Implémentation de RESPOND pour la gestion des incidents
• ✓ Implémentation de RECOVER pour la restauration des opérations
• ✓ Cadres de mesure pour le suivi du succès

Continuez à optimiser votre implémentation du NIST CSF :

• [Comment créer des profils organisationnels NIST CSF en utilisant l'IA](/NIST CSF with AI) - Mettez à jour les profils au fur et à mesure de l'implémentation
• [Comment mapper le NIST CSF 2.0 à d'autres cadres en utilisant l'IA](/NIST CSF with AI) - Intégrez avec d'autres efforts de conformité
• Comment réaliser des évaluations des risques de conformité en utilisant ISMS Copilot - Gestion continue des risques

Obtenir de l'aide

• Exemples d'implémentation : Consultez les exemples d'implémentation officiels du NIST pour chaque sous-catégorie
• Guides de démarrage rapide : Accédez aux guides de démarrage rapide spécifiques aux fonctions du NIST
• Références informatives : Parcourez les mappages de contrôles pour trouver des technologies et pratiques spécifiques pour chaque sous-catégorie
• Profils communautaires : Consultez les profils spécifiques à votre secteur montrant les priorités des fonctions pour votre industrie
• Demandez à ISMS Copilot : Utilisez votre espace de travail pour des questions d'implémentation spécifiques aux fonctions et des recommandations de contrôles
• Vérifiez les conseils : Toujours recouper les plans d'implémentation générés par l'IA avec les ressources officielles du NIST