Une preuve, plusieurs frameworks.

Quand on a mis en place ISO 27001 et que l’on découvre NIS2, on se demande à juste titre s’il faut tout recommencer. La réponse est presque toujours non. Gestion des risques, contrôle d’accès, pilotage des fournisseurs, traitement des incidents, formation – ces thèmes figurent dans presque tous les référentiels de sécurité de l’information. Ils portent simplement un nom un peu différent et sont contrôlés plus ou moins en profondeur.

Même thème, autre angle

Une norme ISO demande si votre système de management a planifié, mis en œuvre, vérifié et amélioré un thème. Une loi comme NIS2 ou DORA demande si des obligations précises sont remplies et si les délais sont respectés. Le RGPD s’intéresse aux droits des personnes dont vous traitez les données. Un rapport d’audit comme SOC 2 ou une attestation C5 évalue si les contrôles fonctionnent comme décrit. Le thème reste le même. Ce qui change, c’est la question posée par l’auditeur.

Ce que signifient ● et ◐

Un point plein signifie que le framework traite le thème explicitement, avec ses propres exigences. Un demi-point signifie que le thème apparaît, mais seulement à la marge, dans un but plus restreint ou sans exigences propres. Un tiret ne signifie pas que le thème est sans importance. Il ne constitue simplement pas un objet à part entière de ce framework. Chaque évaluation est volontairement sommaire. La part réellement réutilisable dépend de votre périmètre : quels sites, processus et systèmes sont inclus, et quelle est déjà la qualité de vos preuves.

Une preuve, plusieurs frameworks

L’effort principal tient rarement à la compréhension d’une norme, mais à la tenue à jour des preuves. Une politique d’accès, un compte rendu de test de restauration, un contrat fournisseur avec clauses de sécurité – ces preuves servent souvent à plusieurs frameworks à la fois. Les ranger dans des dossiers séparés par projet, c’est les tenir à jour plusieurs fois et finir par ne plus savoir quelle version fait foi.

Dans Sightadel, chaque preuve est déposée une seule fois dans la bibliothèque de preuves et rattachée aux contrôles correspondants de plusieurs frameworks. Si un document expire ou change, vous voyez quels frameworks sont concernés. Pour ce qu’un framework exige en plus, comme les délais de notification de NIS2 ou l’analyse d’impact relative à la protection des données du RGPD, vous ajoutez des preuves complémentaires ciblées.

Les limites de la matrice

La matrice ne remplace pas une analyse des écarts. Elle vous montre où chercher, pas ce qui vous manque. Pour le travail de détail, vous passez en revue un à un les contrôles d’un framework. C’est précisément pour cela que les évaluations guidées de Sightadel ont été conçues.