Catalogue de contrôles
NIST SP 800-53 Rev. 5
Catalogue de contrôles pour transformer le risque en protections vérifiables.
Sur cette page
Finalité, périmètre et autorité
Sélectionner et adapter, sans appliquer tout le catalogue. 800-53B traite les socles, 800-53A les évaluations. Le site officiel ajoute la version 5.2.0 à Rev. 5 ; identifier la version utilisée, au-delà du PDF initial. [1]
Principes et logique opérationnelle [1]
1. Structure et paramètres
Lire contrôle, renforcements et discussion. Résoudre fréquences, rôles et choix organisationnels. Tous les renforcements ne sont pas obligatoires.
2. Fonctionnalité et assurance
Vérifier protection et confiance dans son efficacité par politiques, configurations, observations et tests.
3. Responsabilité et héritage
Distinguer contrôles communs, spécifiques et hybrides ; nommer exécutants, exploitants et évaluateurs.
4. Exemples
AC-2 comptes ; AC-6 moindre privilège ; AU-6 analyse des journaux ; CM-2 configuration ; CP-4 tests de continuité ; IR-4 gestion d’incidents. Ce ne sont pas un socle suffisant.
Les 20 familles de contrôles [1]
| ID | Les 20 familles de contrôles | Question de gestion |
|---|---|---|
| AC | Accès | Qui accède à quoi et qui le révise ? |
| AT | Sensibilisation et formation | Les personnes savent-elles remplir leurs responsabilités ? |
| AU | Audit et responsabilité | Peut-on reconstituer et examiner l’activité ? |
| CA | Évaluation, autorisation et suivi | Qui teste et accepte le risque ? |
| CM | Configuration | Quel état est approuvé et comment gérer la dérive ? |
| CP | Continuité | Les fonctions essentielles peuvent-elles reprendre ? |
| IA | Identification et authentification | Comment vérifier l’identité ? |
| IR | Réponse aux incidents | Qui coordonne traitement et escalade ? |
| MA | Maintenance | Comment contrôler aussi les interventions distantes ? |
| MP | Supports | Comment manipuler, transporter et effacer les supports ? |
| PE | Protection physique et environnementale | Comment protéger locaux et utilités ? |
| PL | Planification | Les dispositions sécurité et vie privée sont-elles documentées ? |
| PM | Gestion du programme | Qui dirige moyens et supervision ? |
| PS | Personnel | Comment gérer droits et changements d’emploi ? |
| PT | Données personnelles et transparence | Pourquoi traiter les données et comment informer ? |
| RA | Risque | Quelles menaces et conséquences guident les priorités ? |
| SA | Acquisition | Les exigences suivent-elles achats et développement ? |
| SC | Systèmes et communications | Comment protéger frontières et échanges ? |
| SI | Intégrité | Comment traiter défauts, malveillance et intégrité ? |
| SR | Chaîne d’approvisionnement | Comment évaluer dépendances fournisseurs et produits ? |
Application · recommandations éditoriales
Fiche proposée : identifiant/version, applicabilité, paramètres, responsable, héritage, preuves, résultat et échéance. Suivre le cycle complet d’un compte privilégié, de l’approbation à la suppression.
Preuves pour le RSSI · dossier proposé
État approuvé et dérive, tests de reprise et corrections, journaux exploitables et revue. Documenter exceptions et compensations par le processus de risque.
Erreurs et limites
Ne pas assimiler texte de politique et réalisation, tout sélectionner ou déduire une équivalence d’une correspondance. Les 20 familles et exemples ne remplacent pas tous les contrôles et renforcements.
Sources officielles et parcours de lecture
Sections à consulter dans la source: Chapter 2; Chapter 3 control families; official release notes.
Commentaire original, pas reproduction intégrale. Consulter la source pour chaque exigence, renforcement, condition et exception. L’applicabilité dépend de l’organisation et de ses obligations.