NIST SP 800-37 Rev. 2

Finalité, périmètre et autorité

Sept étapes interactives pour systèmes, contrôles communs, sécurité et vie privée. Le contexte fédéral ne crée pas les mêmes obligations dans tous les pays ou systèmes de sécurité nationale. [1]

Principes et logique opérationnelle [1]

1. Prepare · Préparer

Fixer rôles, stratégie, limites, contraintes et contrôles communs pour partager les hypothèses.

2. Categorize · Catégoriser

Évaluer les conséquences selon la méthode applicable et justifier les types d’information ; ne pas compter simplement les vulnérabilités.

3. Select · Sélectionner

Adapter les contrôles au socle applicable ; définir paramètres, responsabilités, héritage et surveillance.

4. Implement · Mettre en œuvre

Décrire le fonctionnement réel et les écarts, pas seulement le projet prévu.

5. Assess · Évaluer

Vérifier mise en œuvre, fonctionnement et résultats ; recueillir les preuves et définir l’indépendance nécessaire.

6. Authorize · Autoriser

Fournir à l’autorité le risque résiduel et les conditions. L’évaluateur ne devient pas automatiquement propriétaire du risque.

7. Monitor · Surveiller

Suivre changements et déficiences, actualiser plans et décision. Les hypothèses peuvent devenir invalides.

Application · recommandations éditoriales

Identifier autorité et frontière, puis assurer la traçabilité jusqu’à la décision. Prouver l’héritage des contrôles et réexaminer lors de changements de mission, architecture, menace ou efficacité.

Preuves pour le RSSI · dossier proposé

Plans sécurité/vie privée, évaluations, constats ouverts, actions et jalons, conditions d’autorisation. Nommer responsables et dates ; distinguer obligations fournisseur et client.

Erreurs et limites

Éviter documentation tardive, autorisation permanente et confiance automatique dans une attestation fournisseur. Les tâches officielles détaillent entrées, résultats et responsabilités.

Sources officielles et parcours de lecture

Sections à consulter dans la source: Chapter 3; Appendices D–F.

1. NIST SP 800-37 Rev. 2 · 2018-12 · Risk Management Framework