Qu’est-ce que la cartographie de contrôles inter-référentiels ?

L’article 21, paragraphe 2, de NIS2 énumère les mesures de gestion des risques cyber que doivent prendre les entités essentielles et importantes. La plupart ont un équivalent parmi les 93 mesures de l’annexe A d’ISO/IEC 27001:2022 :

• Politiques de contrôle d’accès et gestion des actifs (article 21, paragraphe 2, point i) et contrôle d’accès (A.5.15) ainsi qu’inventaire des actifs (A.5.9).
• Continuité des activités, gestion des sauvegardes et reprise après sinistre (point c) et sauvegarde des informations (A.8.13) ainsi que préparation des TIC à la continuité d’activité (A.5.30).
• Sécurité de la chaîne d’approvisionnement (point d) et sécurité de l’information dans les relations avec les fournisseurs (A.5.19).
• Cryptographie et chiffrement (point h) et utilisation de la cryptographie (A.8.24).
• Pratiques de base en matière de cyberhygiène et formation à la cybersécurité (point g) et sensibilisation, apprentissage et formation (A.6.3).

Recoupement ne veut pas dire équivalence. NIS2 fait aussi peser une responsabilité sur les organes de direction (article 20) et impose des obligations de notification des incidents (article 23) qu’un jeu de mesures ne couvre pas à lui seul, et SOC 2 ou DORA ont leur propre formulation et leurs propres attentes en matière de preuves. Une cartographie montre où un même travail peut servir plusieurs référentiels ; elle ne rend pas les référentiels identiques. Voir ISO 27001 couvre-t-elle NIS2 ?

Cartographier chaque référentiel avec chacun des autres devient vite ingérable : trois référentiels donnent trois paires, cinq en donnent dix. La méthode courante passe par un pivot, un jeu commun de mesures auquel chaque référentiel est relié.

• Définissez les mesures que votre organisation applique réellement, avec vos propres mots et un responsable pour chacune.
• Reliez chaque exigence de référentiel aux mesures qui la satisfont. Une exigence peut demander plusieurs mesures, et une mesure peut servir de nombreuses exigences.
• Notez le degré de couverture de chaque lien, pour qu’une correspondance partielle reste visible.
• Traitez les lacunes dans les deux sens : exigences sans mesure, et mesures qui ne servent aucune exigence.
• Rattachez contrôles et preuves à la mesure, et non à chaque référentiel, pour qu’un même enregistrement compte partout où il s’applique.
• Revoyez la cartographie à chaque révision d’un référentiel ou à l’adoption d’un nouveau.

• Supposer une correspondance un pour un. Un point de NIS2 couvre souvent plusieurs mesures de l’annexe A, et inversement.
• Cartographier par mot-clé. Deux clauses qui parlent d’accès peuvent demander des choses différentes.
• Confondre « relié » et « conforme ». Un lien dit quelle mesure devrait satisfaire une exigence ; seules les preuves montrent qu’elle le fait.
• Laisser vieillir la cartographie. Les révisions de référentiels et les nouvelles mesures créent des orphelins des deux côtés.
• Dupliquer les mesures par référentiel, ce qui annule tout l’intérêt et disperse les preuves.

Dans l’espace de travail Comply, la bibliothèque Common Measures propose des mesures de référence recommandées pour vos référentiels. Chaque fiche porte un Acuna Reference ID et des badges indiquant les exigences couvertes, avec une force principale ou secondaire. L’adoption crée votre propre mesure dans la bibliothèque de mesures, déjà reliée à ces exigences. Deux exigences de référentiels différents reliées à la même mesure de référence sont considérées comme liées : c’est le pivot qui alimente les suggestions.

La page Mapping tient deux listes de lacunes à jour : Orphan Measures, avec des badges verts pour les référentiels couverts et des badges orange Missing là où le catalogue attend un lien, et Orphan Requirements, sans mesure reliée. Depuis l’une ou l’autre, vous pouvez :

• Ouvrir les suggestions issues de la bibliothèque de référence, ou lancer Run AI, qui classe les candidats de votre propre bibliothèque avec un score de confiance et une justification d’une ligne.
• Adopter et relier une mesure de référence correspondante en une seule étape (Adopt & link).
• Ignorer un orphelin voulu, qui est masqué sans rien supprimer.
• Sélectionner plusieurs lignes, lancer Suggest for selected, vérifier la meilleure suggestion de chaque ligne, puis appliquer tous les liens en une seule confirmation.

Les contrôles vérifient ensuite la mesure dans Implement, et leur santé remonte à chaque exigence que la mesure sert. Voir comment les mesures et les contrôles sont reliés aux exigences.