Comparateur de référentiels

Ce que recouvrent ISO 27001, CyFun et les onze mesures de l'article 30 de la loi belge, dans les deux sens. Chaque identifiant renvoie à sa fiche.

11Mesures art. 30
93Contrôles ISO
55Mesures CyFun
125Correspondances

Comment lire ce tableau

60 des 93 contrôles de l'Annexe A se rattachent à une mesure de l'article 30. Les 33 restants relèvent du système de management ou de sujets qu'NIS2 n'adresse pas directement : les couvrir n'est pas inutile, mais ce n'est pas exigé par la loi. Les niveaux CyFun portent un « ? » tant qu'ils n'ont pas été recalés sur le référentiel officiel du CCB.

MesureObjetISO 27001CyFun
M1 Analyse des risques et politiques de sécurité des systèmes d'information · art. 21 §2 (a)
Disposer d'une méthodologie d'analyse des risques documentée, d'un registre des risques tenu à jour et d'une politique de sécurité approuvée par la direction.
5.15.75.315.355.36
5 contrôle(s)
GV.OC-03GV.OV-01GV.PO-01ID.RA-01
5 mesure(s)
M2 Gestion des incidents · art. 21 §2 (b)
Détecter, qualifier, traiter et capitaliser sur les incidents, avec les délais de notification réglementaires (24 h / 72 h / 1 mois).
5.245.255.265.275.286.88.158.16
8 contrôle(s)
RS.MA-01DE.AE-02RS.MA-03RS.CO-02RS.MA-05PR.PS-04
6 mesure(s)
M3 Continuité des activités, sauvegardes, reprise après sinistre et gestion de crise · art. 21 §2 (c)
BIA, PCA/PRA testés, sauvegardes restaurables et hors ligne, cellule de crise entraînée.
5.295.308.138.147.11
5 contrôle(s)
ID.AM-05PR.IR-03RC.RP-01ID.IM-02PR.DS-11PR.IR-02
6 mesure(s)
M4 Sécurité de la chaîne d'approvisionnement · art. 21 §2 (d)
Cartographie des fournisseurs critiques, exigences contractuelles de sécurité, surveillance dans la durée.
5.195.205.215.225.23
5 contrôle(s)
GV.SC-04GV.SC-05GV.SC-07
4 mesure(s)
M5 Sécurité de l'acquisition, du développement et de la maintenance, traitement des vulnérabilités · art. 21 §2 (e)
SDLC sécurisé, gestion des vulnérabilités et des correctifs, divulgation coordonnée.
8.88.98.258.268.278.288.298.308.318.328.19
11 contrôle(s)
PR.PS-06GV.SC-07PR.PS-01ID.RA-01ID.RA-06GV.SC-04
9 mesure(s)
M6 Évaluation de l'efficacité des mesures de gestion des risques · art. 21 §2 (f)
Programme d'audit interne, indicateurs, revue de direction — c'est la mesure que les inspections du CCB regardent en premier.
5.355.368.298.34
4 contrôle(s)
GV.OV-01PR.PS-06
2 mesure(s)
M7 Pratiques de cyber-hygiène et formation à la cybersécurité · art. 21 §2 (g)
Socle d'hygiène (mises à jour, moindre privilège, sauvegardes) et sensibilisation régulière, dirigeants inclus.
6.35.108.18.7
4 contrôle(s)
PR.PS-05PR.AT-01GV.RR-04PR.PS-01
4 mesure(s)
M8 Politiques et procédures de cryptographie et de chiffrement · art. 21 §2 (h)
Politique cryptographique, algorithmes et longueurs de clés approuvés, gestion du cycle de vie des clés.
8.245.14
2 contrôle(s)
PR.DS-01PR.DS-02PR.AA-01
6 mesure(s)
M9 Sécurité des ressources humaines, contrôle d'accès et gestion des actifs · art. 21 §2 (i)
Filtrage à l'embauche, départs, inventaire des actifs, revue périodique des droits.
6.16.26.46.56.66.75.95.105.115.125.155.165.175.188.28.3
16 contrôle(s)
PR.AA-05PR.AA-01PR.AA-03ID.AM-01ID.AM-05GV.RR-04
9 mesure(s)
M10 Authentification à plusieurs facteurs ou authentification continue · art. 21 §2 (j)
MFA sur les accès distants, les comptes à privilèges et les applications critiques.
5.178.58.2
3 contrôle(s)
PR.AA-03PR.AA-05
2 mesure(s)
M11 Communications vocales, vidéo et textuelles sécurisées, et communications d'urgence · art. 21 §2 (j)
Canaux de communication protégés, y compris un moyen de secours utilisable si le SI principal est indisponible.
5.148.208.218.22
4 contrôle(s)
PR.AA-05PR.IR-01PR.DS-02
5 mesure(s)
5.1 Politiques de sécurité de l'information
M1
GV.PO-01
5.2 Rôles et responsabilités en matière de sécurité de l'information
—
GV.RR-02
5.3 Séparation des tâches
—
GV.RR-02
5.4 Responsabilités de la direction
—
GV.RR-02
5.5 Contact avec les autorités
—
RS.CO-02
5.6 Contact avec des groupes d'intérêt spéciaux
—
RS.CO-02
5.7 Threat intelligence 2022
M1
ID.RA-01
5.8 Sécurité de l'information dans la gestion de projet
—
PR.PS-06
5.9 Inventaire des actifs
M9
ID.AM-01
5.10 Utilisation acceptable de l'information et des actifs
M7M9
GV.RR-04
5.11 Restitution des actifs
M9
GV.RR-04
5.12 Classification de l'information
M9
ID.AM-05
5.13 Étiquetage de l'information
—
ID.AM-05
5.14 Transfert d'information
M8M11
PR.DS-02
5.15 Contrôle d'accès
M9
PR.AA-05
5.16 Gestion des identités
M9
PR.AA-05PR.AA-01
5.17 Informations d'authentification
M9M10
PR.AA-03
5.18 Droits d'accès
M9
PR.AA-05
5.19 Sécurité de l'information dans les relations avec les fournisseurs
M4
GV.SC-04
5.20 Traiter la sécurité de l'information dans les accords avec les fournisseurs
M4
GV.SC-04GV.SC-05
5.21 Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC
M4
GV.SC-05GV.SC-07
5.22 Surveillance, revue et gestion du changement des services fournisseurs
M4
GV.SC-07
5.23 Sécurité de l'information pour l'utilisation de services cloud 2022
M4
GV.SC-04
5.24 Planification et préparation de la gestion des incidents de sécurité de l'information
M2
RS.MA-01
5.25 Évaluation et décision sur les événements de sécurité de l'information
M2
RS.MA-01DE.AE-02
5.26 Réponse aux incidents de sécurité de l'information
M2
RS.MA-01RS.MA-03RS.CO-02
5.27 Tirer les leçons des incidents de sécurité de l'information
M2
RS.MA-05
5.28 Collecte de preuves
M2
RS.MA-03
5.29 Sécurité de l'information pendant les perturbations
M3
ID.AM-05PR.IR-03ID.IM-02
5.30 Préparation des TIC pour la continuité d'activité 2022
M3
ID.AM-05PR.IR-03RC.RP-01ID.IM-02
5.31 Exigences légales, statutaires, réglementaires et contractuelles
M1
GV.OC-03
5.32 Droits de propriété intellectuelle
—
GV.OC-03
5.33 Protection des enregistrements
—
GV.OV-02
5.34 Confidentialité et protection des informations personnelles identifiables
—
PR.DS-01GV.OC-03
5.35 Revue indépendante de la sécurité de l'information
M1M6
GV.OV-01
5.36 Conformité aux politiques, règles et normes de sécurité de l'information
M1M6
GV.OV-01
5.37 Procédures opérationnelles documentées
—
GV.OV-02
6.1 Sélection
M9
GV.RR-04
6.2 Termes et conditions d'emploi
M9
GV.RR-04
6.3 Sensibilisation, éducation et formation à la sécurité de l'information
M7
PR.AT-01
6.4 Processus disciplinaire
M9
GV.RR-04
6.5 Responsabilités après la cessation ou le changement d'emploi
M9
GV.RR-04
6.6 Accords de confidentialité ou de non-divulgation
M9
GV.RR-04
6.7 Travail à distance
M9
PR.AA-05
6.8 Rapports d'événements de sécurité de l'information
M2
DE.AE-02
7.1 Périmètres de sécurité physique
—
PR.AA-06
7.2 Entrées physiques
—
PR.AA-06
7.3 Sécurisation des bureaux, des salles et des installations
—
PR.AA-06
7.4 Surveillance de la sécurité physique 2022
—
PR.AA-06
7.5 Protection contre les menaces physiques et environnementales
—
PR.IR-02
7.6 Travail dans les zones sécurisées
—
PR.AA-06
7.7 Bureau propre et écran vide
—
PR.AA-06
7.8 Emplacement et protection des équipements
—
PR.AA-06
7.9 Sécurité des actifs hors des locaux
—
PR.AA-06
7.10 Supports de stockage
—
ID.AM-08
7.11 Services de support
M3
PR.IR-02
7.12 Sécurité du câblage
—
PR.IR-02
7.13 Maintenance des équipements
—
PR.AA-06
7.14 Mise au rebut ou réutilisation sécurisée des équipements
—
ID.AM-08
8.1 Dispositifs de point de terminaison utilisateur
M7
PR.PS-01
8.2 Droits d'accès privilégié
M9M10
PR.AA-05
8.3 Restriction d'accès à l'information
M9
PR.AA-01
8.4 Accès au code source
—
PR.PS-06
8.5 Authentification sécurisée
M10
PR.AA-03
8.6 Gestion de la capacité
—
PR.PS-01
8.7 Protection contre les malwares
M7
PR.PS-05PR.PS-01
8.8 Gestion des vulnérabilités techniques
M5
ID.RA-01ID.RA-06
8.9 Gestion de la configuration 2022
M5
PR.PS-01
8.10 Suppression d'information 2022
—
ID.AM-08
8.11 Masquage des données 2022
—
PR.DS-01
8.12 Prévention de la fuite de données 2022
—
PR.DS-01
8.13 Sauvegarde de l'information
M3
RC.RP-01PR.DS-11
8.14 Redondance des installations de traitement de l'information
M3
RC.RP-01
8.15 Journalisation (Logging)
M2
PR.PS-04
8.16 Activités de surveillance 2022
M2
DE.AE-02PR.PS-04
8.17 Synchronisation des horloges
—
PR.PS-04
8.18 Utilisation de programmes utilitaires privilégiés
—
PR.AA-05
8.19 Installation de logiciels sur les systèmes opérationnels
M5
PR.PS-01ID.RA-06
8.20 Sécurité des réseaux
M11
PR.IR-01
8.21 Sécurité des services réseau
M11
PR.AA-05PR.IR-01PR.DS-02
8.22 Ségrégation des réseaux
M11
PR.IR-01PR.DS-02
8.23 Filtrage web 2022
—
PR.PS-05
8.24 Utilisation de la cryptographie
M8
PR.DS-01PR.DS-02PR.AA-01
8.25 Cycle de vie de développement sécurisé
M5
PR.PS-06GV.SC-07
8.26 Exigences de sécurité des applications
M5
PR.PS-06
8.27 Architecture de système sécurisé et principes d'ingénierie
M5
PR.PS-06
8.28 Codage sécurisé 2022
M5
PR.PS-06
8.29 Tests de sécurité en développement et acceptation
M5M6
PR.PS-06
8.30 Développement externalisé
M5
PR.PS-06GV.SC-07GV.SC-04
8.31 Séparation des environnements de développement, de test et de production
M5
PR.PS-06
8.32 Gestion des changements
M5
PR.PS-01
8.33 Information de test
—
PR.PS-06
8.34 Protection des systèmes d'information pendant les tests d'audit
M6
GV.OV-01
GV.PO-01
GOV-01
 Politique de sécurité de l'information
M1
5.15.2
GV.RR-02
GOV-02
 Organisation de la sécurité
—
5.25.35.45.3
GV.RM-01
GOV-03
 Gestion des risques
—
6.1.16.1.26.1.38.28.3
GV.OC-03
GOV-04
 Conformité et obligations légales
M1
5.315.325.34
PR.AT-01
HUM-01
 Sensibilisation et formation
M7
6.3
GV.RR-04
HUM-02
 Processus d'embauche sécurisé
M7M9
5.106.16.26.46.6
GV.RR-04
HUM-03
 Processus de départ
M9
5.116.5
PR.AA-05
HUM-04
 Gestion des privilèges utilisateurs
M9M10
5.188.188.2
ID.AM-01
ASS-01
 Inventaire des actifs
M9
5.9
ID.AM-05
ASS-02
 Classification de l'information
M9
5.125.13
ID.AM-08
ASS-03
 Gestion des supports
—
7.107.148.10
PR.DS-01
ASS-04
 Protection des données sensibles
M8
5.348.118.128.24
PR.AA-05
ACC-01
 Politique de contrôle d'accès
M9
5.155.16
PR.AA-01
ACC-02
 Gestion des identités
M9
5.168.3
PR.AA-03
ACC-03
 Authentification forte
M9M10
5.178.5
PR.AA-05
ACC-04
 Gestion des accès distants
M9M11
6.78.21
PR.DS-01
CRY-01
 Politique cryptographique
M8
8.24
PR.DS-01
CRY-02
 Chiffrement des données au repos
M8
8.24
PR.DS-02
CRY-03
 Chiffrement des communications
M8M11
8.228.24
PR.AA-01
CRY-04
 Gestion des clés cryptographiques
M8
8.24
PR.AA-06
PHY-01
 Périmètres de sécurité
—
7.17.2
PR.AA-06
PHY-02
 Contrôle d'accès physique
—
7.27.37.47.67.7
PR.AA-06
PHY-03
 Sécurité des équipements
—
7.137.87.9
PR.IR-02
PHY-04
 Protection environnementale
M3
7.117.127.5
PR.PS-01
OPS-01
 Gestion de la configuration
M5M7
8.18.198.68.78.9
ID.RA-01
OPS-02
 Gestion des vulnérabilités
M1M5
5.78.8
ID.RA-06
OPS-03
 Gestion des correctifs
M5
8.198.8
PR.PS-04
OPS-04
 Surveillance et logging
M2
8.158.168.17
PR.DS-11
OPS-05
 Sauvegarde et restauration
M3
8.13
PR.PS-01
OPS-06
 Gestion des changements
M5
8.32
PR.IR-01
COM-01
 Sécurité réseau
M11
8.208.218.22
PR.IR-01
COM-02
 Sécurité wiFi
M11
8.208.21
PR.PS-05
COM-03
 Sécurité de la messagerie
M7
8.238.7
PR.DS-02
COM-04
 Transferts sécurisés
M8M11
5.148.21
PR.PS-06
DEV-01
 Secure SDLC
M5
5.88.258.268.278.308.31
PR.PS-06
DEV-02
 Codage sécurisé
M5
8.288.4
PR.PS-06
DEV-03
 Tests de sécurité
M5M6
8.298.33
GV.SC-07
DEV-04
 Gestion des dépendances
M5
8.258.30
GV.SC-04
SUP-01
 Évaluation des fournisseurs
M4M5
5.195.208.30
GV.SC-05
SUP-02
 Contrats et SLA
M4
5.205.21
GV.SC-07
SUP-03
 Surveillance des fournisseurs
M4
5.215.22
GV.SC-04
SUP-04
 Sécurité cloud
M4
5.23
RS.MA-01
INC-01
 Processus de gestion des incidents
M2
5.245.255.26
DE.AE-02
INC-02
 Détection et signalement
M2
5.256.88.16
RS.MA-03
INC-03
 Réponse et récupération
M2
5.265.28
RS.CO-02
INC-04
 Notification et communication
M2
5.265.55.6
RS.MA-05
INC-05
 Leçons apprises
M2
5.2710.110.2
ID.AM-05
BCM-01
 Business impact analysis (BIA)
M3
5.295.30
PR.IR-03
BCM-02
 Plan de continuité (BCP)
M3
5.295.30
RC.RP-01
BCM-03
 Plan de reprise (DRP)
M3
5.308.138.14
ID.IM-02
BCM-04
 Tests et exercices
M3
5.295.309.1
GV.OC-03
CMP-01
 Veille réglementaire
M1
5.31
GV.OV-01
CMP-02
 Audits de sécurité
M1M6
5.355.368.349.2
GV.OC-03
CMP-03
 Protection des données personnelles (RGPD)
—
5.34
GV.OV-02
CMP-04
 Documentation et preuves
—
5.335.377.5