« CyFun 2.0 », « CyFun 2025 », « CyFun v2 »

Trois appellations pour la même chose : la version du CyberFundamentals Framework publiée par le CCB en octobre 2025, alignée sur le NIST CSF 2.0 et dotée de la fonction GOVERN. Le nom de version est CyFun 2.0 ; « 2025 » est l'année de publication, pas un autre référentiel. Ce site emploie CyFun 2.0 partout.

La version antérieure, CyFun 2023, reste utilisable jusqu'au 18 avril 2027. Pour un audit, demandez à votre organisme de certification la grille en vigueur à la date prévue : c'est elle qui fait foi.

Introduction au CyFun CCB

CyFun 2.0 (CyberFundamentals Framework v2.0) est la version actuelle du référentiel publié par le Centre pour la Cybersécurité Belgique (CCB). Mise à jour majeure de 2025 alignée sur les exigences de la directive NIS2 et du NIST CSF v2.0, elle introduit le niveau « Small » pour les très petites organisations et raffine les exigences des niveaux Basic, Important et Essential. Cette page documente la v2.0 actuelle.

Objectifs du CyFun

  • Accessibilité : Mesures compréhensibles pour toutes les organisations
  • Pragmatisme : Approche pratique et mise en œuvre réaliste
  • Conformité : Alignement avec NIS2, RGPD, et normes internationales
  • Évolutivité : Cadre adaptable selon la maturité de l'organisation

Structure du Référentiel

  • 13 domaines de sécurité couvrant l'ensemble du SMSI
  • 55 mesures concrètes avec exigences détaillées
  • Mapping complet avec NIS2 et ISO 27001
  • Guides d'implémentation pour chaque mesure

Particularités du CyFun CCB

  • Référentiel officiel belge reconnu par le CCB
  • Adapté aux PME et ETI belges et européennes
  • Intégration native des exigences NIS2 et RGPD
  • Support en français, néerlandais et anglais

1. Gouvernance de la Sécurité

Établir le cadre de gouvernance de la cybersécurité avec des politiques, rôles et responsabilités clairs.

GV.PO-01

Politique de sécurité de l'information

Définir, approuver et communiquer une politique de sécurité de l'information alignée avec les objectifs métier

GOV-01

Exigences

  • Document de politique approuvé par la direction
  • Couverture de tous les aspects de sécurité
  • Révision annuelle minimum
  • Communication à tout le personnel
  • Déclinaison en politiques spécifiques si nécessaire

Mise en œuvre

Rédiger une politique concise (5-10 pages) définissant les principes, périmètre, responsabilités et engagement de la direction. La faire valider en comité exécutif et diffuser via intranet et formations.

Correspondances

NIST CSF 2.0 GV.PO-01GV.PO-02
ISO 27001 Annexe A 5.1
ISO 27001 chapitres 5.2 système de management, hors Annexe A
NIS2 art. 30 Mesure 1
GV.RR-02

Organisation de la sécurité

Définir les rôles, responsabilités et structure organisationnelle pour la cybersécurité

GOV-02

Exigences

  • Désignation d'un RSSI (ou équivalent)
  • Définition des rôles de sécurité
  • Comité de pilotage sécurité
  • Lignes de reporting claires
  • Séparation des tâches critiques

Mise en œuvre

Créer un organigramme de sécurité avec RSSI, DPO, équipes IT et métiers. Établir un comité mensuel avec sponsors exécutifs. Documenter dans le référentiel RH.

Correspondances

NIST CSF 2.0 GV.RR-02GV.RR-03
ISO 27001 Annexe A 5.25.35.4
ISO 27001 chapitres 5.3 système de management, hors Annexe A
GV.RM-01

Gestion des risques

Mettre en place un processus formel d'identification, évaluation et traitement des risques cyber

GOV-03

Exigences

  • Méthodologie de gestion des risques définie
  • Analyse de risques formelle et documentée
  • Réévaluation régulière (au moins annuelle)
  • Plan de traitement des risques
  • Acceptation formelle des risques résiduels par la direction

Mise en œuvre

Adopter une méthode reconnue (ISO 27005, EBIOS Risk Manager). Réaliser des ateliers d'identification avec les métiers. Utiliser une matrice impact/probabilité. Documenter dans un registre des risques.

Correspondances

NIST CSF 2.0 GV.RM-01ID.RA-01ID.RA-05
ISO 27001 chapitres 6.1.16.1.26.1.38.28.3 système de management, hors Annexe A
GV.OC-03

Conformité et obligations légales

Identifier et respecter les exigences légales, réglementaires et contractuelles applicables

GOV-04

Exigences

  • Registre des exigences légales
  • Veille réglementaire active
  • Évaluations de conformité périodiques
  • Actions de mise en conformité
  • Documentation des preuves de conformité

Mise en œuvre

Créer un tableau recensant RGPD, NIS2, DORA (si applicable), sectorielles. Abonnement veille juridique. Audits annuels. Liaison avec legal/compliance.

Correspondances

NIST CSF 2.0 GV.OC-03
ISO 27001 Annexe A 5.315.325.34
NIS2 art. 30 Mesure 1

2. Ressources Humaines et Sensibilisation

Assurer que le personnel est compétent, formé et sensibilisé aux enjeux de cybersécurité.

PR.AT-01

Sensibilisation et formation

Développer et maintenir un programme de sensibilisation et formation cybersécurité pour tout le personnel

HUM-01

Exigences

  • Programme de sensibilisation annuel obligatoire
  • Formation à l'embauche
  • Modules spécifiques par rôle
  • Tests de connaissances (quiz, simulations)
  • Suivi des participations et résultats

Mise en œuvre

E-learning obligatoire annuel (30-45 min) couvrant: phishing, mots de passe, données sensibles, incidents. Compléter par des campagnes (affiches, newsletters). Simulations phishing trimestrielles.

Correspondances

NIST CSF 2.0 PR.AT-01PR.AT-02
ISO 27001 Annexe A 6.3
NIS2 art. 30 Mesure 7
GV.RR-04

Processus d'embauche sécurisé

Intégrer la sécurité dans le processus de recrutement et d'intégration

HUM-02

Exigences

  • Vérification des antécédents selon le poste
  • Clauses de sécurité dans contrats
  • Accords de confidentialité (NDA)
  • Formation sécurité obligatoire à l'arrivée
  • Remise de la charte informatique

Mise en œuvre

Screening selon criticité (références, diplômes, casier pour postes sensibles). Contrat incluant obligations sécurité. NDA systématique. Kit onboarding sécurité J1.

Correspondances

NIST CSF 2.0 GV.RR-04
ISO 27001 Annexe A 5.106.16.26.46.6
NIS2 art. 30 Mesure 7Mesure 9
GV.RR-04

Processus de départ

Gérer de manière sécurisée la fin d'emploi ou le changement de poste

HUM-03

Exigences

  • Procédure de départ formalisée
  • Révocation immédiate des accès
  • Restitution de tous les actifs
  • Rappel des obligations post-emploi
  • Désactivation badges, comptes, VPN

Mise en œuvre

Checklist de départ validée par RH et IT. Désactivation J-1 ou J0. Récupération matériel, badges, clés. Entretien de sortie rappelant confidentialité. Archivage compte email 90j puis suppression.

Correspondances

NIST CSF 2.0 GV.RR-04PR.AA-05
ISO 27001 Annexe A 5.116.5
NIS2 art. 30 Mesure 9
PR.AA-05

Gestion des privilèges utilisateurs

Contrôler strictement l'attribution et l'utilisation des droits d'accès privilégiés

HUM-04

Exigences

  • Principe du moindre privilège appliqué
  • Comptes nominatifs (pas de comptes partagés)
  • MFA obligatoire pour comptes à privilèges
  • Surveillance des actions privilégiées
  • Revue trimestrielle des droits

Mise en œuvre

Solution PAM (Privileged Access Management). Comptes admin séparés des comptes utilisateurs. Sessions enregistrées. Workflow d'élévation temporaire. Revues par les managers.

Correspondances

NIST CSF 2.0 PR.AA-05
ISO 27001 Annexe A 5.188.188.2
NIS2 art. 30 Mesure 9Mesure 10

3. Gestion des Actifs

Identifier, classifier et protéger les actifs informationnels critiques de l'organisation.

ID.AM-01

Inventaire des actifs

Maintenir un inventaire à jour de tous les actifs informationnels et technologiques

ASS-01

Exigences

  • Inventaire complet et à jour
  • Propriétaires identifiés pour chaque actif
  • Localisation des actifs
  • Classification de criticité
  • Mise à jour lors de changements

Mise en œuvre

CMDB (Configuration Management Database) ou outil d'inventaire automatisé. Scanner réseau mensuel. Attribution ownership dans l'outil. Tags de criticité (1-5). Workflow de validation changements.

Correspondances

NIST CSF 2.0 ID.AM-01ID.AM-02ID.AM-03ID.AM-04
ISO 27001 Annexe A 5.9
NIS2 art. 30 Mesure 9
ID.AM-05

Classification de l'information

Classifier l'information selon son niveau de sensibilité et appliquer les protections appropriées

ASS-02

Exigences

  • Schéma de classification défini (ex: Public, Interne, Confidentiel, Secret)
  • Critères de classification clairs
  • Étiquetage des documents et données
  • Règles de traitement par niveau
  • Révision périodique

Mise en œuvre

4 niveaux: Public (vert), Interne (jaune), Confidentiel (orange), Secret (rouge). Étiquettes automatiques email/documents. Règles DLP selon classification. Formation utilisateurs.

Correspondances

NIST CSF 2.0 ID.AM-05ID.AM-07
ISO 27001 Annexe A 5.125.13
NIS2 art. 30 Mesure 9
ID.AM-08

Gestion des supports

Gérer de manière sécurisée les supports de stockage physiques et électroniques

ASS-03

Exigences

  • Procédures de manipulation des supports
  • Chiffrement des supports amovibles
  • Contrôle des transferts hors site
  • Destruction sécurisée en fin de vie
  • Traçabilité des supports sensibles

Mise en œuvre

Interdiction USB sauf autorisés et chiffrés (BitLocker to Go). Registre des sorties de supports. Broyage certifié ou effacement cryptographique. Destruction physique disques sensibles.

Correspondances

NIST CSF 2.0 ID.AM-08PR.DS-01
ISO 27001 Annexe A 7.107.148.10
PR.DS-01

Protection des données sensibles

Protéger spécifiquement les données à caractère personnel et sensibles

ASS-04

Exigences

  • Identification des données sensibles/personnelles
  • Mesures de protection renforcées
  • Chiffrement des données sensibles
  • Minimisation et pseudonymisation
  • Conformité RGPD

Mise en œuvre

Registre des traitements RGPD. Data mapping. Chiffrement AES-256 au repos et TLS 1.2+ en transit. Anonymisation données de test. Privacy by design dans projets.

Correspondances

NIST CSF 2.0 PR.DS-01PR.DS-02PR.DS-10
ISO 27001 Annexe A 5.348.118.128.24
NIS2 art. 30 Mesure 8

4. Contrôle d'Accès et Identité

Gérer les accès aux systèmes et données selon le principe du moindre privilège.

PR.AA-05

Politique de contrôle d'accès

Définir et appliquer une politique formelle de contrôle d'accès

ACC-01

Exigences

  • Politique de contrôle d'accès documentée
  • Principe du besoin d'en connaître (need-to-know)
  • Règles d'octroi, modification, révocation
  • Séparation des environnements
  • Revues régulières des accès

Mise en œuvre

Politique définissant: processus de demande, approbation manager obligatoire, provisioning IT, revue trimestrielle. RBAC (Role-Based Access Control) où possible. Séparation prod/dev/test.

Correspondances

NIST CSF 2.0 PR.AA-05
ISO 27001 Annexe A 5.155.16
NIS2 art. 30 Mesure 9
PR.AA-01

Gestion des identités

Gérer le cycle de vie complet des identités numériques

ACC-02

Exigences

  • Processus de création d'identités
  • Comptes nominatifs (un compte = une personne)
  • Désactivation automatique des comptes inactifs
  • Suppression des comptes après départ
  • Traçabilité des actions

Mise en œuvre

IDM (Identity Management) intégré RH. Provisioning automatique à l'embauche. Désactivation auto après 90j inactivité. Suppression J+30 après départ. Logs d'authentification 1 an.

Correspondances

NIST CSF 2.0 PR.AA-01PR.AA-02
ISO 27001 Annexe A 5.168.3
NIS2 art. 30 Mesure 9
PR.AA-03

Authentification forte

Mettre en œuvre l'authentification multi-facteurs pour les accès sensibles

ACC-03

Exigences

  • MFA obligatoire pour accès à distance (VPN, webmail)
  • MFA pour comptes à privilèges
  • MFA pour applications critiques
  • Méthodes d'authentification robustes (non SMS si possible)
  • Politique de mots de passe forte

Mise en œuvre

Solution MFA (Microsoft Authenticator, Yubikey, Duo). MFA sur: VPN, O365, admin, apps critiques. Mots de passe: 12 car min, complexité, rotation 90j comptes admin. Pas de réutilisation.

Correspondances

NIST CSF 2.0 PR.AA-03PR.AA-04
ISO 27001 Annexe A 5.178.5
NIS2 art. 30 Mesure 9Mesure 10
PR.AA-05

Gestion des accès distants

Sécuriser les accès à distance aux ressources de l'organisation

ACC-04

Exigences

  • VPN obligatoire pour accès distant
  • Chiffrement fort des connexions
  • MFA sur VPN
  • Restriction d'accès basée sur la source
  • Monitoring des connexions distantes

Mise en œuvre

VPN SSL/IPSec avec MFA. Split tunneling désactivé. Accès conditionnel: géolocalisation, device compliance. Session timeout 8h. Logs centralisés SIEM. Politique BYOD stricte.

Correspondances

NIST CSF 2.0 PR.AA-05PR.IR-01
ISO 27001 Annexe A 6.78.21
NIS2 art. 30 Mesure 9Mesure 11

5. Cryptographie et Protection des Données

Protéger la confidentialité et l'intégrité des données sensibles par la cryptographie.

PR.DS-01

Politique cryptographique

Définir les standards et règles d'utilisation de la cryptographie

CRY-01

Exigences

  • Politique cryptographique formalisée
  • Algorithmes et longueurs de clés approuvés
  • Interdiction des algorithmes faibles (MD5, SHA-1, DES, RC4)
  • Règles de gestion des clés
  • Conformité aux standards (NIST, ANSSI)

Mise en œuvre

Document listant: AES-256, RSA-2048+, SHA-256+, TLS 1.2+. Interdire: <1024 bits, algo obsolètes. Référence: ANSSI RGS, NIST. Revue annuelle pour évolution menaces.

Correspondances

NIST CSF 2.0 PR.DS-01PR.DS-02
ISO 27001 Annexe A 8.24
NIS2 art. 30 Mesure 8
PR.DS-01

Chiffrement des données au repos

Chiffrer les données sensibles stockées sur tous types de supports

CRY-02

Exigences

  • Chiffrement des disques des postes de travail
  • Chiffrement des serveurs hébergeant données sensibles
  • Chiffrement des bases de données sensibles
  • Chiffrement des sauvegardes
  • Chiffrement des supports amovibles

Mise en œuvre

BitLocker/FileVault sur postes. Full Disk Encryption serveurs. TDE (Transparent Data Encryption) sur bases. Veeam/Commvault avec chiffrement. USB chiffrés uniquement.

Correspondances

NIST CSF 2.0 PR.DS-01
ISO 27001 Annexe A 8.24
NIS2 art. 30 Mesure 8
PR.DS-02

Chiffrement des communications

Sécuriser les communications internes et externes par chiffrement

CRY-03

Exigences

  • TLS/SSL pour tous les services web (HTTPS)
  • Chiffrement des emails contenant données sensibles
  • VPN pour communications site-à-site
  • Chiffrement WiFi WPA3
  • Messagerie sécurisée si nécessaire

Mise en œuvre

HTTPS obligatoire (HSTS activé). S/MIME ou PGP pour emails sensibles. IPsec site-to-site. WiFi WPA3-Enterprise + 802.1X. Signal/WhatsApp Business si messagerie instantanée.

Correspondances

NIST CSF 2.0 PR.DS-02
ISO 27001 Annexe A 8.228.24
NIS2 art. 30 Mesure 8Mesure 11
PR.AA-01

Gestion des clés cryptographiques

Gérer de manière sécurisée le cycle de vie des clés cryptographiques

CRY-04

Exigences

  • Génération sécurisée des clés
  • Stockage sécurisé (HSM, Key Vault)
  • Distribution sécurisée
  • Rotation régulière des clés
  • Destruction sécurisée en fin de vie

Mise en œuvre

HSM (Hardware Security Module) ou Cloud Key Vault (Azure Key Vault, AWS KMS). Génération aléatoire forte. Rotation annuelle minimum. Escrow des clés critiques. Procédure destruction.

Correspondances

NIST CSF 2.0 PR.AA-01PR.DS-01
ISO 27001 Annexe A 8.24
NIS2 art. 30 Mesure 8

6. Sécurité Physique et Environnementale

Protéger les locaux, équipements et infrastructures contre les menaces physiques.

PR.AA-06

Périmètres de sécurité

Définir et protéger les périmètres physiques des zones sensibles

PHY-01

Exigences

  • Identification des zones sensibles
  • Barrières physiques appropriées
  • Contrôle d'accès aux entrées
  • Signalétique des zones restreintes
  • Protection périmétrique extérieure

Mise en œuvre

Zonage: public, interne, restreint, haute sécurité. Portes sécurisées avec badges. Sas pour salles serveurs. Panneaux 'Accès Interdit'. Clôtures, cameras externes.

Correspondances

NIST CSF 2.0 PR.AA-06
ISO 27001 Annexe A 7.17.2
PR.AA-06

Contrôle d'accès physique

Contrôler et tracer les accès physiques aux zones sensibles

PHY-02

Exigences

  • Système de badges électroniques
  • Gestion des visiteurs
  • Logs d'accès physiques
  • Révocation immédiate des badges lors des départs
  • Zones serveurs à accès très restreint

Mise en œuvre

Badges RFID avec photo. Réception dédiée visiteurs + badge temporaire + accompagnement. Logs 1 an. Désactivation badge J0 départ. Datacenter: double authentification.

Correspondances

NIST CSF 2.0 PR.AA-06DE.CM-02
ISO 27001 Annexe A 7.27.37.47.67.7
PR.AA-06

Sécurité des équipements

Protéger les équipements informatiques contre le vol, dommage ou compromission

PHY-03

Exigences

  • Équipements sécurisés physiquement
  • Baies serveurs verrouillées
  • Antivols sur équipements portables
  • Étiquetage et inventaire
  • Procédure de sortie d'équipements

Mise en œuvre

Serveurs en datacenter ou salle fermée. Racks verrouillés. Kensington lock portables. Asset tags. Autorisation écrite pour sortie matériel + scan sécurité.

Correspondances

NIST CSF 2.0 PR.AA-06PR.PS-03
ISO 27001 Annexe A 7.137.87.9
PR.IR-02

Protection environnementale

Protéger contre les menaces environnementales (incendie, inondation, etc.)

PHY-04

Exigences

  • Système de détection et extinction incendie
  • Protection contre les inondations
  • Contrôle de température et humidité
  • Alimentation électrique sécurisée (UPS, groupe électrogène)
  • Maintenance préventive régulière

Mise en œuvre

Détection incendie + extinction gaz inerte (FM-200) datacenter. Rez-de-chaussée évité ou protection. Climatisation redondante. UPS N+1 + générateur. Contrats maintenance 24/7.

Correspondances

NIST CSF 2.0 PR.IR-02PR.IR-04
ISO 27001 Annexe A 7.117.127.5
NIS2 art. 30 Mesure 3

7. Sécurité Opérationnelle

Assurer la sécurité des opérations quotidiennes et la gestion des vulnérabilités.

PR.PS-01

Gestion de la configuration

Maintenir une configuration sécurisée et cohérente des systèmes

OPS-01

Exigences

  • Baseline de configuration sécurisée
  • Gestion centralisée des configurations
  • Hardening selon standards (CIS Benchmarks)
  • Contrôle des changements de configuration
  • Audits de configuration réguliers

Mise en œuvre

Standards CIS Level 1 minimum. Configuration as Code (Ansible, Puppet). Scans de conformité hebdomadaires (Nessus, Qualys). Alertes dérives. Validation avant prod.

Correspondances

NIST CSF 2.0 PR.PS-01
ISO 27001 Annexe A 8.18.198.68.78.9
NIS2 art. 30 Mesure 5Mesure 7
ID.RA-01

Gestion des vulnérabilités

Identifier, évaluer et corriger les vulnérabilités de manière proactive

OPS-02

Exigences

  • Scans de vulnérabilités réguliers (au moins mensuel)
  • Veille sur les CVE et bulletins de sécurité
  • Priorisation selon criticité (CVSS)
  • Processus de remédiation avec SLA
  • Validation des correctifs

Mise en œuvre

Scans automatiques hebdo. Abonnement flux CVE (CERT, vendors). Matrice: Critique 48h, Haute 7j, Moyenne 30j, Basse 90j. Tests patchs en preprod. Déploiement orchestré.

Correspondances

NIST CSF 2.0 ID.RA-01ID.RA-08
ISO 27001 Annexe A 5.78.8
NIS2 art. 30 Mesure 1Mesure 5
ID.RA-06

Gestion des correctifs

Appliquer les correctifs de sécurité en temps opportun

OPS-03

Exigences

  • Processus de gestion des patchs défini
  • Tests préalables en environnement de test
  • Planification et communication
  • Déploiement selon criticité
  • Vérification post-déploiement

Mise en œuvre

WSUS/SCCM pour Windows, gestionnaires de paquets Linux. Fenêtre maintenance mensuelle. Patchs critiques: urgence dans les 48h. Test systematique preprod. Rollback plan ready.

Correspondances

NIST CSF 2.0 ID.RA-06PR.PS-02
ISO 27001 Annexe A 8.198.8
NIS2 art. 30 Mesure 5
PR.PS-04

Surveillance et logging

Surveiller les systèmes et collecter les logs pour détecter les anomalies

OPS-04

Exigences

  • Centralisation des logs (SIEM)
  • Logs des événements de sécurité
  • Monitoring 24/7 (ou selon criticité)
  • Alertes automatiques
  • Rétention selon exigences légales (min 6 mois)

Mise en œuvre

SIEM (Splunk, QRadar, ELK). Collecte: authentifications, accès privilégiés, firewall, EDR. Règles de corrélation. SOC interne ou externalisé. Retention 12 mois (NIS2: preuves incidents).

Correspondances

NIST CSF 2.0 PR.PS-04DE.CM-01DE.CM-03DE.CM-09
ISO 27001 Annexe A 8.158.168.17
NIS2 art. 30 Mesure 2
PR.DS-11

Sauvegarde et restauration

Assurer la sauvegarde régulière et la capacité de restauration des données critiques

OPS-05

Exigences

  • Stratégie de sauvegarde 3-2-1 (3 copies, 2 supports, 1 hors site)
  • Sauvegardes chiffrées
  • Tests de restauration réguliers (au moins trimestriel)
  • Sauvegarde hors ligne (protection ransomware)
  • Documentation des procédures

Mise en œuvre

Backup quotidien incrémental, hebdo complet. NAS local + cloud (immutable). Tests restauration mensuelle. Air gap ou WORM pour copie finale. RPO/RTO documentés par système.

Correspondances

NIST CSF 2.0 PR.DS-11
ISO 27001 Annexe A 8.13
NIS2 art. 30 Mesure 3
PR.PS-01

Gestion des changements

Contrôler et documenter tous les changements sur les systèmes de production

OPS-06

Exigences

  • Processus formel de gestion des changements
  • Évaluation des risques avant changement
  • Tests et validation
  • Approbation par CAB (Change Advisory Board)
  • Documentation et traçabilité

Mise en œuvre

ITSM (ServiceNow, Jira Service Desk). RFC obligatoire. CAB hebdo pour changements standard, urgence pour critiques. Tests preprod mandatory. Rollback procedure. CMDB mise à jour.

Correspondances

NIST CSF 2.0 PR.PS-01ID.RA-07ID.IM-03
ISO 27001 Annexe A 8.32
NIS2 art. 30 Mesure 5

8. Sécurité des Communications

Sécuriser les réseaux et les échanges d'informations internes et externes.

PR.IR-01

Sécurité réseau

Implémenter une architecture réseau sécurisée avec défense en profondeur

COM-01

Exigences

  • Segmentation réseau (VLANs, sous-réseaux)
  • Pare-feu avec règles de filtrage strictes
  • IDS/IPS pour détection d'intrusions
  • DMZ pour services exposés
  • Micro-segmentation si possible

Mise en œuvre

VLANs: utilisateurs, serveurs, VoIP, IoT, invités. Firewalls Next-Gen (Palo Alto, Fortinet). IPS inline. DMZ pour web, mail. Zero Trust Network Access (ZTNA) en évolution.

Correspondances

NIST CSF 2.0 PR.IR-01
ISO 27001 Annexe A 8.208.218.22
NIS2 art. 30 Mesure 11
PR.IR-01

Sécurité wiFi

Sécuriser les réseaux sans fil de l'organisation

COM-02

Exigences

  • WPA3-Enterprise avec 802.1X
  • SSIDs séparés (corporate, invités)
  • Isolation client WiFi
  • Détection de rogues APs
  • Chiffrement fort

Mise en œuvre

WPA3-Enterprise + RADIUS. SSID corporate invisible. Guest network isolé + portail captif. WIPS (Wireless IPS) pour détection. Audit site survey annuel.

Correspondances

NIST CSF 2.0 PR.IR-01PR.AA-03
ISO 27001 Annexe A 8.208.21
NIS2 art. 30 Mesure 11
PR.PS-05

Sécurité de la messagerie

Protéger la messagerie électronique contre les menaces

COM-03

Exigences

  • Filtrage anti-spam et anti-malware
  • Protection anti-phishing avancée
  • SPF, DKIM, DMARC configurés
  • Sandboxing des pièces jointes
  • Formation utilisateurs phishing

Mise en œuvre

Gateway email (Proofpoint, Mimecast). ATP (Advanced Threat Protection) O365/Google. SPF/DKIM/DMARC à enforcement. Sandbox Cuckoo/FireEye. Simulations phishing mensuelles.

Correspondances

NIST CSF 2.0 PR.PS-05DE.CM-01
ISO 27001 Annexe A 8.238.7
NIS2 art. 30 Mesure 7
PR.DS-02

Transferts sécurisés

Sécuriser les transferts de fichiers et données sensibles

COM-04

Exigences

  • Protocoles sécurisés (SFTP, HTTPS, FTPS)
  • Interdiction FTP, Telnet non chiffrés
  • Plateforme d'échange sécurisé
  • Chiffrement end-to-end si très sensible
  • Traçabilité des transferts

Mise en œuvre

SFTP ou HTTPS uniquement. Plateforme type Tresorit, Oodrive. DLP pour bloquer canaux non autorisés (Dropbox perso). Logs centralisés. Signature électronique si requis.

Correspondances

NIST CSF 2.0 PR.DS-02
ISO 27001 Annexe A 5.148.21
NIS2 art. 30 Mesure 8Mesure 11

9. Développement et Acquisition Sécurisés

Intégrer la sécurité dès la conception des systèmes et applications.

PR.PS-06

Secure SDLC

Implémenter un cycle de développement logiciel sécurisé

DEV-01

Exigences

  • Méthodologie Secure SDLC définie
  • Security by Design
  • Threat modeling sur projets critiques
  • Security requirements dès la conception
  • Security testing à chaque phase

Mise en œuvre

Adopter Microsoft SDL ou OWASP SAMM. Threat modeling (STRIDE) en phase design. Security stories dans backlog. Gates de sécurité avant prod. DevSecOps culture.

Correspondances

NIST CSF 2.0 PR.PS-06
ISO 27001 Annexe A 5.88.258.268.278.308.31
NIS2 art. 30 Mesure 5
PR.PS-06

Codage sécurisé

Appliquer les bonnes pratiques de codage sécurisé

DEV-02

Exigences

  • Standards de codage sécurisé (OWASP)
  • Validation des entrées
  • Gestion sécurisée des erreurs
  • Pas de secrets en dur dans le code
  • Code reviews avec focus sécurité

Mise en œuvre

Guidelines OWASP. Input validation systématique. Try-catch sans exposition d'infos sensibles. Secrets dans vault (HashiCorp, Azure). Peer reviews + automated checks (SonarQube).

Correspondances

NIST CSF 2.0 PR.PS-06
ISO 27001 Annexe A 8.288.4
NIS2 art. 30 Mesure 5
PR.PS-06

Tests de sécurité

Tester la sécurité des applications avant mise en production

DEV-03

Exigences

  • SAST (analyse statique du code)
  • DAST (tests dynamiques)
  • SCA (analyse des composants tiers)
  • Pentests applicatifs annuels
  • Correction des vulnérabilités avant prod

Mise en œuvre

SAST dans CI/CD (Checkmarx, Veracode). DAST avant release (OWASP ZAP, Burp). SCA (Snyk, BlackDuck). Pentest externe annuel. Policy: no High/Critical en prod.

Correspondances

NIST CSF 2.0 PR.PS-06ID.RA-01
ISO 27001 Annexe A 8.298.33
NIS2 art. 30 Mesure 5Mesure 6
GV.SC-07

Gestion des dépendances

Gérer les risques liés aux bibliothèques et composants tiers

DEV-04

Exigences

  • Inventaire des dépendances
  • Scan des vulnérabilités des dépendances
  • Mise à jour régulière
  • Utilisation de sources fiables (npm, Maven Central)
  • Restriction des dépendances obsolètes

Mise en œuvre

Dependabot/Renovate pour alerts. OWASP Dependency Check dans build. Policy: update sous 30j si CVE. Private registry avec proxy (Nexus, Artifactory). Interdiction packages abandonnés.

Correspondances

NIST CSF 2.0 GV.SC-07ID.RA-09
ISO 27001 Annexe A 8.258.30
NIS2 art. 30 Mesure 5

10. Sécurité de la Chaîne d'Approvisionnement

Gérer les risques liés aux fournisseurs et prestataires tiers.

GV.SC-04

Évaluation des fournisseurs

Évaluer les risques de sécurité avant de contracter avec un fournisseur

SUP-01

Exigences

  • Questionnaire de sécurité pré-contractuel
  • Due diligence selon criticité
  • Évaluation des certifications (ISO 27001, SOC 2)
  • Analyse des risques fournisseur
  • Validation par la sécurité

Mise en œuvre

Questionnaire standard 50 questions. Due diligence approfondie si traitement données critiques. Vérification certifs. Matrice de risque. Approbation RSSI mandatory pour fournisseurs IT.

Correspondances

NIST CSF 2.0 GV.SC-04GV.SC-06ID.RA-10
ISO 27001 Annexe A 5.195.208.30
NIS2 art. 30 Mesure 4Mesure 5
GV.SC-05

Contrats et SLA

Inclure des clauses de sécurité robustes dans les contrats

SUP-02

Exigences

  • Clauses de sécurité obligatoires
  • SLA de sécurité définis
  • Droit d'audit
  • Notification d'incidents
  • Responsabilités en cas de breach

Mise en œuvre

Template contrat avec: exigences sécurité, SLA (disponibilité, incident response time), droit audit annuel, notification incident <24h, responsabilité limitée mais réelle, RGPD DPA.

Correspondances

NIST CSF 2.0 GV.SC-05
ISO 27001 Annexe A 5.205.21
NIS2 art. 30 Mesure 4
GV.SC-07

Surveillance des fournisseurs

Surveiller en continu la sécurité des fournisseurs actifs

SUP-03

Exigences

  • Revues périodiques de performance sécurité
  • Audits sur site si critique
  • Monitoring des incidents fournisseurs
  • Renouvellement des évaluations
  • Gestion des changements chez le fournisseur

Mise en œuvre

Revue trimestrielle KPI sécurité. Audit on-site annuel fournisseurs critiques. Veille sur breaches publics. Réévaluation tous les 2 ans. Notification obligatoire changements majeurs (rachat, délocalisation).

Correspondances

NIST CSF 2.0 GV.SC-07GV.SC-09DE.CM-06
ISO 27001 Annexe A 5.215.22
NIS2 art. 30 Mesure 4
GV.SC-04

Sécurité cloud

Gérer spécifiquement les risques des services cloud

SUP-04

Exigences

  • Évaluation fournisseurs cloud (AWS, Azure, GCP)
  • Modèle de responsabilité partagée compris
  • Configuration sécurisée (CIS Benchmarks)
  • Chiffrement données cloud
  • Stratégie de sortie (exit strategy)

Mise en œuvre

Validation: SOC 2 Type II, ISO 27001, certifs régionales. Shared responsibility model documenté. Cloud Security Posture Management (CSPM). Customer-managed keys. Data export capability testée.

Correspondances

NIST CSF 2.0 GV.SC-04PR.IR-01
ISO 27001 Annexe A 5.23
NIS2 art. 30 Mesure 4

11. Gestion des Incidents de Sécurité

Détecter, répondre et tirer les leçons des incidents de cybersécurité.

RS.MA-01

Processus de gestion des incidents

Établir un processus formel de gestion des incidents de sécurité

INC-01

Exigences

  • Politique et procédures d'incident response
  • Équipe de réponse (CSIRT/CERT)
  • Playbooks par type d'incident
  • Outils de gestion d'incidents
  • Communication et escalade

Mise en œuvre

Plan d'incident response SANS. CSIRT avec roles définis (lead, forensique, comm). Playbooks: ransomware, DDoS, data breach. Plateforme (TheHive, Resilient). Escalation matrix. Hotline 24/7.

Correspondances

NIST CSF 2.0 RS.MA-01ID.IM-04
ISO 27001 Annexe A 5.245.255.26
NIS2 art. 30 Mesure 2
DE.AE-02

Détection et signalement

Détecter rapidement les incidents et faciliter leur signalement

INC-02

Exigences

  • Outils de détection (EDR, SIEM, IDS)
  • Canaux de signalement clairs
  • Formation des utilisateurs au signalement
  • Triage et classification rapide
  • Logging et alerting

Mise en œuvre

EDR (CrowdStrike, SentinelOne). SIEM avec use cases. Email incidents@ + hotline. Campagnes 'Si vous voyez quelque chose, dites quelque chose'. Triage <1h. Matrice de criticité.

Correspondances

NIST CSF 2.0 DE.AE-02DE.AE-03DE.AE-08RS.MA-02
ISO 27001 Annexe A 5.256.88.16
NIS2 art. 30 Mesure 2
RS.MA-03

Réponse et récupération

Répondre efficacement aux incidents et restaurer les opérations

INC-03

Exigences

  • Containment rapide
  • Éradication de la menace
  • Récupération des systèmes
  • Investigation forensique si nécessaire
  • Documentation complète

Mise en œuvre

Isolation réseau automatique (NAC). Éradication selon playbook. Restauration from clean backups. Forensique sur images disques. Documentation timeline dans outil. Debriefing post-incident.

Correspondances

NIST CSF 2.0 RS.MA-03RS.AN-03RS.MI-01RS.MI-02RC.RP-01
ISO 27001 Annexe A 5.265.28
NIS2 art. 30 Mesure 2
RS.CO-02

Notification et communication

Notifier les parties concernées selon les délais réglementaires

INC-04

Exigences

  • Identification des incidents à notifier
  • Notification autorités (CCB) dans les délais (24h alerte, 72h rapport)
  • Communication interne
  • Communication clients/partenaires si nécessaire
  • Coordination avec CSIRT.be

Mise en œuvre

Critères notification: impact significatif sur services essentiels. Template pré-rédigé. Alerte CCB <24h (email + portail). Rapport détaillé <72h. Comm interne par crise manager. Externe par Legal/PR.

Correspondances

NIST CSF 2.0 RS.CO-02RS.CO-03RC.CO-03
ISO 27001 Annexe A 5.265.55.6
NIS2 art. 30 Mesure 2
RS.MA-05

Leçons apprises

Tirer les enseignements des incidents pour améliorer la posture de sécurité

INC-05

Exigences

  • Post-mortem systematique
  • Analyse des causes racines
  • Actions correctives et préventives
  • Mise à jour des procédures
  • Partage des leçons

Mise en œuvre

Réunion post-incident <7j après résolution. RCA (Root Cause Analysis) 5 Whys. Plan d'action dans JIRA. Update playbooks et détections. Partage anonymisé en réunion sécu mensuelle.

Correspondances

NIST CSF 2.0 RS.MA-05ID.IM-01ID.IM-02
ISO 27001 Annexe A 5.27
ISO 27001 chapitres 10.110.2 système de management, hors Annexe A
NIS2 art. 30 Mesure 2

12. Continuité d'Activité et Résilience

Assurer la continuité des opérations critiques en cas de perturbation majeure.

ID.AM-05

Business impact analysis (BIA)

Identifier et évaluer l'impact des interruptions sur les processus critiques

BCM-01

Exigences

  • BIA formelle documentée
  • Identification des processus critiques
  • Détermination RTO/RPO par processus
  • Analyse des dépendances
  • Révision annuelle

Mise en œuvre

Ateliers BIA avec business owners. Questionnaires: impact financier, réputationnel, légal. Matrice criticité. RTO/RPO réalistes documentés. Cartographie dépendances (IT, humaines, tiers). Update annuel ou si changement majeur.

Correspondances

NIST CSF 2.0 ID.AM-05GV.RM-02GV.OC-04
ISO 27001 Annexe A 5.295.30
NIS2 art. 30 Mesure 3
PR.IR-03

Plan de continuité (BCP)

Développer et maintenir des plans de continuité d'activité

BCM-02

Exigences

  • BCP documenté pour processus critiques
  • Stratégies de continuité définies
  • Procédures de basculement
  • Ressources alternatives identifiées
  • Maintien à jour

Mise en œuvre

BCP par processus critique avec: stratégies (site alternatif, télétravail, workarounds manuels), procédures step-by-step, contacts clés, ressources nécessaires. Templates structurés. Versioning contrôlé.

Correspondances

NIST CSF 2.0 PR.IR-03RC.RP-01
ISO 27001 Annexe A 5.295.30
NIS2 art. 30 Mesure 3
RC.RP-01

Plan de reprise (DRP)

Développer des plans de reprise des systèmes informatiques

BCM-03

Exigences

  • DRP pour systèmes critiques
  • Procédures de restauration détaillées
  • Sites de secours ou cloud DR
  • Ordre de priorité de reprise
  • Documentation accessible hors ligne

Mise en œuvre

DRP par système avec: procédures restore, séquence de démarrage, dépendances, contacts support. Site DR actif-passif ou cloud (AWS DR, Azure Site Recovery). Runbooks imprimés + USB chiffré offsite.

Correspondances

NIST CSF 2.0 RC.RP-01RC.RP-03RC.RP-05
ISO 27001 Annexe A 5.308.138.14
NIS2 art. 30 Mesure 3
ID.IM-02

Tests et exercices

Tester régulièrement les plans de continuité et de reprise

BCM-04

Exigences

  • Tests au moins annuels
  • Différents types: tabletop, walkthrough, simulation complète
  • Scénarios réalistes
  • Participation des parties prenantes
  • Rapport de test et améliorations

Mise en œuvre

Calendrier tests: tabletop semestriel (discussion), walkthrough annuel (déroulé sans activation), full test bisannuel (activation réelle hors prod). Scénarios variés: ransomware, panne datacenter, pandémie. Rapport avec gaps et actions.

Correspondances

NIST CSF 2.0 ID.IM-02RC.RP-05
ISO 27001 Annexe A 5.295.30
ISO 27001 chapitres 9.1 système de management, hors Annexe A
NIS2 art. 30 Mesure 3

13. Conformité et Audit

Garantir la conformité légale, réglementaire et contractuelle.

GV.OC-03

Veille réglementaire

Maintenir une veille active sur les évolutions réglementaires

CMP-01

Exigences

  • Identification des réglementations applicables
  • Veille sur les évolutions (NIS2, DORA, RGPD, etc.)
  • Évaluation d'impact des changements
  • Mise à jour des contrôles
  • Communication aux parties prenantes

Mise en œuvre

Registre réglementations (NIS2, DORA si financier, RGPD, sectorielles). Abonnements newsletters officielles (CCB, CNIL, etc.). Revue trimestrielle. Impact assessment. Plan de mise en conformité.

Correspondances

NIST CSF 2.0 GV.OC-03
ISO 27001 Annexe A 5.31
NIS2 art. 30 Mesure 1
GV.OV-01

Audits de sécurité

Réaliser des audits réguliers pour vérifier la conformité

CMP-02

Exigences

  • Programme d'audit annuel
  • Audits internes et externes
  • Audits de conformité (ISO 27001, NIS2)
  • Audits techniques (pentests, scans)
  • Suivi des recommandations

Mise en œuvre

Planning: audit interne annuel (checklist ISO 27001), audit externe certification tous les 3 ans + surveillance annuelle. Pentest externe annuel. Scan vulnérabilités hebdo. Tracking actions dans JIRA.

Correspondances

NIST CSF 2.0 GV.OV-01GV.OV-03ID.IM-01
ISO 27001 Annexe A 5.355.368.34
ISO 27001 chapitres 9.2 système de management, hors Annexe A
NIS2 art. 30 Mesure 1Mesure 6
GV.OC-03

Protection des données personnelles (RGPD)

Assurer la conformité avec le Règlement Général sur la Protection des Données

CMP-03

Exigences

  • Registre des activités de traitement
  • Analyses d'impact (DPIA) si nécessaire
  • Respect des droits des personnes
  • Sécurité des données personnelles
  • Notification de violations <72h CNIL

Mise en œuvre

Registre RGPD à jour (outils: OneTrust, TrustArc). DPIA pour traitements à risque. Process exercice droits (accès, rectif, suppression). Privacy by design. Procedure breach: éval <72h, notif CNIL si requis.

Correspondances

NIST CSF 2.0 GV.OC-03PR.DS-01
ISO 27001 Annexe A 5.34
GV.OV-02

Documentation et preuves

Maintenir une documentation complète et des preuves de conformité

CMP-04

Exigences

  • Documentation à jour (politiques, procédures)
  • Enregistrements de conformité
  • Conservation des preuves (logs, rapports)
  • Accessibilité pour audits
  • Gestion documentaire sécurisée

Mise en œuvre

GED (SharePoint, Confluence) avec versioning. Politiques datées et approuvées. Logs archivés 12 mois. Rapports d'audits, tests, formations conservés 3 ans. Accès contrôlé mais disponible pour auditeurs.

Correspondances

NIST CSF 2.0 GV.OV-02GV.PO-02
ISO 27001 Annexe A 5.335.37
ISO 27001 chapitres 7.5 système de management, hors Annexe A

Mapping CyFun CCB ↔ NIS2

Ce tableau montre l'alignement parfait entre les mesures CyFun CCB et les exigences NIS2 :

Mesure NIS2 Domaines CyFun CCB Couverture
1. Analyse des risques Gouvernance (GOV-01, GOV-02, GOV-03) 100%
2. Gestion des incidents Gestion Incidents (INC-01 à INC-05 complets) 100%
3. Continuité d'activité Continuité (BCM-01 à BCM-05) + Opérations (OPS-05) 100%
4. Sécurité chaîne approvisionnement Fournisseurs (SUP-01 à SUP-05 complets) 100%
5. Sécurité des systèmes Opérations (OPS-01 à OPS-06) + Développement (DEV-04) 100%
6. Contrôle d'accès Contrôle d'Accès (ACC-01 à ACC-05 complets) 100%
7. Cryptographie Cryptographie (CRY-01 à CRY-05) + Communications (COM-02) 100%
8. Ressources humaines RH et Sensibilisation (HUM-01 à HUM-05 complets) 100%
9. Tests de sécurité Développement (DEV-03, DEV-05) + Opérations (OPS-02) 100%
10. Communication Gouvernance (GOV-05) + Incidents (INC-04) + Conformité (COM-01) 100%

Taux de Couverture Global : 100%

Le CyFun CCB couvre intégralement les exigences NIS2. Avantages clés :

  • Couverture totale : Les 11 mesures de l'article 30 sont adressées
  • Référentiel belge officiel : Reconnu par le CCB et les autorités
  • Pragmatisme : Mesures adaptées aux PME et ETI
  • Double mapping : Alignement NIS2 + ISO 27001 inclus
  • Mises à jour régulières : Suivi des évolutions réglementaires

CyFun CCB vs ISO 27001

Les deux référentiels sont complémentaires :

  • CyFun CCB : Référentiel belge officiel, pragmatique, spécifique NIS2
  • ISO 27001 : Norme internationale, certifiable, reconnaissance mondiale
  • Recommandation : Utiliser CyFun CCB pour la conformité NIS2 belge, puis évoluer vers ISO 27001 pour la certification