NIST SP 800-53 : le catalogue derrière FedRAMP et CMMC

NIST Special Publication 800-53 est l'un des catalogues de contrôles de sécurité les plus complets : plus de 1 000 contrôles et améliorations répartis en 20 familles. Publié par le NIST, il sous-tend FedRAMP, CMMC et la plupart des exigences de sécurité des agences fédérales américaines et des contrats fédéraux et de défense. La révision 5 intègre pour la première fois les contrôles de confidentialité, ce qui en fait la référence pour les organisations qui gèrent à la fois la sécurité et la confidentialité des données fédérales.

Repères

• 20 : familles de contrôles couvrant tous les aspects de la sécurité des systèmes d'information fédéraux.
• Révision 5 : plus de 1 000 contrôles et améliorations, avec les contrôles de confidentialité intégrés et la nouvelle famille SR.
• 3 : niveaux d'impact (Faible, Modéré, Élevé), chacun avec sa base de référence.
• FedRAMP : la base de référence Modérée est le fondement de l'autorisation FedRAMP.

Ce que 800-53 révision 5 couvre

Vous sélectionnez une base de référence selon la catégorisation d'impact de votre système, puis vous mettez en œuvre les contrôles applicables et vous les documentez dans un plan de sécurité système.

1. AC contrôle d'accès, AU audit et responsabilité, CA évaluation et autorisation
2. CM gestion de la configuration, CP planification de la continuité
3. IA identification et authentification, IR réponse aux incidents
4. RA évaluation des risques, SA acquisition de systèmes, SC protection des systèmes et des communications
5. SI intégrité des systèmes, SR gestion des risques de la chaîne d'approvisionnement (nouveau dans la révision 5)
6. Documentation : plan de sécurité système (SSP), plan d'action et jalons (POA&M), évaluations périodiques des contrôles (SAR)

Ce que Sentrix fournit pour 800-53

Sélection et adaptation de la base de référence

Bases de référence Faible, Modérée et Élevée préconstruites. Adaptation pour ajouter, retirer ou modifier des contrôles selon votre environnement et votre tolérance au risque.

Plan de sécurité système (SSP)

800-53 exige un plan de sécurité système documenté. Sentrix génère votre SSP à partir de vos implémentations de contrôles réelles : descriptions, statut d'implémentation et rôles responsables renseignés automatiquement.

Alignement FedRAMP

FedRAMP Modéré utilise la base de référence 800-53 Modérée avec des paramètres FedRAMP supplémentaires. Sentrix cartographie les deux simultanément pour que les organisations visant l'autorisation FedRAMP construisent directement sur leur programme 800-53.

Suivi des POA&M

Un plan d'action et jalons est requis pour tous les constats ouverts. Sentrix suit les éléments du POA&M, les dates d'achèvement prévues, les responsables et les preuves de remédiation pour chaque écart.

Soutien à l'évaluation périodique

800-53 exige des évaluations périodiques des contrôles. Sentrix génère le cadre du rapport d'évaluation de sécurité (SAR) et les preuves continues qui alimentent votre cycle d'évaluation.

Correspondances

• CMMC 2.0 : le niveau 2 se cartographie sur NIST SP 800-171, dérivé de 800-53 ; Sentrix montre quels contrôles 800-53 satisfont les pratiques CMMC.
• NIST CSF 2.0 : les contrôles du catalogue sont cartographiés sur les sous-catégories du CSF.
• ISO 27001 : correspondance avec les contrôles de l'Annexe A.
• SOC 2 : correspondance avec les critères des services de confiance.

Aller plus loin

Automatisation de la conformité.

Voyez votre couverture des contrôles 800-53 sur votre infrastructure réelle.

Nous contacter