Cadre de gestion des risques du NIST (RMF)

Le cadre de gestion des risques du National Institute of Standards and Technology (NIST) est un processus volontaire en sept étapes créé pour "améliorer la sécurité de l'information, renforcer les processus de gestion des risques et encourager la réciprocité entre les agences fédérales". Elle intègre notamment la gestion des risques et la sécurité informatique dans le cycle de développement des systèmes, exigeant des entreprises qu'elles mettent en place des systèmes de gouvernance des données et de modélisation des menaces pour réduire les risques.

L'histoire du NIST RMF 

Le NIST et le ministère de la défense des États-Unis (DoD) ont collaboré pour établir un cadre de cybersécurité unifié pour le gouvernement fédéral. C'est ce qui est devenu le RMF du NIST. Le RMF a été conçu pour aider les agences fédérales à répondre aux exigences strictes de politiques telles que le Privacy Act de 1974 et le Federal Information Security Modernization Act de 2014 (FISMA), bien que son application étendue et sa base de sécurité complète l'aient rendu populaire auprès des entreprises privées également.  

Conformité au NIST RMF : Qui doit s'y conformer ?

Chaque agence fédérale est tenue de se conformer au cadre de gestion des risques du NIST. Développé à l'origine en partenariat avec le ministère de la Défense, il a été adopté par tous les systèmes d'information fédéraux du gouvernement américain en 2010 et reste utilisé aujourd'hui.

Le NIST RMF dans le secteur privé

Bien qu'il ne s'agisse pas d'une exigence au-delà des agences fédérales, il convient de noter que le secteur privé et les organisations à but non lucratif ont trouvé que le NIST RMF était utile pour améliorer leur posture de sécurité et se mettre en conformité. L'utilisation du RMF renforce la conformité avec des normes telles que le GDPR et le NIST Cybersecurity Framework (CSF) et aide les entreprises à identifier et à répondre plus rapidement aux nouvelles menaces et vulnérabilités.