NIST
Référence mondiale pour les standards, publications et cadres de cybersécurité, d’identité et de cryptographie.
→ Lire l’explication complète de la marmotte
Le NIST structure une grande partie de la pratique internationale avec ses SP, FIPS et cadres de sécurité, largement repris dans les architectures, audits et produits.
Lectures prioritaires
Section intitulée « Lectures prioritaires »- Site officiel : csrc.nist.gov
- SP 800-53, SP 800-57, SP 800-63, SP 800-38D
- FIPS 140-3, FIPS 197, FIPS 203, 204 et 205
Sous-chapitres
Section intitulée « Sous-chapitres »Contrôles et gouvernance
Section intitulée « Contrôles et gouvernance »- Catalogues de contrôles et familles de sécurité
- Gestion du risque, niveaux d’assurance, traçabilité
- Référentiels utiles pour comparer architectures et exigences
Identité et authentification
Section intitulée « Identité et authentification »- Authentification forte, preuve d’identité, federation
- Niveaux d’assurance et parcours d’authentification
- Bonnes pratiques pour comptes utilisateurs et services
Cryptographie et validation
Section intitulée « Cryptographie et validation »- Algorithmes, modes d’opération, modules validés
- Modules cryptographiques matériels, cycles de vie des clés, migration post-quantique
- Référence de base pour les équipes crypto et produit
Dans TortueTech
Section intitulée « Dans TortueTech »- Source principale pour crypto, identité, contrôles et architecture sécurité
- À croiser avec ANSSI, IETF et ISO selon le contexte
Points à vérifier
Section intitulée « Points à vérifier »à compléter: liste des publications NIST prioritaires par domaineà compléter: correspondances avec les pages crypto du site
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Ignorer les publications du NIST, c’est choisir ses algorithmes, ses modes d’opération et ses durées de vie de clés sans la référence que reprennent la plupart des produits, des audits et des architectures. Un module cryptographique acheté sans validation reconnue ne peut pas démontrer ce qu’il protège ; un parcours d’authentification conçu sans niveau d’assurance défini ne sait pas dire ce qu’il garantit ; et une migration post-quantique menée sans suivre les algorithmes normalisés risque de miser sur des candidats que personne d’autre n’implémentera. Il reste alors à expliquer à l’auditeur pourquoi l’on a préféré réinventer un catalogue qui existait déjà.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »Le NIST est un institut public américain de normalisation. En sécurité informatique, il publie des documents de référence utilisés dans le monde entier par les architectes, les auditeurs et les fabricants. Deux grandes séries existent. Les publications spéciales, notées SP, décrivent des pratiques : un catalogue de mesures de sécurité classées par familles, des règles pour gérer les clés de chiffrement tout au long de leur vie, des exigences pour l’identité numérique et l’authentification, ou encore la description d’un mode de chiffrement précis. Les normes notées FIPS fixent des exigences précises : des algorithmes de chiffrement, les règles de validation des modules cryptographiques, et de nouveaux algorithmes destinés à la migration vers une cryptographie résistante aux futurs ordinateurs quantiques. Ces documents servent de base commune. Un produit peut être validé selon une norme ; une architecture peut être comparée à un catalogue de mesures ; un parcours de connexion peut être classé selon un niveau d’assurance, qui indique à quel point on est sûr de l’identité de la personne. Ils couvrent aussi la gestion du risque et la traçabilité. Sur ce site, le NIST est la source principale pour la cryptographie, l’identité, les mesures de sécurité et l’architecture. Ses publications doivent toutefois être croisées avec d’autres références, françaises, internationales ou issues des organismes qui écrivent les protocoles d’Internet, selon le contexte.
À lire aussi
- NSA CybersecurityRéférence américaine pour les recommandations cryptographiques gouvernementales et les profils à haute sensibilité.
- ANSSIRéférence française en cybersécurité pour l’État, les opérateurs essentiels, la qualification et les guides techniques.
- Gouverner la cryptographie: inventaire, agilité et conformitéTransformer les choix cryptographiques en patrimoine maintenable: inventaire, politiques, versions, conformité, migration et traçabilité des décisions.
- ISORéférence normative internationale pour les systèmes de management, les contrôles et la gestion des risques.
Pages voisines
La citent
- CIS Benchmarks et CIS Controls en production
- MITRE ATT&CK et CVE en cybersécurité
- Comment exploiter le Global Risks Report du Forum économique mondial
- Comment utiliser CSA STAR et le questionnaire CAIQ
- JPCERT/CC rôle, outils malware et usage opérationnel
- OWASP Top 10 ASVS ZAP et sécurité applicative
- Gouverner la cryptographie: inventaire, agilité et conformité
- Héritage, politique et limites de la cryptographie
- Prioriser les vulnérabilités avec CVSS 4.0, EPSS, KEV et exposition
NIST
Elle cite