NIST CSF 2.0 : sensibilisation, formation et couche humaine
Le NIST Cybersecurity Framework 2.0 est devenu la langue commune des programmes cyber bien au-delà des États-Unis — banques africaines, régulateurs, assureurs et grands clients l'utilisent pour structurer évaluations, reporting au conseil et questionnaires fournisseurs. Le cadre est volontaire et il n'existe pas de certificat CSF, mais cela rend la question des preuves plus exigeante, pas moins : quand on vous demande « où en êtes-vous par rapport au CSF ? », il vous faut des résultats mesurés, pas des adjectifs. Cette page relie les résultats du cadre relevant de la couche humaine aux enregistrements que produit AfriPhish.
Ce qu'attend le CSF 2.0 en matière de sensibilisation et de risque humain
GOVERN — rôles et politiques. La nouvelle fonction GOVERN explicite le volet organisationnel. Sous GV.RR, les rôles, responsabilités et autorités de cybersécurité doivent être établis et communiqués — c'est-à-dire que les personnes savent réellement énoncer ce qu'on attend d'elles, et pas seulement qu'un organigramme existe quelque part. Sous GV.PO, la politique de cybersécurité de l'organisation doit être établie, communiquée et appliquée. Une politique que personne n'a lue n'a pas été communiquée, et une politique que personne n'a acceptée est difficile à faire appliquer.
PROTECT — la catégorie PR.AT « Awareness and Training ». Le cadre consacre une catégorie à vos collaborateurs. PR.AT-01 attend que le personnel reçoive une sensibilisation et une formation lui donnant les connaissances et compétences nécessaires pour accomplir ses tâches générales en tenant compte des risques de cybersécurité. PR.AT-02 étend cette exigence aux rôles spécialisés — administrateurs, développeurs, équipes financières traitant les paiements, dirigeants — qui ont besoin d'une formation adaptée aux risques de leur fonction, et non du module générique destiné à tous.
DETECT et RESPOND — des comportements, pas seulement des outils. Les résultats de détection et de réponse dépendent silencieusement des humains : les événements doivent être remarqués et signalés avant que quoi que ce soit ne puisse suivre. L'employé qui reconnaît un message de phishing et le signale par un canal connu est une source de détection ; celui qui le supprime en silence est un angle mort. Un programme aligné sur le CSF doit donc construire — et mesurer — le réflexe de signalement, pas uniquement l'évitement du clic.
Tiers et profils — le langage de maturité du cadre. Le CSF 2.0 décrit des tiers de mise en œuvre, de « Partial » à « Adaptive », et des profils organisationnels qui comparent votre état actuel à une cible. Les résultats de la couche humaine appartiennent à ce profil au même titre que les résultats techniques : pour vous situer honnêtement sur un tier, il vous faut des mesures — taux d'achèvement, résultats de simulation, tendances de signalement — plutôt qu'une auto-évaluation optimiste.
Les résultats qu'AfriPhish vous aide à prouver
| Résultat CSF 2.0 | Module AfriPhish | Preuve produite |
|---|---|---|
| GV.PO — politique communiquée et appliquée | Gestion des politiques avec signature électronique | Registres d'acceptation versionnés et horodatés par employé |
| GV.RR — rôles et responsabilités communiqués | Affectations de formation par rôle | Enregistrements de qui a été formé à quoi, selon son rôle |
| PR.AT-01 — sensibilisation de l'ensemble du personnel | Formation (EN/FR/AR) et coaching en temps réel | Journaux d'achèvement par utilisateur, scores de quiz, interactions de coaching |
| PR.AT-02 — formation des rôles spécialisés | Parcours dédié IT/SecOps | Attestations de suivi et scores par parcours pour les équipes techniques |
| DETECT/RESPOND — réflexe de signalement | Simulations de phishing avec suivi des signalements | Taux et délais de signalement par campagne |
| Mesure des tiers et du profil | Scoring du risque humain, analytique et rapports | Données de tendance pour les revues profil actuel / profil cible |
Simulations, formations et attestations partageant un même modèle de données, votre profil s'appuie sur l'observation : vous pouvez montrer que les taux de signalement ont progressé et que les taux de clic ont reculé au fil des campagnes — précisément le changement de comportement que décrivent les résultats du cadre.
Ce que demandent généralement les évaluateurs
Les évaluations CSF — revues internes, évaluations de maturité par des tiers, questionnaires alignés sur un régulateur ou souscription de cyber-assurance — convergent vers les mêmes demandes :
- Un programme documenté de sensibilisation et de formation relié à PR.AT, avec des responsables et un calendrier.
- Les enregistrements d'achèvement pour l'ensemble du personnel (PR.AT-01) et, séparément, pour les rôles spécialisés (PR.AT-02).
- Les preuves de communication des politiques au titre de GV.PO — qui a accepté quelle version, et quand.
- Les résultats de simulations et de tests — la preuve que les résultats PR.AT se traduisent en comportements, et pas seulement en plans sur le papier.
- Les indicateurs de signalement — la preuve que les employés alimentent réellement vos processus de détection et de réponse.
- Les données de tendance justifiant votre tier — un niveau « Repeatable » ou « Adaptive » suppose des mesures et une amélioration que vous pouvez montrer.
Tous ces éléments s'exportent directement d'AfriPhish, délimités à la période d'évaluation.
Situez votre organisation
La logique tiers-et-profil du CSF est exactement celle de notre évaluation de maturité du risque humain gratuite en 4 minutes : elle situe vos pratiques actuelles sur la couche humaine, montre l'écart avec un profil cible défendable, et met en évidence ce qu'un évaluateur relèverait sous GV.PO et PR.AT.
Vous construisez ou actualisez un programme aligné sur le CSF ? Demandez une démonstration et nous vous montrerons les rapports exacts qui s'insèrent dans une revue profil actuel / profil cible.