Incohérences dans la cartographie des contrôles

Un fournisseur SaaS du secteur de la santé servait des clients soumis à l’HIPAA, des clients exigeant la conformité PCI-DSS et des clients ayant des exigences SOC 2. Pour répondre efficacement à ces demandes de conformité variées, il avait élaboré un document complet de mise en correspondance des contrôles : un tableur listant les contrôles mis en œuvre et rattachant chacun aux exigences pertinentes de tous les cadres applicables. Lorsqu’un prestataire de santé soumis à l’HIPAA a demandé des preuves de conformité, le fournisseur a transmis ce document avec son rapport SOC 2. La mise en correspondance rattachait son programme de sensibilisation à la sécurité à l’exigence de formation du personnel de l’HIPAA (§164.308(a)(5)). En examinant le document, l’équipe conformité du prestataire de santé a remarqué le programme de formation détaillé dans l’annexe. Il couvrait la sécurité des mots de passe, la détection de l’hameçonnage, l’utilisation sécurisée de la messagerie et les pratiques générales de sécurité informatique. Il ne couvrait pas précisément les règles de confidentialité de l’HIPAA, les principes d’accès minimal nécessaire, les exigences de traitement des PHI ni les obligations de notification des violations. L’exigence de formation du personnel de l’HIPAA impose précisément une formation sur les politiques et procédures relatives à la sécurité des informations de santé protégées. La formation du fournisseur portait sur la sensibilisation générale à la sécurité, ce qui répondait légitimement à une partie de l’esprit de l’exigence de formation, mais pas au contenu propre à l’HIPAA que la réglementation impose précisément. La mise en correspondance indiquait une exigence satisfaite. La formation n’y satisfaisait pas pleinement.

Que sont réellement les incohérences de mise en correspondance des contrôles ?

La mise en correspondance des contrôles consiste à documenter les liens entre les contrôles de sécurité mis en œuvre et les exigences de plusieurs cadres de conformité, normes réglementaires et exigences des clients. Une mise en correspondance exacte accélère l’évaluation de la conformité : au lieu de documenter les contrôles séparément pour chaque exigence de chaque cadre, les organisations peuvent montrer comment les contrôles existants satisfont simultanément à plusieurs exigences. Ce gain d’efficacité est réel et légitime lorsque les correspondances reflètent fidèlement la manière dont le contrôle satisfait à l’exigence.

L’inexactitude des correspondances découle des degrés de satisfaction des contrôles. Certaines exigences sont pleinement satisfaites par un seul contrôle : un examen des accès bien mis en œuvre satisfait réellement aux exigences de contrôle d’accès, qui sont largement équivalentes d’un cadre à l’autre. D’autres exigences sont partiellement satisfaites : un programme général de sensibilisation à la sécurité répond à l’idée générale de sensibilisation du personnel à la sécurité, sans satisfaire aux exigences de contenu précises de l’obligation de formation de l’HIPAA relative au traitement des PHI. Certaines correspondances relèvent du souhait : l’organisation espère que le contrôle satisfait à l’exigence et l’indique comme satisfaite avant d’avoir mené l’examen du contenu qui confirmerait ou infirmerait une satisfaction totale.

La complexité des correspondances « un à plusieurs » est le lieu où les incohérences s’accumulent. Lorsqu’un même contrôle est mis en correspondance avec des exigences de cinq cadres, l’exactitude de la correspondance varie selon le cadre. Un contrôle conçu principalement pour satisfaire aux critères SOC 2 peut réellement satisfaire à l’exigence SOC 2, satisfaire partiellement au contrôle équivalent de l’ISO 27001 et traiter de façon insuffisante une exigence HIPAA précise dont le contenu prescrit diffère de celui du critère SOC 2. Le document de mise en correspondance présente les trois comme satisfaites. Le degré de satisfaction varie considérablement.

• Satisfaction partielle présentée comme une satisfaction totale : des contrôles qui répondent à l’esprit d’une exigence, mais pas à ses exigences de contenu précises, sont présentés comme y satisfaisant pleinement
• Exigences de contenu propres à chaque cadre non évaluées : des contrôles généraux mis en correspondance avec des exigences précises sans vérifier la spécificité du contenu exigé
• Mise en correspondance sans validation : correspondances établies sur la base de la similarité des intitulés des exigences plutôt que d’un examen de leur contenu
• Qualité variable des correspondances « un à plusieurs » : un même contrôle mis en correspondance avec plusieurs exigences, avec une exactitude variable selon les cadres
• Document de mise en correspondance utilisé comme preuve de conformité : les clients acceptent les documents de mise en correspondance comme preuve de conformité plutôt que comme outils d’orientation à valider

Pourquoi c’est important

Les incohérences de mise en correspondance des contrôles comptent pour la TPRM, car les documents de mise en correspondance sont fréquemment fournis comme preuves de conformité lors des évaluations des fournisseurs, pour montrer que les contrôles du fournisseur satisfont aux exigences qui concernent le client. Un client qui accepte un document de mise en correspondance sans valider les correspondances critiques pour son contexte réglementaire peut accepter une assurance pour des exigences qui ne sont pas pleinement satisfaites. Pour les prestataires de santé soumis à l’HIPAA, cela crée une exposition réglementaire lorsque les contrôles de leurs fournisseurs ne satisfont pas réellement aux exigences propres à l’HIPAA, alors que les documents de mise en correspondance les présentent comme satisfaites.

Le problème de la spécificité réglementaire est le plus aigu pour les exigences assorties de prescriptions de contenu précises. Les règles de sécurité et de confidentialité de l’HIPAA précisent les thèmes que la formation du personnel doit couvrir. La formation au traitement des données de titulaires de cartes prévue par PCI-DSS comporte des exigences de contenu précises pour le personnel qui manipule des données de paiement. Ces exigences de contenu précises diffèrent des exigences générales de sensibilisation à la sécurité, et un programme de formation général qui ne traite pas ce contenu précis ne satisfait pas pleinement à l’exigence, quelle que soit la façon dont le document de mise en correspondance le classe.

Là où la plupart des équipes se trompent

La défaillance la plus constante consiste à accepter des documents de mise en correspondance comme preuves de conformité sans valider les correspondances critiques au regard du contenu réel des exigences. Les documents de mise en correspondance sont des points de départ pour l’évaluation de la conformité : ils indiquent quels contrôles sont censés satisfaire à quelles exigences. Valider ces affirmations exige de confronter le libellé réel de l’exigence à la mise en œuvre réelle du contrôle.

• Accepter des documents de mise en correspondance comme preuves de conformité sans validation
• Correspondances critiques non validées pour les exigences propres à une réglementation
• Contenu des exigences non examiné : correspondance validée au regard de l’intitulé de l’exigence plutôt que de son texte
• Exigences propres à chaque cadre non identifiées : les exigences assorties de prescriptions de contenu précises ne sont pas distinguées des exigences générales
• Exactitude des correspondances non remise en question : les correspondances déclarées par le fournisseur sont acceptées sans comparaison avec le texte des exigences

À quoi ressemblent les bonnes pratiques

Les programmes matures de gouvernance de la mise en correspondance des contrôles valident les correspondances critiques au regard du texte des exigences des cadres réglementaires propres à la relation avec le client, en particulier les exigences assorties de prescriptions de contenu précises auxquelles des contrôles généraux peuvent ne pas satisfaire pleinement.

• Valider les correspondances critiques : comparer la mise en œuvre des contrôles au texte des exigences réglementaires les plus pertinentes
• Identifier les exigences de contenu propres à chaque cadre : les exigences assorties de prescriptions de contenu précises sont confrontées au contenu réel des contrôles
• Demander les détails de mise en œuvre des contrôles plutôt que des affirmations de correspondance : ce que couvre la formation, et non le cadre auquel elle correspond
• Validation prioritaire pour l’HIPAA, PCI-DSS et le GDPR : des cadres comportant des exigences de contenu précises
• Document de mise en correspondance utilisé comme outil d’orientation : pour repérer les contrôles pertinents, et non comme preuve que les exigences sont satisfaites

Outils

GRC avec mise en correspondance des cadres : ServiceNow GRC, MetricStream

Les plateformes GRC dotées de capacités de mise en correspondance entre cadres tiennent à jour les liens entre contrôles et exigences, avec les preuves associées, et fournissent ainsi la documentation qui étaye les correspondances déclarées. Pour les professionnels TPRM, demander si les correspondances du fournisseur sont tenues dans une plateforme GRC avec les preuves associées, ou dans des tableurs sans trace de validation, permet de poser une question précise sur la qualité des correspondances.

Cadres de conformité : texte de la Security Rule de l’HIPAA, PCI-DSS v4.0, ISO 27001:2022

Lire le texte réel de l’exigence en regard de la correspondance déclarée par le fournisseur est le mécanisme de validation qui révèle une satisfaction partielle. Le §164.308(a)(5) de l’HIPAA impose précisément une formation sur les politiques et procédures relatives à la sécurité des PHI : lire ce texte en regard du programme de formation du fournisseur fait immédiatement apparaître si la formation traite un contenu propre aux PHI.

Enjeux de gouvernance

En matière de mise en correspondance des contrôles, l’enjeu de gouvernance tient au volume d’exigences réparties entre plusieurs cadres. Valider chaque correspondance d’un document complet exigerait de confronter chaque exigence à chaque mise en œuvre de contrôle, un effort considérable. La réponse en matière de gouvernance est la validation prioritaire : concentrer l’examen détaillé sur les exigences les plus pertinentes pour le contexte réglementaire du client et les plus susceptibles de comporter des prescriptions de contenu précises auxquelles des contrôles généraux pourraient ne pas satisfaire.

• Identifier les cinq exigences de cadre les plus critiques pour chaque relation avec un fournisseur
• Valider ces cinq exigences au regard de leur texte et de la mise en œuvre des contrôles
• Demander les détails de mise en œuvre des contrôles présentés comme satisfaisant à des exigences précises de l’HIPAA, de PCI-DSS ou du GDPR
• Utiliser la mise en correspondance comme outil d’orientation : pour repérer les contrôles censés satisfaire aux exigences, puis valider ces affirmations
• Signaler les exigences assorties de prescriptions de contenu précises en vue d’une validation renforcée

Si vous êtes une petite équipe

Pour les fournisseurs qui opèrent dans votre contexte réglementaire (HIPAA pour la santé, PCI-DSS pour le traitement des paiements, GDPR pour les données de l’UE), choisissez les trois exigences les plus précises du cadre applicable et validez-les directement : lisez le texte de l’exigence, lisez la description du contrôle fournie par le fournisseur et évaluez si le contenu du contrôle répond précisément à ce que l’exigence impose. Cette validation ciblée révélera si les correspondances critiques sont exactes ou si elles reflètent une tendance à satisfaire aux exigences dans leur esprit sans traiter pleinement leur contenu précis.

• Choisir les trois exigences les plus précises de votre contexte réglementaire
• Lire à la fois le texte de l’exigence et la description du contrôle fournie par le fournisseur
• Évaluer si le contenu du contrôle répond précisément au contenu de l’exigence
• Signaler les satisfactions partielles en vue d’une évaluation complémentaire ou d’une mesure compensatoire

Ce qu’il faut exiger

Demandez directement :

« Pour votre mise en correspondance de [contrôle précis] avec [exigence réglementaire précise], pouvez-vous décrire quel contenu précis de votre [formation/processus/système] répond aux exigences précises de [texte de la disposition réglementaire], par opposition aux exigences générales de sécurité ? »

Preuves attendues

• Description du contenu du contrôle répondant précisément au texte de l’exigence
• Programme de formation ou documentation des procédures montrant un contenu propre à l’exigence
• Identification des écarts lorsque l’exigence est partiellement et non pleinement satisfaite

Un fournisseur dont la mise en correspondance présente la formation de sensibilisation à la sécurité comme satisfaisant à l’exigence de formation du personnel de l’HIPAA doit être invité à décrire précisément le contenu relatif au traitement des PHI couvert par cette formation. La correspondance montre un lien. La description du contenu montre si ce lien est exact.

Comment le prouver

• Dossiers de validation des correspondances critiques pour les exigences propres à une réglementation
• Dossiers de comparaison entre le texte des exigences et le contenu des contrôles
• Identification des satisfactions partielles et évaluation complémentaire
• Dossiers d’examen des exigences de contenu propres à chaque cadre

À retenir

Les documents de mise en correspondance des contrôles montrent quels contrôles sont censés satisfaire à quelles exigences. Ils ne confirment pas que ces affirmations sont exactes. La formation générale de sensibilisation à la sécurité est mise en correspondance avec l’exigence de formation du personnel de l’HIPAA parce que toutes deux portent sur la formation. L’exigence de l’HIPAA porte précisément sur le contenu relatif au traitement des PHI. La formation porte précisément sur la sécurité des mots de passe et l’hameçonnage. La correspondance indique « satisfaite ». L’exigence est partiellement satisfaite. Lire le texte de l’exigence en regard du contenu du contrôle est la validation que la correspondance ne peut pas apporter. La carte dit que vous êtes arrivé. Le terrain est plus précis que la carte.