Résumé

  • Le 21 septembre, le NIST a publié une première version ouverte aux commentaires du SP 800-82 révision 4. La consultation court jusqu’au 30 novembre 2026 ; il ne s’agit pas encore du guide définitif.
  • Le document prévoit, pour sa publication finale, de déplacer les annexes C et D vers des ressources web et de publier séparément les annexes E et F. Dans le projet actuellement consultable, les quatre annexes sont toujours présentes.
  • La tenue d’un dossier daté des versions, des contraintes de l’installation et de la décision locale est une proposition éditoriale, non une exigence nouvelle attribuée au NIST.

Un responsable de station d’épuration peut accepter une surveillance réseau limitée afin de protéger la disponibilité d’un procédé. Son successeur peut relire la justification deux ans plus tard. Si le dossier ne cite que « SP 800-82 », saura-t-il quel inventaire de menaces, quelle adaptation des contrôles et quelle édition du guide ont été examinés ? Ce cas illustre un risque documentaire ; il ne décrit aucun incident réel.

Le projet que le NIST a rendu public le 21 septembre concerne les technologies opérationnelles qui observent ou modifient le monde physique. Il cite notamment les bâtiments, l’eau, les transports et les systèmes industriels. Le NIST annonce une structuration liée à la fonction Govern du CSF 2.0, une articulation plus nette avec le risque de l’entreprise et des développements sur les actifs, la détection réseau, l’administration des systèmes et les principes de confiance zéro. Ces orientations ne prouvent ni déploiement généralisé ni faute d’un exploitant particulier.

La note aux lecteurs du PDF ajoute un chantier moins visible. Pour faciliter des mises à jour rapides, les annexes C et D — menaces, incidents, organisations et recherches — doivent devenir des ressources web dans la publication finale. L’annexe E, consacrée à l’adaptation des contrôles OT, et l’annexe F, consacrée à l’application du cadre RMF, doivent devenir des documents indépendants. Le texte emploie le futur : les annexes figurent encore dans les 321 pages du projet. Les observations reçues peuvent influer sur le résultat.

Un lien web vivant peut corriger plus vite des informations périssables. L’annexe D précise d’ailleurs que ses descriptions d’organisations n’ont pas été vérifiées et invite à consulter celles-ci pour des données actuelles. Pourtant, la ressource la plus récente n’est pas automatiquement celle qu’une équipe a vue lors d’une décision passée. Une revue de sécurité a besoin de la chaîne historique, pas seulement de la dernière page disponible.

Le dossier de décision pourrait conserver l’identifiant de l’édition du guide, une capture datée et vérifiable des ressources consultées, les versions des documents complémentaires, le périmètre du procédé, les contraintes de sûreté et de disponibilité, les arbitrages et la personne habilitée à accepter le risque résiduel. Un hachage aide à reconnaître un texte ; il ne valide pas, à lui seul, une mesure de sécurité. Il faut également séparer la recommandation du NIST, l’obligation éventuellement applicable et le choix de l’exploitant.

Cette distinction compte parce que l’annexe E présente une adaptation partielle des contrôles du SP 800-53 révision 5, et non une recette valable pour toute usine. L’annexe F décrit une mise en œuvre du RMF pour l’OT en laissant certaines tâches facultatives. Le responsable local doit toujours expliquer pourquoi telle mesure convient ou non à son système. Le délai du 30 novembre est une échéance de commentaires, pas une date d’entrée en vigueur.

Sources