La norme 800-53 Rev. 5 du National Institute of Standards and Technology (NIST) est un ensemble complet de contrôles de sécurité fondés sur les meilleures pratiques que de nombreuses organisations utilisent comme cadre pour leurs programmes de sécurité interne. La norme comporte plus de 1 000 contrôles différents organisés en familles de contrôles. Un tel éventail de contrôles disponibles peut rapidement devenir insurmontable pour les équipes de sécurité, de gestion des risques et d'audit qui doivent déterminer quels sont les contrôles les plus importants sur lesquels se concentrer. Lorsque vous êtes chargé d'évaluer non seulement les contrôles internes de votre propre organisation, mais aussi ceux de vos vendeurs et fournisseurs tiers, la tâche peut devenir encore plus complexe.
In this post we discuss how to organize controls into functions and then identify the 15 most essential NIST controls for assessing third-party supplier or vendor security risk.
Questions critiques pour organiser les contrôles NIST 800-53 pour la gestion des risques de la chaîne d'approvisionnement
When considering which are the most applicable supply risk management NIST cybersecurity controls, start by answering these questions – sorted into one of the Five Functions in the NIST framework:
- Identify: Has the supplier identified its critical systems and components under a risk management framework? This is the foundation for developing a cybersecurity framework.
- Protéger: Le fournisseur a-t-il défini et mis en œuvre des contrôles pour gérer l'accès et la visibilité des systèmes critiques ? Il est essentiel de limiter ou de contenir les menaces par une gestion proactive des contrôles.
- Détecter: Le fournisseur a-t-il une visibilité sur les menaces nouvelles et émergentes ? Il est important d'identifier les événements (par exemple, les incidents, les faiblesses et les menaces) qui pourraient en fin de compte affecter votre organisation.
- Répondre: Le fournisseur peut-il identifier et gérer les incidents et les menaces ? Il s'agit de prendre des mesures pour contenir et minimiser l'impact des incidents de cybersécurité.
- Récupération: Le fournisseur a-t-il la capacité de rétablir les systèmes et services critiques ? Cette question permet de déterminer si le tiers peut restaurer les capacités ou les services touchés par un événement de cybersécurité.
Les 15 principaux contrôles NIST pour la gestion des risques liés à la chaîne d'approvisionnement
The following table summarizes the 15 key NIST controls that address the questions above, by function. Please note that these are just the minimum of controls. You should consult your auditor for validation.
| Fonction | NIST 800-53 Contrôle |
|---|---|
| Identifier
Le fournisseur a-t-il identifié ses systèmes et composants critiques dans un cadre de gestion des risques ? |
RA-3 : Évaluation des risques – Conduct évaluations des risques, document the results, and review and update the assessments at defined frequencies.
SA-4 : Processus d'acquisition - Identifier les contrôles de sécurité et de respect de la vie privée dans le cadre de l'acquisition de nouveaux systèmes. CM-8 : Inventaire des composants du système - Élaborer et documenter un inventaire des composants du système qui reflète fidèlement les systèmes. SR-2 : Plan de gestion des risques - Élaborer un plan de gestion des risques de la chaîne d'approvisionnement. |
| Protéger
Le fournisseur a-t-il défini et mis en œuvre des contrôles pour gérer l'accès aux systèmes critiques et la visibilité sur ceux-ci ? |
SC-7 : Protection des frontières - Surveiller et contrôler les communications aux interfaces externes et internes gérées.
IA-2 : Identification et autorisation - Identifier et authentifier les utilisateurs de manière unique ; autorisation approuvée pour l'accès logique. AT-2 : Formation et sensibilisation - Les organisations doivent former les utilisateurs des systèmes à la sécurité et à la protection de la vie privée. CM-3 : Contrôle des modifications - Déterminer et documenter les types de modifications à apporter aux systèmes, enregistrer les modifications, les contrôler et les réviser. AC-3 : Application des règles d'accès - Appliquer les autorisations approuvées pour l'accès logique aux informations et aux ressources du système sur la base des règles de contrôle d'accès. |
| Détecter
Does the supplier have visibility into new and emerging threats? |
RA-5 : Surveillance et analyse de la vulnérabilité - Surveiller et rechercher les vulnérabilités des systèmes et des applications hébergées.
SI-4 : Surveillance des systèmes - Les systèmes doivent être surveillés afin de détecter les attaques et les indicateurs d'attaques potentielles. AU-2 : Enregistrement des événements - Identifier les types d'événements que les systèmes sont capables d'enregistrer. CP-2 : Planification des mesures d'urgence - Les organismes doivent tester le plan d'urgence pour les systèmes à l'aide de tests définis pour garantir l'efficacité du plan. CP-4 : Tests d'urgence - Tester l'efficacité du plan d'urgence pour les systèmes à l'aide de tests définis. |
| Réagir et récupérer
Le fournisseur peut-il identifier et gérer les incidents et les menaces ? A-t-il la capacité de récupérer les systèmes et services critiques ? |
IR-4 : Traitement et réponse aux incidents - Les organisations doivent mettre en œuvre une capacité de traitement des incidents, alignée sur un plan de réponse aux incidents. |
Comment mettre en œuvre les 15 principaux contrôles NIST pour la gestion des risques liés à la chaîne d'approvisionnement ?
Identifying the right controls is only half the work. In order to operationalize them across your third-party risk program, you must map each control to specific vendor assessment, monitoring, and remediation capabilities.
Ready to dive deeper? Check out NIST Third-Party Compliance Checklist, which delivers a comprehensive look at how third-party risk management practices map to recommendations outlined in NIST 800-53, NIST 800-161, and NIST CSF.
To see how your current program maps to these controls, request a demo with Mitratech.
Questions fréquemment posées
Which NIST 800-53 control families apply to vendor and third-party risk assessments?
The SR (Supply Chain Risk Management), RA (Risk Assessment), CA (Assessment, Authorization, and Monitoring), and PM (Program Management) control families carry the most direct relevance for vendor assessments. Within those families, the 15 controls outlined in this post represent the minimum baseline for assessing third-party supplier security risk across the five NIST framework functions.
How many controls are in NIST 800-53?
NIST 800-53 Rev. 5 contains more than 1,000 individual controls and control enhancements organized into 20 control families. For third-party supply chain risk management specifically, the SR family is the most directly applicable, though controls from RA, CA, and PM are also commonly assessed in vendor security questionnaires.
How does NIST 800-53 differ from NIST 800-161 for supply chain risk?
NIST 800-53 is a broad security controls catalog applicable to all federal information systems, with a subset of controls relevant to supply chain risk. NIST 800-161 is purpose-built for cybersecurity supply chain risk management (C-SCRM), providing deeper guidance on implementing those controls specifically within a multilevel supply chain context. Organizations typically use 800-53 as the control baseline and 800-161 as the implementation framework.
Editor’s Note: This post was originally published on Prevalent.net. In October 2024, Mitratech acquired the AI-enabled third-party risk management, Prevalent. The content has since been updated in July 2026 to include information aligned with our product offerings, regulatory changes, and compliance.
