CyFun sur Azure
CyberFundamentals sur Azure : les niveaux d'assurance et les preuves qui les étayent
Le framework CyberFundamentals du CCB est, en Belgique, la voie privilégiée pour démontrer la conformité à NIS2. Cloudivence, anciennement Governator, prend en charge la partie Azure : collecte de preuves, évaluation des contrôles, attestations et dossier de preuves par niveau d'assurance.
Ce qu'est CyberFundamentals, et pourquoi cela compte sur Azure
CyberFundamentals (CyFun) est le framework d'assurance cybersécurité publié par le Centre pour la Cybersécurité Belgique (CCB). Il combine ISO/IEC 27001, NIST CSF et CIS Controls en quatre niveaux d'assurance, et c'est le framework sur lequel le CCB a aligné l'application de NIS2 : une organisation qui atteint le niveau CyFun adapté à son profil est considérée comme couvrant la portion correspondante des mesures de l'Article 21 NIS2.
Pour les environnements Azure, CyFun devient ainsi un travail de preuve concret : chaque contrôle demande une preuve issue de la plateforme ou l'attestation d'une personne. Faire correspondre l'état technique d'Azure au référentiel de contrôles, c'est la couche que prend en charge Cloudivence. Cloudivence évalue l'édition 2023 du framework ; l'édition 2025 figure sur sa roadmap.
Le framework est par ailleurs reconnu dans plusieurs autres États membres de l'UE par le biais d'accords bilatéraux entre autorités nationales. Un dossier d'assurance CyFun voyage donc bien au-delà des frontières belges pour les organisations qui opèrent à l'international.
Les trois niveaux d'assurance, et ce que couvre Cloudivence
Chaque niveau CyFun appelle un modèle de preuve Azure plus exigeant. Cloudivence évalue les 219 contrôles de l'édition 2023, et ses scores comme son dossier de preuves peuvent être filtrés sur le niveau visé.
Points d'attention Azure
Hygiène d'identité (MFA, pas d'admin partagé), Defender free tier sur chaque abonnement, sauvegarde de base, chiffrement at rest, inventaire des ressources publiquement exposées.
Ce que couvre Cloudivence
Les 34 contrôles que le framework attribue au niveau Basic, évalués à partir des preuves Defender, Azure Policy, affectations de rôles, stockage et sauvegarde. Les contrôles qu'Azure ne peut pas montrer font l'objet d'une attestation.
Points d'attention Azure
Defender Plan 2 sur les workloads de production, processus d'exemption structuré, alerting sur la dérive RBAC, posture Conditional Access, inventaire Key Vault, onboarding Sentinel pour les ressources critiques.
Ce que couvre Cloudivence
Les 106 contrôles Important, à partir des mêmes preuves complétées par la configuration réseau, firewall et WAF et par l'Activity Log. Les exceptions portent une date d'expiration, et le dossier de preuves peut être filtré sur ce niveau.
Points d'attention Azure
BCDR multi-régions avec runbooks testés, clés gérées par le client, couverture complète des plans Defender, preuves de segmentation réseau, artefacts dédiés à la réponse à incident, attestations de chaîne d'approvisionnement.
Ce que couvre Cloudivence
Les 79 contrôles Essential. Beaucoup d'entre eux, comme des runbooks de reprise testés ou des attestations fournisseurs, ne peuvent être qu'attestés : Cloudivence enregistre l'attestation et son lien de preuve, sans les lire dans Azure.
Comment Cloudivence traite CyFun sur Azure
Des contrôles rattachés à vos preuves Azure
Chaque évaluation fait correspondre les contrôles CyFun aux recommandations Defender et aux résultats Azure Policy de votre environnement, et les contrôles de sauvegarde suivent un jeu de règles explicite. La correspondance est reconstruite à chaque évaluation : elle suit vos abonnements plutôt qu'une liste figée.
Sept états, dont l'état inconnu
Chaque contrôle est conforme, partiel, non conforme, attesté, planifié, non évalué ou non applicable. Un contrôle sans preuve compte pour zéro tant que personne ne la fournit, et seul un contrôle non applicable sort du score.
Attestations et exceptions
Les contrôles qu'Azure ne peut pas montrer, comme les registres de formation ou les tests de reprise, sont attestés avec le nom de la personne qui atteste, un lien de preuve et une date de revue facultative. Une exception de contrôle porte une date d'expiration et est marquée comme expirée une fois cette date passée.
Un dossier de preuves au niveau visé
Un classeur Excel avec un executive summary, la matrice de preuves par contrôle, l'analyse d'écart, les attestations, les constats et les exceptions, filtré sur Basic, Important ou Essential et conservé dans l'historique des rapports.
Des narratifs d'écart rédigés en option
Si vous configurez votre propre déploiement Azure OpenAI, Cloudivence peut rédiger un projet de narratif d'écart par contrôle, à relire par une personne. La fonction reste désactivée tant que vous ne la mettez pas en place, et ces projets ne font pas partie du dossier de preuves.
Une réévaluation quand vous la lancez
L'évaluation s'exécute après une collecte, lorsque l'opérateur la lance. La réévaluation planifiée et les alertes de dérive figurent sur la roadmap.
Évaluation, ou assurance continue ?
Évaluation de readiness CyFun
Une mission ponctuelle dans laquelle GenioCT utilise Cloudivence pour établir une image à un instant T, accompagnée d'une interprétation experte. Livrable : une roadmap vers le niveau visé, des corrections hiérarchisées, des attestations et un dossier de preuves pour votre auditeur.
Durée typique : 3 à 5 semaines.
Pilote Cloudivence
Cloudivence dans un pilote accompagné : collectes et réévaluations menées avec vous, preuves, attestations et exceptions conservées de l'une à l'autre, et dossier de preuves régénéré quand vous en avez besoin.
Engagement : en continu.
Commencez par un Azure Health Check
Pas sûr par où commencer ? Une revue rapide d'architecture vous donne une image claire. Sans engagement.
- ✓ Scorecard des risques : identité, réseau, gouvernance et sécurité
- ✓ Top 10 des problèmes classés par impact et effort
- ✓ Feuille de route 30-60-90 jours avec quick wins