Dans le cadre du contrôle « GC-BS : Budget et dépenses » du cadre, les prestataires de services doivent avoir accès à des ressources financières dédiées pour renforcer les mesures et initiatives de cybersécurité.
Dans le cadre du contrôle « GC-BS : Budget et dépenses » du cadre, les prestataires de services doivent avoir accès à des ressources financières dédiées pour renforcer les mesures et initiatives de cybersécurité.
La Commission nigériane des communications (NCC) a établi des exigences pour que les fournisseurs de services de communication allouent officiellement des ressources financières à la cybersécurité dans le cadre du cadre de cyber-résilience pour le secteur des communications du Nigéria (CRF-NCS).
Dans le cadre du contrôle « GC-BS : Budget et dépenses » du cadre, les prestataires de services doivent avoir accès à des ressources financières dédiées pour renforcer les mesures et initiatives de cybersécurité. Le cadre stipule que la planification budgétaire doit être alignée sur les objectifs et les processus de sécurité de l'information et de gestion de la confidentialité, avec des ressources adéquates allouées pour soutenir les efforts de cybersécurité de l'organisation.
Le cadre exige en outre que les budgets de cybersécurité soient « alloués de manière stratégique pour s’aligner sur des objectifs spécifiques de cybersécurité et leurs activités de mise en œuvre associées ». Les prestataires de services sont également tenus de suivre les dépenses budgétaires en matière de cybersécurité et d’ajuster les budgets futurs si nécessaire pour garantir une allocation optimale des ressources et améliorer l’efficacité de la sécurité.
Cette exigence fait partie de l’approche de gouvernance plus large du cadre en matière de cyber-résilience. Le CRF-NCS stipule que les budgets de cybersécurité des prestataires de services doivent être stratégiquement alignés sur des objectifs spécifiques de cybersécurité et sur les activités nécessaires à leur mise en œuvre.
Le cadre place la responsabilité du risque de cybersécurité au niveau de la direction. Les conseils d'administration ou la direction exécutive des prestataires de services assument la responsabilité et l'obligation de rendre compte des risques liés à la cybersécurité, tandis qu'un responsable de la sécurité de l'information (RSSI) ou un responsable désigné est tenu de coordonner, développer, mettre en œuvre et maintenir la stratégie, le plan, le programme et les activités globaux de l'organisation en matière de cybersécurité.
Le CRF-NCS exige également que les prestataires de services établissent des processus pour identifier, évaluer et atténuer les risques de la chaîne d'approvisionnement grâce à une gestion efficace des risques liés aux tiers, parallèlement à l'allocation stratégique des budgets de cybersécurité.
L'approche du cadre est basée sur la cyber-résilience, qu'il décrit comme la capacité des organisations à anticiper, résister, répondre et s'en remettre des événements indésirables de cybersécurité tout en maintenant les fonctions essentielles. Il met l’accent sur la préparation, la continuité et la capacité à se remettre rapidement des perturbations.
Le CRF-NCS applique une approche par niveaux aux fournisseurs de services de communications, en les classant en niveaux 1, 2 et 3 en fonction de facteurs tels que leurs réseaux, leur couverture, leur infrastructure et leur rôle dans le secteur des communications.
Par le biais du budget et des exigences de dépenses, le cadre relie donc directement le financement de la cybersécurité à la gestion des risques, aux objectifs de sécurité et aux activités de mise en œuvre, tout en exigeant que les prestataires de services surveillent la manière dont leurs ressources en matière de cybersécurité sont dépensées et ajustent les allocations futures si nécessaire.
