ISO 27001 et l’ISMS

ISO/IEC 27001 est la norme internationale relative au management de la sécurité de l'information. Contrairement à un cadre flexible, il s'agit d'une spécification formelle par rapport à laquelle un organisme accrédité peut vous certifier.

Son concept central est l'ISMS, le système de management de la sécurité de l'information. ISO 27001 est moins une liste de contrôles techniques qu'un système permettant de gouverner la sécurité comme un processus continu et géré.

Un ISMS est l'ensemble des politiques, processus, rôles et contrôles qu'une organisation utilise pour gérer systématiquement les risques liés à la sécurité de l'information.

Il s'agit d'un système de management, comme un système de management de la qualité ou de l'environnement. L'objectif n'est pas de réussir un audit unique, mais de disposer d'un mécanisme vivant qui :

• évalue les risques en continu ;
• met en œuvre et maintient les contrôles ;
• mesure l'efficacité ;
• s'améliore au fil du temps.

L'ISMS repose sur le cycle d'amélioration continue PDCA :

• Planifier — définir le périmètre de l'ISMS, la politique, l'évaluation des risques et leur traitement.
• Exécuter — mettre en œuvre les contrôles et les processus choisis.
• Vérifier — surveiller, auditer et mesurer les performances.
• Agir — corriger les non-conformités et améliorer le système.

C'est pourquoi la certification n'est pas un événement ponctuel : les auditeurs attendent des preuves que le cycle fonctionne réellement.

ISO 27001 est fondamentalement fondé sur les risques. Vous identifiez les risques qui pèsent sur la confidentialité, l'intégrité et la disponibilité, puis décidez de la manière de traiter chacun d'eux.

Les quatre options standard de traitement des risques sont les suivantes :

La déclaration d'applicabilité (DdA) est un document emblématique d'ISO 27001. Elle répertorie chaque contrôle de l'ensemble de référence de la norme et indique :

• si le contrôle est applicable ;
• s'il est mis en œuvre ;
• la justification de son inclusion ou de son exclusion.

La DdA relie votre évaluation des risques à vos contrôles et fait partie des premiers documents examinés par un auditeur. Vous pouvez exclure un contrôle, mais vous devez justifier cette décision.

ISO 27001 fait référence à un catalogue de contrôles présenté dans l'Annexe A et détaillé dans le guide complémentaire ISO 27002. La révision de 2022 les a réorganisés en quatre thèmes :

• les contrôles organisationnels (politiques, gestion des fournisseurs) ;
• les contrôles liés aux personnes (vérification des antécédents, sensibilisation) ;
• les contrôles physiques (zones sécurisées, équipements) ;
• les contrôles technologiques (accès, cryptographie, journalisation).

Vous sélectionnez ceux qui s'appliquent en fonction de votre évaluation des risques, et les consignez dans la DdA.

Au début de la mise en place d'un ISMS, vous en définissez le périmètre : les parties de l'organisation, les systèmes et les informations couverts par l'ISMS.

Le périmètre est extrêmement important. Un périmètre étroit (une seule gamme de produits) permet une certification plus rapide, mais reste limité ; un périmètre large (toute l'entreprise) est plus crédible, mais demande davantage de travail. Le certificat indique le périmètre, que les clients examinent attentivement : définissez-le honnêtement en fonction de ce que vous pouvez maintenir.

ISO 27001 impose l'engagement de la direction. La direction doit définir la politique de sécurité, attribuer les rôles, fournir les ressources et examiner l'ISMS.

La norme accorde également, par conception, une place importante à la documentation : politiques, évaluation des risques, DdA, procédures et relevés de surveillance. Les auditeurs suivent la maxime suivante : si ce n'est pas documenté, cela ne s'est pas produit. Les preuves sont la monnaie de la certification.

Au-delà des contrôles de l'Annexe A, la certification exige le respect des clauses obligatoires 4 à 10, qui décrivent le système de management lui-même :

• 4 Contexte, 5 Leadership, 6 Planification, 7 Support.
• 8 Fonctionnement, 9 Évaluation des performances, 10 Amélioration.

Ces clauses ne sont pas facultatives. Vous pouvez adapter les contrôles de l'Annexe A, mais toutes les clauses relatives au système de management doivent être respectées pour obtenir la certification.

Ces deux approches sont complémentaires et non concurrentes :

• ISO 27001 est certifiable, reconnue à l'international et met l'accent sur le système de management et la gouvernance.
• Le NIST CSF est volontaire et flexible, et met l'accent sur les résultats pratiques en matière de risques dans les différentes fonctions.

De nombreuses organisations utilisent le CSF pour structurer leurs capacités opérationnelles et ISO 27001 pour formaliser et certifier leur programme. Leurs ensembles de contrôles correspondent largement.

L'ISMS comporte deux vérifications récurrentes qui garantissent le bon fonctionnement du cycle PDCA :

• Audit interne — examen périodique et indépendant de l'ISMS au regard d'ISO 27001 et de vos propres politiques, afin de repérer les non-conformités avant l'organisme certificateur.
• Revue de direction — la direction examine officiellement les performances de l'ISMS, les résultats des audits, les incidents et l'évolution des risques, puis décide des améliorations et des ressources nécessaires.

Ces deux activités sont obligatoires. Elles démontrent que le système de management est vivant et non un simple classeur statique.

Vérifiez votre compréhension d'un élément central d'ISO 27001.

ISO 27001 et l'ISMS :

• ISO 27001 est une norme internationale certifiable centrée sur l'ISMS, un système géré destiné à traiter les risques liés à la sécurité de l'information.
• L'ISMS repose sur le cycle PDCA (Planifier, Exécuter, Vérifier, Agir) pour assurer une amélioration continue.
• Il est fondé sur les risques : évaluez les risques, puis réduisez-les, transférez-les, évitez-les ou acceptez-les un par un.
• La déclaration d'applicabilité relie les risques aux contrôles de l'Annexe A (organisationnels, liés aux personnes, physiques et technologiques) en fournissant les justifications correspondantes.
• Les clauses obligatoires 4 à 10 régissent le système de management ; l'engagement de la direction et la documentation sont requis. ISO 27001 complète le NIST CSF.