ISO 27001

Ouvrir ISO 27001 pour la première fois surprend. Les trois premières clauses ne contiennent aucune exigence : domaine d'application, références, définitions. Le vrai contenu commence à la clause 4 et s'arrête à la clause 10. Viennent ensuite l'annexe A et ses 93 mesures.

Cette organisation n'est pas propre à la 27001. Elle suit la structure harmonisée de l'ISO, commune à ISO 9001 (qualité), ISO 14001 (environnement) ou ISO 22301 (continuité d'activité). Une entreprise déjà certifiée ISO 9001 retrouve les mêmes titres de chapitres, et peut fusionner une partie des deux systèmes.

Vue d'ensemble

Les clauses 4 à 10 sont toutes obligatoires. On ne peut en exclure aucune. Les mesures de l'annexe A, elles, peuvent être exclues si l'analyse de risques le justifie. C'est une différence fondamentale qu'on reverra au chapitre 5.

Clause 4 — Contexte de l'organisation

Avant de protéger quoi que ce soit, il faut savoir qui on est et pour qui on travaille.

• 4.1 Les enjeux internes et externes : marché, réglementation, menaces, culture, moyens. L'amendement de 2024 demande d'y ajouter une question explicite : le changement climatique est-il un enjeu pertinent ?
• 4.2 Les parties intéressées et leurs exigences : clients, salariés, actionnaires, autorités, hébergeur, assureur.
• 4.3 Le périmètre du SMSI.
• 4.4 L'obligation d'établir, mettre en œuvre, tenir à jour et améliorer le SMSI.

Le périmètre est la décision la plus structurante du projet. Le chapitre 3 lui est consacré.

Clause 5 — Leadership

La direction doit s'impliquer, et pas seulement signer. La norme exige qu'elle :

• établisse une politique de sécurité de l'information (5.2) ;
• attribue les rôles et responsabilités (5.3) ;
• fournisse les ressources nécessaires ;
• montre son engagement (5.1).

L'auditeur le vérifie en interrogeant directement la direction. Un dirigeant qui ne sait pas ce qu'est le SMSI de sa propre entreprise est un signal d'alerte immédiat.

Clause 6 — Planification

C'est le cœur méthodologique.

• 6.1.1 Identifier les risques et opportunités liés au SMSI lui-même.
• 6.1.2 Définir et appliquer un processus d'appréciation des risques de sécurité de l'information.
• 6.1.3 Définir et appliquer un processus de traitement des risques, produire la déclaration d'applicabilité et le plan de traitement.
• 6.2 Fixer des objectifs de sécurité mesurables.
• 6.3 Planifier les modifications du SMSI. Cette sous-clause est apparue en 2022.

Les chapitres 4 et 5 détaillent 6.1.2 et 6.1.3.

Clause 7 — Support

Tout ce qui permet au système de tourner :

La 7.5 n'impose pas un outil. Un wiki versionné, un dépôt Git, un drive avec historique : tout convient tant qu'on sait quelle version est en vigueur et qui l'a approuvée.

Clause 8 — Fonctionnement

On exécute ce qu'on a planifié :

• 8.1 Planifier et maîtriser les processus, y compris ceux confiés à des prestataires.
• 8.2 Réaliser l'appréciation des risques à intervalles planifiés et lors de changements importants.
• 8.3 Mettre en œuvre le plan de traitement des risques.

La clause est courte, mais c'est elle qui produit le plus de preuves : comptes rendus d'analyse, tickets de mise en œuvre, registres.

Clause 9 — Évaluation des performances

Trois mécanismes de contrôle :

1. 9.1 Surveillance et mesure. Décider quoi mesurer, comment, quand, et qui analyse.
2. 9.2 Audit interne. Un programme d'audits, par des personnes objectives et impartiales.
3. 9.3 Revue de direction. La direction examine régulièrement le SMSI et prend des décisions.

Le chapitre 7 montre à quoi ressemblent ces trois activités dans une PME.

Clause 10 — Amélioration

• 10.1 Améliorer en continu la pertinence et l'efficacité du SMSI.
• 10.2 Traiter les non-conformités : réagir, analyser la cause, corriger, vérifier l'efficacité de la correction.

Dans la version 2022, l'ordre de ces deux sous-clauses a été inversé par rapport à 2013, pour souligner que l'amélioration est l'objectif et la correction un moyen.

L'annexe A

L'annexe A liste 93 mesures réparties en quatre thèmes :

La numérotation commence à 5 parce qu'elle reprend celle de l'ISO 27002, où les chapitres 1 à 4 sont introductifs. Dans la version 2013, il y avait 114 mesures en 14 domaines. Le passage à 93 vient surtout de fusions, avec 11 mesures réellement nouvelles.

Chaque mesure tient en une phrase dans la 27001. Par exemple :

8.13  Sauvegarde des informations
      Des copies de sauvegarde des informations, des logiciels et des systèmes
      doivent être conservées et régulièrement testées conformément à la
      politique spécifique à la thématique convenue.

La 27002 développe ensuite chaque mesure sur une à deux pages : objectif, recommandations, informations complémentaires.

Ce qui a changé en 2022

Pour ceux qui ont connu la version 2013, l'essentiel en un tableau :

Ces attributs de la 27002 sont pratiques : ils permettent de filtrer les 93 mesures, par exemple pour lister toutes les mesures « détectives » liées à l'intégrité.

Le chapitre suivant attaque la première décision concrète de Factura : le périmètre.