Qu'est-ce que l'ISO 27001 ? Présentation de la norme mondiale de sécurité de l'information.

Alors que la cybercriminalité ne cesse de croître et que les cybermenaces ne cessent d'évoluer, les entreprises sont de plus en plus contraintes de démontrer leur engagement en matière de sécurité de l'information.

Voici la norme ISO 27001 : la meilleure pratique mondialement reconnue pour la gestion de la sécurité de l'information et la mise en œuvre d'un SGSI (système de gestion de la sécurité de l'information). ISO 27001 étant la norme de sécurité de l'information la plus répandue dans le monde, nombre de vos clients la connaissent et apprécient de s'y conformer.

Que vous soyez novice en matière d'ISO 27001 ou que vous cherchiez à renforcer vos pratiques actuelles, cet article vous présentera les éléments essentiels de la norme, les raisons de son importance et la manière dont elle peut améliorer votre approche de la sécurité de l'information.

Qu'est-ce qu'une norme de sécurité de l'information ?

Commençons par les bases. ISO 27001 est une norme de sécurité. Cela signifie qu'elle fournit un ensemble structuré de meilleures pratiques que vous pouvez suivre. Ces meilleures pratiques sont créées par des experts du domaine et représentent les meilleurs moyens possibles d'atténuer les cyber-risques.

Certaines normes de sécurité (comme ISO 27001) comprennent également un mécanisme de certification. Cela signifie que vous pouvez demander à un auditeur externe accrédité de vérifier (selon une liste préétablie de règles) que vous vous conformez à toutes les meilleures pratiques de la norme. À l'issue de ce processus, vous recevrez un certificat pour votre organisation.

Du point de vue d'une personne responsable de la sécurité de l'information dans une organisation, les normes de sécurité offrent par exemple les avantages suivants:

• Obtenez une liste de meilleures pratiques éprouvées: Vous n'avez pas besoin de créer votre programme de sécurité de l'information à partir de zéro et vous pouvez gagner du temps en utilisant les meilleures pratiques créées par des experts sur le terrain et testées par des centaines de milliers d'organisations.
• Comprenez votre propre niveau de sécurité: Êtes-vous à 30/100, 60/100 ou 90/100 de la norme ISO 27001 ? Cela donne à votre organisation matière à réflexion et permet de fixer des objectifs. Trop souvent, les organisations fondent leur compréhension de la sécurité de l'information sur une intuition d'investissements réalisés (souvent uniquement technologiques), sans avoir vraiment d'éléments de comparaison.
• Créer une communication sur la sécurité qui soit conviviale pour le client: Votre client connaîtra également la norme ISO 27001 et le fait de rendre compte de cette norme aura une signification pour lui. La conformité à une norme de classe mondiale comme ISO 27001 indique que l'organisation est sûre, qu'elle prend la sécurité de l'information au sérieux et qu'on peut lui confier les données de ses clients.

Quel est le contenu de la norme ISO 27001 ?

Dans la norme ISO 27001, ces meilleures pratiques se présentent sous deux formes :

• Exigences de l'encadrement supérieur: Elles vous permettent de définir clairement votre programme de sécurité de l'information et de le gérer correctement.
• Contrôles de la sécurité de l'information: Ces contrôles permettent de s'assurer que vous prenez bien soin de la confidentialité, de l'intégrité et de la disponibilité des données.

Exigences de la norme ISO 27001 pour l'encadrement supérieur

La version actuelle (2022) de la norme ISO 27001 comporte 22 exigences en matière de gestion supérieure.

Chaque exigence porte un nom clair, un identifiant (le numéro) et une description de l'exigence qui doit être respectée pour être conforme à la norme.

Les exigences en matière de gestion de la sécurité couvrent des sujets tels que

• 4. Contexte de l'organisation (c'est-à-dire compréhension de l'organisation) : Identifier l'environnement de l'organisation, les facteurs clés et les parties prenantes susceptibles d'affecter la sécurité de l'information.
• 5. Le leadership: L'encadrement supérieur doit soutenir activement le SMSI en fixant des objectifs clairs, en répartissant les responsabilités et en promouvant une culture qui donne la priorité à la sécurité de l'information.
• 6. Planification (c'est-à-dire gestion des risques) : Développer une approche structurée pour identifier, évaluer et traiter les risques liés à la sécurité de l'information et mettre en œuvre les actions planifiées pour atténuer les risques choisis.
• 7. Soutien (ressources et documentation) : Veiller à ce que l'organisation dispose des ressources, des compétences et des connaissances nécessaires pour mettre en œuvre le SMSI avec succès. Maintenir une documentation bien organisée et communiquer clairement sur les pratiques de sécurité.
• 8. Fonctionnement (c'est-à-dire exécution du SMSI) : mettre en œuvre le SMSI en appliquant des contrôles et en exécutant des processus clés (par exemple, la gestion des risques et l'amélioration continue). Veiller à ce que le SMSI soit exécuté de manière fiable et cohérente dans le cadre des activités quotidiennes.
• 9. L'évaluation des performances (c'est-à-dire le suivi et l'examen) : Évaluer régulièrement le fonctionnement du SMSI au moyen d'audits, d'examens et de mesures. Utiliser ces informations pour évaluer l'efficacité du SMSI.
• 10. Amélioration continue: Améliorer en permanence le SMSI en traitant les cas de non-conformité, en prenant des mesures correctives et en améliorant les processus afin de garantir que le SMSI reste efficace et à jour.

Contrôles de la sécurité de l'information selon la norme ISO 27001

La version actuelle (2022) de la norme ISO 27001 comporte 93 contrôles de sécurité de l'information.

Chaque contrôle porte un nom clair, un identifiant (le numéro), la partie obligatoire à mettre en œuvre et des lignes directrices pour renforcer encore la mise en œuvre. Les lignes directrices pour les contrôles de sécurité de l'information sont disponibles dans le document ISO 27002.

Dans la version actuelle de la norme ISO 27001, les contrôles sont classés en quatre chapitres, à savoir les contrôles organisationnels, les contrôles humains, les contrôles physiques et les contrôles technologiques. Ce regroupement souligne bien le fait que seul un sous-ensemble de la sécurité de l'information est principalement technologique. Dans de nombreux contrôles, les processus, la sensibilisation du personnel ou les protections physiques sont davantage mis en avant que les garanties technologiques.

Les contrôles de sécurité de l'information de la norme ISO 27001 couvrent tous les aspects de la sécurité de l'information :

• Gestion des actifs: Identifier, catégoriser, définir la propriété et donc gérer et protéger systématiquement les actifs informationnels clés (par exemple, les systèmes de données, les données, les personnes, les sites physiques, l'équipement).
• Gestion des identités et des accès: Définir les processus permettant de s'assurer que seules les personnes autorisées peuvent accéder aux ressources d'information, par exemple grâce à une gestion des accès basée sur les rôles, à des examens des accès, à la protection des informations d'authentification et à des procédures de connexion robustes.
• Relations avec les fournisseurs: Identifier les fournisseurs importants (par exemple, les fournisseurs de systèmes de données et les responsables du traitement des données) et gérer les risques qu'ils représentent pour vos données, par exemple en classant les fournisseurs par catégories et en veillant à ce qu'ils soient suffisamment assurés d'un bon niveau de sécurité de l'information.
• Gestion de la continuité: Garantir que les opérations et les informations critiques restent disponibles en cas d'interruption grâce à des processus de sauvegarde solides, à l'élaboration et à la mise en pratique de plans de continuité et à la définition d'exigences de continuité pour les différents actifs ou processus.
• Sécurité des ressources humaines: Veiller à ce que les employés comprennent leurs responsabilités en matière de sécurité, respectent leurs directives personnelles, fassent l'objet d'un contrôle avant l'accès et suivent d'autres politiques de sécurité tout au long de leur mandat.
• Sécurité physique: Elle protège les installations, les équipements et les informations contre les accès physiques non autorisés, les dommages ou les interférences, en garantissant un environnement physique sûr.
• Sécurité des systèmes et des réseaux: Protéger l'infrastructure informatique en gérant les vulnérabilités, en contrôlant l'accès et en garantissant des configurations sécurisées afin d'empêcher les accès non autorisés ou les perturbations.
• Gestion des menaces et des vulnérabilités: Disposer de processus permettant de suivre l'évolution du paysage des menaces et d'identifier les vulnérabilités techniques afin d'atténuer les risques pesant sur les actifs informationnels.
• Gestion des incidents: Assurez-vous que vous avez la capacité d'identifier et d'enquêter sur les incidents de sécurité potentiels et, lorsqu'ils sont identifiés, assurez une réponse, un traitement et une analyse systématiques des incidents afin d'en minimiser l'impact et d'éviter qu'ils ne se reproduisent.
• Sécurité des applications: Veiller à ce que les logiciels développés soient conçus, développés, testés et maintenus avec des contrôles solides pour protéger les données et prévenir les vulnérabilités tout au long de leur cycle de vie.

L'avantage des contrôles de la norme ISO 27001 est que tous les aspects liés à la sécurité de l'information sont fortement pris en compte.

Quelques questions fréquemment posées sur l'ISO 27001

Quelle est la différence entre les documents ISO 27001 et ISO 27002 ?

Le document ISO 27001 décrit les processus et les politiques qu'une organisation doit suivre pour atteindre et maintenir une sécurité de l'information efficace. Il est obligatoire de se conformer à toutes les exigences de ce document si l'on veut obtenir la certification.

Dans son annexe A, la norme ISO 27001 fait référence aux contrôles expliqués plus en détail dans la norme ISO 27002.

Le document ISO 27002 fournit des orientations et des bonnes pratiques pour la mise en œuvre des contrôles énumérés à l'annexe A de la norme ISO 27001. On s'attend généralement à ce que vous mettiez en œuvre la plupart des contrôles, mais certains peuvent être considérés comme "non applicables" si vous présentez une argumentation solide.

Dans ses sections relatives aux conseils de mise en œuvre , la norme ISO 27002 fournit des recommandations sur la manière de personnaliser et d'adapter les contrôles en fonction des besoins spécifiques de chaque organisation. Ces parties ne sont pas obligatoires à mettre en œuvre, mais elles fournissent des détails très utiles.

En résumé, vous devez utiliser les deux documents ensemble. Des orientations plus détaillées sur le contrôle de la sécurité de l'information figurent dans le document 27002, tandis que les exigences en matière de gestion de la sécurité de l'information sont expliquées dans le document 27001.

Qu'est-ce qu'un SGSI (système de gestion de la sécurité de l'information) ?

Un SGSI (système de gestion de la sécurité de l'information) désigne le système central dans lequel vous avez consigné les informations nécessaires expliquant comment vous vous conformez aux exigences des normes et mettez en œuvre les contrôles.

La norme n'impose aucune exigence de format pour le SMSI - il peut s'agir d'un outil unique comme Cyberday, ou d'un ensemble de mots, d'excels, de powerpoints et d'écritures sur le mur. Mais vous devrez fournir un document de description du SMSI à un auditeur, qui explique la structure du SMSI et son contenu.

Le rôle du SMSI est de veiller à ce que toutes les mesures liées à la sécurité de l'information soient clairement documentées, attribuées et contrôlées. Il fournit une approche structurée de la gestion de la sécurité de l'information et en relie tous les éléments.

À quoi se réfère l'ISO ?

ISO fait référence à l'Organisation internationale de normalisation. Si vous souhaitez accéder au contenu réel des documents ISO 27001 et ISO 27002, vous devez les acheter, par exemple sur leur site web à l'adresse ISO.org.

La norme ISO 27001 est également appelée ISO/IEC 27001:2022. La partie CEI fait référence à l'effort conjoint avec la Commission électrotechnique internationale. La partie finale (:2022 dans ce cas) fait référence à la version la plus récente de la norme, qui a été publiée en 2022.

Comment utiliser ISO 27001 ?

Il existe de nombreuses approches différentes de l'utilisation de la norme ISO 27001. Je vais en présenter quelques-unes que nous avons observées chez nos clients :

• Utilisez-le comme référence: Sélectionnez les bonnes pratiques à mettre en œuvre dans vos propres mesures de sécurité et trouvez de bons conseils pour vous améliorer étape par étape.
• Déterminez votre niveau de sécurité de l'information: Comparez vos mesures actuelles à la norme ISO 27001 pour comprendre dans quelle mesure vous vous conformez aux meilleures pratiques de cette norme, afin de vous fixer des objectifs pour l'avenir.
• Visez la conformité: Fixez-vous comme objectif interne de vous conformer à l'ensemble de la norme, afin d'être prêt à rendre compte de votre conformité à la norme ISO 27001, par exemple à vos clients ou aux autorités.
• Visez la certification: Si vous souhaitez disposer de la preuve la plus solide possible de votre conformité permanente et vous assurer que vous améliorez continuellement votre SMSI, vous vous associez à un auditeur accrédité et vous vous soumettez à un audit de certification.

Chacune de ces méthodes vous permet d'acquérir une base plus solide pour passer à la suivante, et elles se soutiennent donc parfaitement l'une l'autre.

Qui peut utiliser ISO 27001 ?

La norme ISO 27001 peut être utilisée par toute organisation, quels que soient sa taille, son secteur d'activité ou son type. Tant que vous souhaitez améliorer la sécurité de vos informations et utiliser les meilleures pratiques, vous entrez dans son champ d'application.

Notre organisation est certifiée ISO 27001 depuis environ 6 ans. À l'époque, nous étions petits, et depuis, nous nous sommes beaucoup développés. En outre, nous avons aidé des centaines d'organisations de tous les secteurs à améliorer leur conformité à la norme ISO 27001 grâce à l'application Cyberday . Nous avons donc constaté que l'application fonctionne en pratique pour tous ceux qui souhaitent améliorer leur sécurité de l'information.

Les organisations peuvent bénéficier de la norme de manière légèrement différente. Pour les PME, une certification ISO 27001 peut être en grande partie un moyen de créer la confiance et la crédibilité. Dans les grandes organisations, elle peut fournir une structure pour la gestion des risques liés à la sécurité de l'information dans de multiples départements, succursales nationales et chaînes d'approvisionnement complexes. Dans les secteurs réglementés, elle peut aider à répondre aux exigences de conformité des clients et de la loi.