ISO 27001 (Système de management de la sécurité de l'information)

Qu’est-ce que l’ISO 27001 ?

ISO/IEC 27001 (version actuelle : ISO 27001:2022, publiée en octobre 2022) est la norme mondiale pour les Systèmes de Management de la Sécurité de l’Information (SMSI). Publiée conjointement par l’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC), elle spécifie les exigences pour établir, mettre en œuvre, maintenir et améliorer continuellement un SMSI dans le contexte de l’organisation.

Contrairement à une liste de contrôle technique, l’ISO 27001 est une norme de système de management — ce qui signifie qu’elle intègre la sécurité de l’information dans la gouvernance organisationnelle, la gestion des risques et les processus métier, plutôt que de la traiter comme une affaire purement informatique.

Structure : la Structure de Niveau Supérieur (HLS)

ISO 27001:2022 suit la Structure de Niveau Supérieur (High-Level Structure, Annexe SL) utilisée par toutes les normes modernes de systèmes de management ISO (ISO 9001, ISO 14001, ISO 22301). Cela facilite l’intégration avec d’autres systèmes de management. Les clauses principales sont :

• Clause 4 : Contexte de l’organisation
• Clause 5 : Leadership et engagement
• Clause 6 : Planification (évaluation et traitement des risques)
• Clause 7 : Support (ressources, compétences, sensibilisation, communication, informations documentées)
• Clause 8 : Réalisation (mise en œuvre des plans de traitement des risques, contrôles)
• Clause 9 : Évaluation des performances (surveillance, audit interne, revue de direction)
• Clause 10 : Amélioration (non-conformités, actions correctives, amélioration continue)

Les Contrôles de l’Annexe A

ISO 27001:2022 référence l’Annexe A, qui liste 93 contrôles de sécurité de l’information organisés en quatre thèmes (mise à jour par rapport à l’ancienne structure à 14 domaines) :

1. Contrôles organisationnels (37 contrôles) — politiques, rôles, responsabilités, gestion des actifs, relations avec les fournisseurs
2. Contrôles liés aux personnes (8 contrôles) — vérification des antécédents, conditions d’emploi, formation, procédure disciplinaire
3. Contrôles physiques (14 contrôles) — périmètres de sécurité physique, bureau propre, mise au rebut sécurisée
4. Contrôles technologiques (34 contrôles) — contrôle d’accès, cryptographie, sécurité des réseaux, gestion des vulnérabilités, surveillance

Les nouveaux contrôles de la révision 2022 incluent le renseignement sur les menaces, la sécurité du cloud, le masquage des données et la préparation TIC à la continuité d’activité.

Le Processus de Certification

La certification ISO 27001 est délivrée par des organismes de certification accrédités (en Espagne, des organismes accrédités ENAC tels qu’AENOR, Bureau Veritas, TÜV, BSI). Le processus suit généralement ces étapes :

1. Analyse d’écart — évaluation de l’état actuel au regard des exigences ISO 27001
2. Conception et mise en œuvre du SMSI — définition du périmètre, évaluation des risques, sélection des contrôles, rédaction des politiques et procédures
3. Déclaration d’applicabilité (DdA) — documentation des contrôles de l’Annexe A applicables et des raisons de leur applicabilité
4. Audit interne — vérification de la mise en œuvre avant l’audit externe
5. Audit de phase 1 (revue documentaire) — l’organisme de certification examine la documentation du SMSI
6. Audit de phase 2 (revue d’implémentation) — vérification sur site de la mise en œuvre
7. Délivrance de la certification — valable trois ans, avec des audits de surveillance annuels

Pour une entreprise espagnole de taille moyenne, le processus prend généralement 6 à 12 mois de l’analyse d’écart initiale à la certification.

ISO 27001 et Conformité Réglementaire

La certification ISO 27001 offre un levier significatif pour satisfaire les obligations réglementaires :

• RGPD/LOPD-GDD : Les mesures techniques et organisationnelles (MTO) de l’ISO 27001 satisfont directement les exigences de l’article 32 du RGPD. L’AEPD reconnaît l’ISO 27001 comme preuve de mesures de sécurité appropriées.
• NIS2 : L’ISO 27001 répond à de nombreuses mesures de gestion des risques obligatoires de NIS2. NIS2 reconnaît explicitement l’utilisation des normes européennes et internationales, et l’ISO 27001 est la référence la plus citée.
• DORA : Pour les entités financières, l’ISO 27001 soutient les exigences du cadre de gestion des risques TIC, bien que DORA comporte des exigences sectorielles spécifiques allant au-delà de ce que l’ISO 27001 couvre seule.
• ENS (Esquema Nacional de Seguridad) : Le schéma national de sécurité espagnol pour les entités du secteur public est étroitement aligné sur l’ISO 27001, avec de nombreux contrôles communs.

Bénéfices Commerciaux au-delà de la Conformité

Au-delà de la conformité réglementaire, la certification ISO 27001 apporte une valeur commerciale tangible :

• Exigée ou fortement privilégiée par les clients enterprise et les marchés publics
• Réduit les primes d’assurance cyber dans de nombreux cas
• Fournit une approche structurée des évaluations de sécurité de la chaîne d’approvisionnement
• Démontre la maturité sécurité aux investisseurs lors de la due diligence M&A

Comment BMC Peut Vous Aider

Nous accompagnons les organisations tout au long de la mise en œuvre ISO 27001 — de l’analyse d’écart initiale et la définition du périmètre, à la méthodologie d’évaluation des risques, la sélection des contrôles, la rédaction des politiques, la préparation à l’audit interne et la coordination avec l’organisme de certification. Nous aidons également les entreprises à comprendre l’articulation entre l’ISO 27001 et leurs obligations RGPD et NIS2.