ISO 27001 Système de Management de la Sécurité de l'Information

ISO 27001 est la norme internationale pour les Systèmes de Management de la Sécurité de l'Information (SMSI). Elle offre une approche systématique pour gérer les informations sensibles, couvrant les personnes, les processus et la technologie. La certification ISO 27001 démontre aux clients, régulateurs et partenaires que votre organisation a mis en place des contrôles complets pour protéger la confidentialité, l'intégrité et la disponibilité des données.

Qui a besoin de l'ISO 27001 ?

ISO 27001 est pertinente pour les organisations de divers secteurs :

• Entreprises technologiques : fournisseurs de SaaS, infrastructures cloud, éditeurs de logiciels, fournisseurs de services gérés
• Services financiers : banques, processeurs de paiement, plateformes fintech, compagnies d'assurance
• Santé : systèmes de dossiers médicaux électroniques, plateformes de télémédecine, fabricants de dispositifs médicaux
• Services professionnels : cabinets de conseil, cabinets d'avocats, cabinets comptables gérant des données clients confidentielles
• Sous-traitants gouvernementaux : organisations soumissionnant pour des contrats du secteur public nécessitant une certification en sécurité de l'information
• Partenaires de la chaîne d'approvisionnement : fournisseurs soutenant des clients entreprises ou des infrastructures critiques

Bien que non légalement obligatoire dans la plupart des juridictions, l'ISO 27001 est une exigence de facto pour faire affaire avec des clients soucieux de la sécurité, en particulier en Europe.

Structure de l'ISO 27001

La norme est divisée en deux parties :

Clauses principales (4-10) : Exigences pour établir, mettre en œuvre, maintenir et améliorer un SMSI

• Clause 4 : Contexte de l'organisation (périmètre, parties prenantes, exigences légales)
• Clause 5 : Leadership (engagement de la direction, rôles, politique)
• Clause 6 : Planification (évaluation des risques, traitement des risques, objectifs)
• Clause 7 : Support (ressources, compétence, sensibilisation, communication, documentation)
• Clause 8 : Opération (mise en œuvre des plans de traitement des risques, contrôles)
• Clause 9 : Évaluation des performances (surveillance, audit interne, revue de direction)
• Clause 10 : Amélioration (gestion des non-conformités, actions correctives, amélioration continue)

Annexe A : 93 contrôles de sécurité organisés en 4 thèmes et 14 catégories

Les organisations sélectionnent les contrôles de l'Annexe A applicables en fonction de leur évaluation des risques et documentent les justifications des exclusions dans une Déclaration d'Applicabilité (SoA).

Thèmes des contrôles de l'Annexe A

Les 93 contrôles (version ISO 27001:2022) sont regroupés en :

Contrôles organisationnels (37 contrôles) :

• Politiques, rôles et responsabilités, séparation des tâches
• Gestion des actifs, utilisation acceptable, restitution des actifs
• Sécurité des ressources humaines (vérifications des antécédents, formation à la sécurité, processus disciplinaire)
• Relations avec les fournisseurs (évaluations de la sécurité des fournisseurs, contrats, surveillance)
• Conformité (exigences légales, vie privée, propriété intellectuelle, audits)

Contrôles humains (8 contrôles) :

• Vérification des antécédents, termes d'emploi, formation de sensibilisation à la sécurité
• Processus disciplinaire, responsabilités après la cessation d'emploi
• Sécurité du télétravail et des appareils mobiles

Contrôles physiques (14 contrôles) :

• Périmètres de sécurité physique, contrôles d'accès, sécurisation des bureaux et installations
• Sécurité des équipements (emplacement, protection, maintenance, élimination)
• Politiques de bureau dégagé et d'écran vide

Contrôles technologiques (34 contrôles) :

• Contrôle d'accès (enregistrement des utilisateurs, gestion des mots de passe, révision des droits d'accès)
• Cryptographie (politiques de chiffrement, gestion des clés)
• Sécurité des réseaux (segmentation, détection d'intrusion, règles de pare-feu)
• Sécurité des systèmes (durcissement, gestion des correctifs, journalisation, surveillance)
• Sécurité des applications (développement sécurisé, tests, gestion des changements)
• Sauvegarde, continuité des activités, reprise après sinistre
• Gestion des incidents (détection, réponse, analyse forensique, leçons apprises)

Tous les contrôles ne s'appliquent pas à chaque organisation. Une startup SaaS pourrait exclure les contrôles de périmètre physique si elle utilise des centres de données en colocation, mais doit justifier cette exclusion.

Évaluation et traitement des risques

L'ISO 27001 exige un processus structuré de gestion des risques :

1. Identifier les actifs : données, systèmes, personnel, installations, réputation
2. Identifier les menaces et vulnérabilités : cyberattaques, menaces internes, catastrophes naturelles, erreurs humaines, défaillances de tiers
3. Évaluer la probabilité et l'impact : quantifier ou qualifier les niveaux de risque
4. Déterminer l'appétence pour le risque : définir quel niveau de risque est acceptable
5. Sélectionner le traitement des risques : atténuer (appliquer des contrôles), accepter (documenter la justification), transférer (assurance, externalisation), ou éviter (cesser les activités risquées)
6. Documenter dans le Plan de Traitement des Risques : lister les contrôles sélectionnés, les responsabilités, les échéances, les ressources

L'évaluation des risques détermine quels contrôles de l'Annexe A vous mettez en œuvre. Les risques prioritaires nécessitent des contrôles plus stricts ; les risques de faible priorité peuvent être acceptés ou traités avec des mesures plus légères.

Déclaration d'Applicabilité (SoA)

La SoA est un document critique qui fait le lien entre votre évaluation des risques et les contrôles de l'Annexe A :

• Lister les 93 contrôles de l'Annexe A
• Pour chaque contrôle, indiquer : Applicable ou Non Applicable
• Si applicable : décrire comment il est mis en œuvre, référencer les politiques/procédures
• Si non applicable : justifier l'exclusion en fonction de l'évaluation des risques

Les auditeurs examinent attentivement la SoA pour vérifier que les contrôles sont appropriés et que les exclusions sont justifiées. Des justifications insuffisantes (par exemple, "non pertinent" sans explication) entraîneront des non-conformités.

Processus de certification

L'obtention de la certification ISO 27001 suit généralement ce calendrier :

1. Analyse des écarts (1-2 mois) : Évaluer la posture actuelle de sécurité par rapport aux exigences de l'ISO 27001
2. Conception du SMSI (2-4 mois) : Définir le périmètre, réaliser l'évaluation des risques, créer la SoA, rédiger les politiques
3. Mise en œuvre (4-12 mois) : Déployer les contrôles, former le personnel, documenter les procédures, collecter les preuves
4. Audit interne (1 mois) : Tester l'efficacité du SMSI, identifier les non-conformités, y remédier
5. Revue de direction : La direction évalue les performances du SMSI et les opportunités d'amélioration
6. Audit de phase 1 (revue de la documentation) : L'auditeur externe examine la documentation du SMSI, identifie les écarts
7. Remédiation : Corriger les constatations de la phase 1 avant la phase 2
8. Audit de phase 2 (audit de mise en œuvre) : L'auditeur externe teste les contrôles, interroge le personnel, examine les preuves
9. Certification : Certificat délivré pour 3 ans avec des audits de surveillance annuels

La première certification peut prendre de 6 à 18 mois selon la taille et la maturité de l'organisation.

Surveillance et recertification

La certification ISO 27001 est valable 3 ans, avec des obligations continues :

• Audits de surveillance annuels : Un auditeur externe teste un sous-ensemble de contrôles chaque année pour garantir la conformité continue
• Audits internes : Réaliser au moins une fois par an pour détecter les problèmes avant les audits externes
• Revue de direction : La direction examine les performances du SMSI au moins une fois par an
• Amélioration continue : Traiter les non-conformités, mettre à jour les évaluations des risques, s'adapter aux nouvelles menaces
• Audit de recertification (année 3) : Audit complet pour renouveler le certificat pour 3 années supplémentaires

L'échec d'un audit de surveillance peut entraîner la suspension ou le retrait du certificat, donc une surveillance continue est essentielle.

Documentation clé

L'ISO 27001 exige des informations documentées, notamment :

• Périmètre du SMSI : Limites du SMSI (quels départements, lieux, systèmes sont couverts)
• Politique de sécurité de l'information : Engagement de haut niveau en matière de sécurité signé par la direction
• Méthodologie d'évaluation des risques : Comment vous identifiez et évaluez les risques
• Résultats de l'évaluation des risques : Inventaire des actifs, analyse des menaces/vulnérabilités, scores de risque
• Plan de traitement des risques : Contrôles sélectionnés, responsables, échéances
• Déclaration d'Applicabilité : Les 93 contrôles de l'Annexe A avec les détails d'applicabilité et de mise en œuvre
• Politiques et procédures de soutien : Politique de contrôle d'accès, politique d'utilisation acceptable, plan de réponse aux incidents, politique de sauvegarde, gestion des changements, etc.
• Preuves de fonctionnement des contrôles : Journaux, pistes d'audit, registres de formation, revues d'accès, rapports d'incidents, registres de gestion des correctifs
• Rapports d'audit interne : Constatations, non-conformités, actions correctives
• Comptes-rendus de la revue de direction : Décisions de la direction, éléments d'action

Choix d'un organisme de certification

Sélectionnez un organisme de certification (OC) accrédité avec une expérience en ISO 27001 :

• Vérifiez l'accréditation par un organisme reconnu (UKAS, ANAB, DAkkS, etc.)
• Vérifiez que le champ d'application de l'OC inclut votre secteur et votre géographie
• Demandez des références d'organisations de taille similaire
• Comparez les prix (les coûts de certification varient généralement de 15 000 $ à plus de 100 000 $ selon le périmètre et la taille de l'organisation)
• Évaluez l'expertise des auditeurs (profondeur technique, connaissance du secteur)

Les organismes de certification courants incluent BSI, SGS, TÜV, DNV, Bureau Veritas et A-LIGN.

ISO 27001 vs. SOC 2

Les organisations comparent souvent l'ISO 27001 et le SOC 2 :

De nombreuses organisations poursuivent les deux : l'ISO 27001 pour les clients européens et la crédibilité publique, le SOC 2 pour les clients américains et les évaluations des fournisseurs SaaS.

Comment ISMS Copilot peut vous aider

ISMS Copilot est conçu spécialement pour la conformité ISO 27001 :

• Génération de politiques : Créer des politiques alignées sur l'ISO 27001 (sécurité de l'information, contrôle d'accès, réponse aux incidents, utilisation acceptable, sauvegarde, gestion des changements)
• Évaluation des risques : Construire des cadres d'évaluation des risques, des inventaires d'actifs, des matrices de menaces/vulnérabilités
• Analyse des écarts : Télécharger les politiques existantes pour identifier les écarts par rapport aux exigences de l'ISO 27001
• Déclaration d'Applicabilité : Générer des modèles de SoA avec les 93 contrôles de l'Annexe A
• Guide de mise en œuvre des contrôles : Poser des questions sur des contrôles spécifiques (par exemple, "Comment mettre en œuvre A.8.1 Appareils terminaux des utilisateurs ?")
• Modèles de documentation : Scénarios de réponse aux incidents, listes de vérification des revues d'accès, guides de collecte de preuves d'audit
• Préparation à l'audit : Générer des plans d'audit interne, des rapports d'actions correctives

La base de connaissances d'ISMS Copilot est construite à partir d'une véritable expérience de conseil en ISO 27001, elle comprend donc les attentes des auditeurs et les pièges courants.

Pour commencer

Pour vous préparer à l'ISO 27001 avec ISMS Copilot :

1. Créez un espace de travail dédié pour votre projet ISO 27001
2. Définissez le périmètre de votre SMSI (quelles parties de l'organisation seront certifiées)
3. Réalisez une analyse des écarts pour évaluer la maturité actuelle
4. Utilisez l'IA pour générer les politiques de base (politique de sécurité de l'information, utilisation acceptable, contrôle d'accès, réponse aux incidents, sauvegarde)
5. Effectuez une évaluation des risques (identifiez les actifs, les menaces, les vulnérabilités, les impacts)
6. Créez une Déclaration d'Applicabilité basée sur votre évaluation des risques
7. Développez des procédures et des preuves pour les contrôles prioritaires
8. Réalisez un audit interne pour tester l'efficacité du SMSI avant de faire appel à un organisme de certification

Ressources connexes

• Norme officielle ISO 27001:2022 (à acheter auprès de l'ISO ou des organismes nationaux de normalisation)
• ISO 27002:2022 (guide de mise en œuvre pour les contrôles de l'Annexe A)
• Répertoires des organismes de certification (UKAS, ANAB, IAF pour les auditeurs accrédités)
• Guide de transition ISO 27001 (de la version 2013 à la version 2022)