Présentation

Article

1 - ISO 27001 ET SMSI

2 - PHASE PLAN : ÉTABLISSEMENT ET MANAGEMENT DU SMSI

  • 2.1 - Détermination du périmètre et de la politique
  • 2.2 - Définition d'une approche d’appréciation des risques
  • 2.3 - Sélection des mesures de sécurité et déclaration d’applicabilité

3 - PHASE DO : MISE EN ŒUVRE ET FONCTIONNEMENT DU SMSI

4 - PHASE CHECK : SURVEILLANCE ET RÉEXAMEN DU SMSI

5 - PHASE ACT : MISE À JOUR ET AMÉLIORATION DU SMSI

6 - RETOURS D’EXPÉRIENCE

7 - CONCLUSION

| Réf : G9062 v1

Phase Plan : établissement et management du SMSI
ISO 27001 : management de la sécurité des systèmes d’information

Auteur(s) : Gilles TENEAU, Nicolas DUFOUR

Date de publication : 10 oct. 2013

Pour explorer cet article
Télécharger l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !

Sommaire

Présentation

NOTE DE L'ÉDITEUR

La norme NF EN ISO 22301 de novembre 2014 citée dans cet article a été remplacée par la norme NF EN ISO 22301 (Z74-306) : Sécurité et résilience - Systèmes de management de la continuité
d'activité - Exigences (Révision 2019)
Pour en savoir plus, consultez le bulletin de veille normative VN1912 (Janvier 2020).

24/02/2020

Les normes NF ISO/IEC 17021-2 d'avril 2017 et NF ISO/IEC 17021-3 de novembre 2017 citées dans cet article sont remplacées par les normes NF EN ISO/IEC 17021-2 et -3 (X50-072-2 et -3) "Évaluation de la conformité - Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management :
- Partie 2 : exigences de compétence pour l'audit et la certification des systèmes de management environnemental
- Partie 3 : exigences de compétence pour l'audit et la certification des systèmes de management de la qualité" (Révision 2018)
 Pour en savoir plus, consultez le bulletin de veille normative VN1901 (janvier 2019).

14/03/2019

La norme ISO/IEC TS 17021-10 "Evaluation de la conformité - Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management - Partie 10: Exigences de compétence pour l'audit et la certification des systèmes de management de la santé et de la sécurité au travail" (révision 2018) vient compléter la norme ISO/IEC 17021-1 citée dans cet article.

Pour en savoir plus, consultez le bulletin de veille normative VN1809 (octobre 2018).

11/01/2019

La norme NF EN ISO 19011 de janvier 2012 citée dans cet article a été remplacée par la norme NF EN ISO 19011 (X50-136) "Lignes directrices pour l'audit des systèmes de management" Révision 2018

Pour en savoir plus, consultez le bulletin de veille normative VN1806 (juillet 2018).

11/01/2019

La norme XP ISO/IEC TS 17021 citée dans cet article a été complétée par une partie 11 XP ISO/IEC TS 17021-11 (X50-072-11) : Evaluation de la conformité - Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management - Partie 11 : exigences de compétence pour l'audit et la certification des systèmes de management de facility management (FM)(Révision 2019)
Pour en savoir plus, consultez le bulletin de veille normative VN1905 (mai 2019).

29/08/2019

RÉSUMÉ

L'objet de cet article est d'expliciter et de préciser la norme ISO 27001 portant sur le management de la sécurité de l'information. La norme envisage cet enjeu sous l'angle organisationnel et managérial en vue de son effectivité et de son efficacité. Si l'objet de la norme est d'aller vers la certification, celle-ci permet un cercle vertueux d'amélioration continue de la sécurité des systèmes d'information en vue de renforcer la confiance des diverses parties prenantes (clients, investisseurs, etc.) de l'organisme. L'article s'accompagne de commentaires, d'exemples et d'études de cas génériques visant à éclairer les lecteurs sur la mise en oeuvre de la norme.

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

ABSTRACT

ISO 27001: Information Security Management Systems

This article explains and clarifies the ISO 27001 standard on the management of information security. This standard considers this issue from an organizational and managerial angle, with a view to its effectiveness and efficiency. The purpose of the standard being certification, it ensures a virtuous circle of continuous improvement in the security of information systems in order to strengthen the confidence of all the stakeholders involved (customers, investors, etc.). This article also includes commentaries, examples and generic case studies to inform readers on how the standard is implemented.

Auteur(s)

  • Gilles TENEAU : Docteur en sciences de gestion, enseignant CNAM IDF - Chargé de cours à Paris 13 (master Qualité, Sécurité, Environnement) - Consultant en organisation et formateur accrédité ITIL (APMG) - Société iCONS (Innovative Group)

  • Nicolas DUFOUR : Doctorant CNAM Lirsa, département Comptabilité Contrôle Audit - Enseignant Ifpass-Enass

INTRODUCTION

L’information, sa gestion et sa sécurité sont aujourd’hui plus que jamais des enjeux de management à part entière. Comme l’exprime Jérôme Denis  l’informatique et sa sécurité impliquent un paradoxe qui consiste en un développement sans précédent de l’efficacité mais aussi de la fragilité technique des organisations. Les technologies de communication et systèmes d’information sont à la fois l’occasion de démultiplier la circulation d’informations dans une entreprise comme source d’avantage concurrentiel mais elles peuvent aussi la rendre vulnérable à certaines menaces. Les pratiques de management doivent désormais évoluer pour intégrer au niveau de la gouvernance même de l’entreprise la préoccupation d’une sécurisation de l’information de l’entreprise qui constitue un actif (immatériel) à part entière . Ces dernières sont un enjeu de management car elles impliquent des risques et un régime de fragilité permanente pour l’entreprise, pouvant impacter la qualité des biens et services fournis (notamment dans les délais de livraison, dans la fiabilité des informations fournies). Dans un monde interconnecté, l’information et les processus, les systèmes, les réseaux qui s’y rapportent constituent des actifs critiques de l’organisation. Les organisations et leurs systèmes et réseaux d’informations sont confrontés à des menaces pour la sécurité ayant de multiples sources, notamment la fraude assistée par ordinateur, l’espionnage, le sabotage, le vandalisme, les incendies et les inondations. Les dommages causés aux systèmes et aux réseaux d’information par des programmes malveillants, le piratage informatique et les attaques par saturation deviennent plus courants, plus ambitieux et de plus en plus sophistiqués.

Face à cela, la norme ISO 27001-2012 « Techniques de sécurité – Systèmes de gestion de la sécurité de l'information » a comme objectif de répondre à cet enjeu de management en envisageant la sécurité de l’information comme un projet transverse. Si l’objectif de la norme est d’aller vers la certification, celle-ci a bien pour enjeu un enrichissement des pratiques et l’établissement d’un management actif de la sécurité des systèmes d’information. Lequel, itératif, se doit d’intégrer les différentes parties prenantes de l’organisation à la fois dans une logique hiérarchique (Top Down-Bottom Up) mais aussi dans un axe transverse, en lien avec les processus de l’organisation.

La norme ISO 27001 est, à la base, issue de la série des normes ISO 27000. Cette norme décrit les exigences nécessaires à la mise en œuvre du système de management de la sécurité de l’information (SMSI).

Un projet de mise place d’une gestion de la sécurité est nécessairement transversal. Le service informatique ou la direction des systèmes d’information a une activité concernant de fait plusieurs autres directions et l’enjeu de sécurisation de l’information intègre nécessairement le lien avec les autres fonctions de la chaîne de valeur (qu’il s’agisse des fonctions supports comme des fonctions opérationnelles).

Le projet de sécurisation des systèmes d’information concerne encore toute l’échelle hiérarchique de l’organisme. La réussite du projet dépend essentiellement de l’implication de toutes les personnes concernées dans l’entreprise, de la direction générale au plus bas de l’échelle dans une approche de type gestion globale.

Le projet de mise en place de la sécurité des systèmes d’information suit la logique de la roue de Deming. Une phase PLAN, qui revient à fixer les objectifs, est composée de quatre grandes étapes : définition du périmètre et de la politique, appréciation des risques, traitement du risque, sélection des mesures de sécurité. Une phase DO qui comprend les étapes suivantes : planification du traitement des risques, génération d’indicateurs significatifs, formation et sensibilisation du personnel, gestion quotidienne du SMSI, détection et réaction aux incidents. La suite de norme ISO 27001 impose de mettre en place des moyens de contrôle. Il s’agit de la phase CHECK qui s’appuiera sur des procédures de surveillance, sur la fonction d’audit et le dispositif de contrôle interne ainsi que sur des revues managériales en vue de détecter d’éventuels écarts par rapport aux objectifs. Enfin, la phase ACT permettra de mener des actions correctives, préventives et d’amélioration. Le SMSI ainsi mis en place a alors vocation à être audité pour tendre ensuite vers une certification.

Cet article est réservé aux abonnés.
Il vous reste 92% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

VERSIONS

Il existe d'autres versions de cet article :

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v1-g9062


Cet article fait partie de l’offre

Environnement

(501 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

2. Phase Plan : établissement et management du SMSI

2.1 Détermination du périmètre et de la politique

La planification du SMSI implique de définir le domaine d'application et les limites de ce dernier quant au périmètre de l’activité de l’organisme (son emplacement, ses actifs, ses technologies). Le périmètre du SMSI inclut alors :

  • l’orientation générale du SMSI et les principes d’action de la politique de sécurité de l’information ;

  • les exigences liées à l’activité de l’organisme et à ses contraintes légales et réglementaires (par exemple : confidentialité et secret de l’information client dans le secteur bancaire) ;

  • le SMSI doit être en lien avec la logique de gestion globale des risques de l’entreprise (gestion stratégique et globale du risque), en fonctionnant sur des critères précis d’évaluation du risque et en ayant été approuvé par la direction de l’organisme.

HAUT DE PAGE

2.2 Définition d'une approche d’appréciation des risques

La mise en œuvre du SMSI implique de définir l’approche retenue pour apprécier les risques de l’organisme :

  • il convient alors de déterminer une méthodologie d’appréciation du risque en concordance avec les objectifs du SMSI et de la politique de sécurité de l’information de l’organisme mais aussi du cadre normatif ;

  • en lien avec la stratégie de l’entreprise, il convient encore de développer les critères d’appréciation du risque (échelle de cotation) et de déterminer les seuils d’acceptabilité du risque à ne pas dépasser (type d’exposition au risque non souhaitée) ;

    Exemple :

    pour une « banque en ligne », l’indisponibilité d’accès aux différents portails (comptes et contrats, opérations diverses, etc.) ne doit pas dépasser 24 heures au maximum.

  • recenser et identifier les risques auxquels l’organisme peut être soumis en termes de sécurité de l’information.

Comme l’évoquent Desroches et al. ...

Cet article est réservé aux abonnés.
Il vous reste 92% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Environnement

(501 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Phase Plan : établissement et management du SMSI
Sommaire
Sommaire

BIBLIOGRAPHIE

  • (1) - BENNASAR (M.), CHAMPENOIS (A.), ARNOULD (P.) -   Manager la sécurité du SI  -  Dunod (2007).

  • (2) - BOILEAU (T.) -   SO 27001, un Système de Management de la Sécurité de l'information : Exemple de mise en œuvre d'un SMSI et sa plate-forme logicielle de supervision (Nagios – MRTG) au sein d'une PME  -  Éditions universitaires européennes (2012).

  • (3) - CALE (S.), TOUITOU (P.) -   La sécurité informatique  -  Hermes Lavoisier (2007).

  • (4) - CASEAU (Y.) -   Performance du système d’information  -  Dunod. 01 Informatique (2007).

  • (5) - DARSA (J.-D.) -   La gestion des risques en entreprise, Identifier, comprendre, maîtriser  -  Gereso (2010).

  • (6) - DENIS (J.) -   L'informatique et sa sécurité, Le souci de la fragilité technique, Réseaux  -  171,...

1 Sites Internet

Site de l’ISO

http://www.iso.org/iso/fr

Site de l’AFNOR

http://www.afnor.org/en

Site dédié à l’ISO 27001

http://www.27001-online.com/

Site consacré à la gouvernance des SI (IT Gouvernance)

http://www.itgovernance.eu/c-17-iso27001

Site consacré à la certification ISO 27001 (LSTI)

https://www.lsti-certification.fr/fr/iso-27001/

Site consacré aux normes ISO 2700X

http://www.27000.org/

Site consacré à la certification ISO 27001 (Bureau Veritas)

http://www.bureauveritas.fr/wps/wcm/connect/bv_fr/local/services+sheet/certification+iso+27001

CLUb de la Sécurité de l’Information Français (CLUSIF)

http://www.clusif.asso.fr/

HAUT DE PAGE

2 Normes et standards

AFNOR

NF ISO/IEC 19011:2012Lignes...

Cet article est réservé aux abonnés.
Il vous reste 94% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !


L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.
+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.
De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

Cet article fait partie de l’offre

Environnement

(501 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS