Normes ISO 2700x : vers la gouvernance de la sécurité des systèmes d’information

Depuis le début des années 2000, la famille des normes ISO 27000 (sécurité des systèmes d’information) n’a cessé de s’agrandir. Celle-ci cherche à répondre aux questions que peut se poser un RSSI (responsable de la sécurité des systèmes d’information) :

• comment auditer la sécurité des SI : ISO 27001 ;

• comment construire un SMSI (système de management de la sécurité de l'information) : ISO 27003 ;

• quelle démarche adopter pour gérer les risques : ISO 27005 ;

• comment faire pour gérer la continuité d’activité suite à un désastre : ISO 27031 ;

• comment gérer les incidents de sécurité : ISO 27035.

Du point de vue de Sylvain Laborde, auditeur ISO 27001, un projet de mise place d’une gestion de la sécurité est un projet transversal ; si le service informatique est, de fait, concerné, plusieurs autres directions peuvent être impactées. Le projet concerne toute l’échelle hiérarchique de l’organisme. La réussite du projet dépend essentiellement de l’implication de toutes les personnes concernées dans l’entreprise, de la direction générale au plus bas de l’échelle.

Un projet de mise en place de la sécurité des systèmes d’information suit la logique de la roue de Deming. Une phase PLAN, qui revient à fixer les objectifs, est composée de quatre grandes étapes : définition du périmètre et de la politique, appréciation des risques, traitement du risque, sélection des mesures de sécurité. Une phase DO qui comprend les étapes suivantes : planification du traitement des risques, génération d’indicateurs significatifs, formation et sensibilisation du personnel, gestion quotidienne du SMSI, détection et réaction aux incidents. La suite de normes ISO 2700x impose de mettre en place des moyens de contrôle, c’est la phase CHECK (qui s’appuiera sur des audits, un contrôle, des revues) ; si des écarts sont constatés par rapport aux objectifs, la phase ACT permettra de mener des actions correctives, préventives et d’amélioration.

L’implémentation d’un système de management de la sécurité est la garantie de l’adoption de bonnes pratiques, de l’augmentation de la fiabilité et la certification par un organisme indépendant assurera l’apport de la confiance des parties prenantes de l’entreprise (clients, fournisseurs, actionnaires, banques, autorités…). La série ISO 27000 est en cours de finalisation, elle fait l’unanimité au niveau international. Cette norme commence à intéresser de plus en plus d’entrepreneurs français, non seulement par son caractère normatif mais également parce qu’elle s’avère complémentaire d’un autre référentiel qui connaît un engouement important dans le monde : ITIL.

L’objectif de cet article est de faire l’état des lieux de l’ensemble des normes de la famille ISO 2700X.

Un glossaire est présenté en fin d'article.