Présentation
NOTE DE L'ÉDITEUR
24/02/2020
La norme NF EN ISO 22301 de novembre 2014 citée dans cet article a été remplacée par la norme NF EN ISO 22301 (Z74-306) : Sécurité et résilience - Systèmes de management de la continuité
d'activité - Exigences (Révision 2019)
Pour en savoir plus, consultez le bulletin de veille normative VN1912 (Janvier 2020).
14/03/2019
Les normes NF ISO/IEC 17021-2 d'avril 2017 et NF ISO/IEC 17021-3 de novembre 2017 citées dans cet article sont remplacées par les normes NF EN ISO/IEC 17021-2 et -3 (X50-072-2 et -3) "Évaluation de la conformité - Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management :
- Partie 2 : exigences de compétence pour l'audit et la certification des systèmes de management environnemental
- Partie 3 : exigences de compétence pour l'audit et la certification des systèmes de management de la qualité" (Révision 2018)
Pour en savoir plus, consultez le bulletin de veille normative VN1901 (janvier 2019).
11/01/2019
La norme ISO/IEC TS 17021-10 "Evaluation de la conformité - Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management - Partie 10: Exigences de compétence pour l'audit et la certification des systèmes de management de la santé et de la sécurité au travail" (révision 2018) vient compléter la norme ISO/IEC 17021-1 citée dans cet article.
Pour en savoir plus, consultez le bulletin de veille normative VN1809 (octobre 2018).
11/01/2019
La norme NF EN ISO 19011 de janvier 2012 citée dans cet article a été remplacée par la norme NF EN ISO 19011 (X50-136) "Lignes directrices pour l'audit des systèmes de management" Révision 2018
Pour en savoir plus, consultez le bulletin de veille normative VN1806 (juillet 2018).
29/08/2019
La norme XP ISO/IEC TS 17021 citée dans cet article a été complétée par une partie 11 XP ISO/IEC TS 17021-11 (X50-072-11) : Evaluation de la conformité - Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management - Partie 11 : exigences de compétence pour l'audit et la certification des systèmes de management de facility management (FM)(Révision 2019)
Pour en savoir plus, consultez le bulletin de veille normative VN1905 (mai 2019).
RÉSUMÉ
L'objet de cet article est d'expliciter et de préciser la norme ISO 27001 portant sur le management de la sécurité de l'information. La norme envisage cet enjeu sous l'angle organisationnel et managérial en vue de son effectivité et de son efficacité. Si l'objet de la norme est d'aller vers la certification, celle-ci permet un cercle vertueux d'amélioration continue de la sécurité des systèmes d'information en vue de renforcer la confiance des diverses parties prenantes (clients, investisseurs, etc.) de l'organisme. L'article s'accompagne de commentaires, d'exemples et d'études de cas génériques visant à éclairer les lecteurs sur la mise en oeuvre de la norme.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l'articleAUTEUR(S)
-
Gilles TENEAU : Docteur en sciences de gestion, chercheur associé au LEMNA (université de Nantes), professeur au CNAM IDF et au sein de l’ESC Amiens, président du centre de recherche en résilience des organisations, expert ITIL Accredited Formateur
INTRODUCTION
L’information, sa gestion et sa sécurité sont aujourd’hui plus que jamais des enjeux de management à part entière. Comme l’exprime Jérôme Denis , l’informatique et sa sécurité impliquent un paradoxe qui consiste en un développement sans précédent de l’efficacité mais aussi de la fragilité technique des organisations. Les technologies de communication et systèmes d’information sont à la fois l’occasion de démultiplier la circulation d’informations dans une entreprise comme source d’avantage concurrentiel mais elles peuvent aussi la rendre vulnérable à certaines menaces. Les pratiques de management doivent désormais évoluer pour intégrer au niveau de la gouvernance même de l’entreprise la préoccupation d’une sécurisation de l’information de l’entreprise qui constitue un actif (immatériel) à part entière . Ces dernières sont un enjeu de management car elles impliquent des risques et un régime de fragilité permanente pour l’entreprise, pouvant impacter la qualité des biens et services fournis (notamment dans les délais de livraison, dans la fiabilité des informations fournies). Dans un monde interconnecté, l’information et les processus, les systèmes, les réseaux qui s’y rapportent constituent des actifs critiques de l’organisation. Les organisations et leurs systèmes et réseaux d’informations sont confrontés à des menaces pour la sécurité ayant de multiples sources, notamment la fraude assistée par ordinateur, l’espionnage, le sabotage, le vandalisme, les incendies et les inondations. Les dommages causés aux systèmes et aux réseaux d’information par des programmes malveillants, le piratage informatique et les attaques par saturation deviennent plus courants, plus ambitieux et de plus en plus sophistiqués.
Face à cela, la norme ISO/IEC 27001 :2013 « Techniques de sécurité – Systèmes de gestion de la sécurité de l'information » a comme objectif de répondre à cet enjeu de management en envisageant la sécurité de l’information comme un projet transverse. Si l’objectif de la norme est d’aller vers la certification, celle-ci a bien pour enjeu un enrichissement des pratiques et l’établissement...
Cet article est réservé aux abonnés. Il vous reste 92 % à découvrir.
Déjà abonné ? Se connecter
VERSIONS
Il existe d'autres versions de cet article :
- Version archivée 1 de oct. 2013 par Gilles TENEAU, Nicolas DUFOUR
DOI (DIGITAL OBJECT IDENTIFIER)
RÉFÉRENCE BIBLIOGRAPHIQUE
CET ARTICLE SE TROUVE ÉGALEMENT DANS :
ISO 27001 : technique et management de la sécurité de l'information
ISO 27001 et SMSI
Sources bibliographiques
Cet article est réservé aux abonnés. Il vous reste 92 % à découvrir.
Déjà abonné ? Se connecter
Article inclus dans l'offre
"Sécurité et gestion des risques"
(
510 articles
)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
