Module 0 — Comprendre l’ISO/IEC 27001 et le SMSI

Ce que protège la norme, ce qu’est un système de management de la sécurité de l’information, la place de l’ISO/IEC 27001 dans sa famille, ce qui change en 2022, et comment se déroule une certification

Ce que la norme protège, et pourquoi ce n’est pas une affaire d’informatique

L’intitulé complet du document est éclairant : « Sécurité de l’information, cybersécurité et protection de la vie privée — Systèmes de management de la sécurité de l’information — Exigences ». La cybersécurité y figure, mais elle n’est qu’une composante. L’objet de la norme est l’information, quel que soit son support : un serveur, un contrat papier dans une armoire, une conversation dans un couloir, un savoir-faire dans la tête d’un ingénieur, une clé USB oubliée dans un train. Réduire l’ISO/IEC 27001 à un projet de la direction informatique est l’erreur la plus commune, et elle produit invariablement des systèmes qui échouent à l’audit sur les chapitres 4, 5 et 7.

L’introduction de la norme énonce ce que le système préserve : la confidentialité, l’intégrité et la disponibilité de l’information, par l’application d’un processus de management du risque, et il donne aux parties intéressées l’assurance que les risques sont gérés de manière adéquate. Ces trois propriétés forment le fil conducteur de toute la démarche, et il vaut la peine de s’arrêter sur ce qu’elles recouvrent, parce que la plupart des organisations n’en travaillent spontanément qu’une seule.

La confidentialité est la propriété la plus intuitive : l’information n’est accessible qu’à ceux qui y ont droit. L’intégrité l’est moins, et elle est souvent le vrai sujet : l’information est exacte et complète, et n’a pas été modifiée sans autorisation. Une base tarifaire altérée, un dossier médical dans lequel une allergie a disparu, un virement dont le numéro de compte a changé d’un chiffre causent des dommages qui n’ont rien à voir avec une fuite. La disponibilité, enfin, est l’accessibilité au moment où l’on en a besoin : une information parfaitement confidentielle et parfaitement intègre qui reste inaccessible pendant trois jours peut arrêter une entreprise. Un système de management qui ne travaille que la confidentialité ne couvre qu’un tiers du sujet.

La norme ajoute une précision qui règle par avance beaucoup de débats internes : l’adoption d’un système de management de la sécurité de l’information est une décision stratégique de l’organisation, et sa mise en œuvre est appelée à être dimensionnée selon ses besoins. Il n’existe donc pas de système type. Une entreprise de quinze personnes et un groupe de vingt mille peuvent l’un et l’autre être conformes, avec des dispositifs sans commune mesure. Ce qui est évalué n’est pas le volume du dispositif, c’est sa cohérence avec les risques réels.

Ce qu’est un système de management, et ce qu’il n’est pas

Un système de management de la sécurité de l’information est l’ensemble organisé des politiques, des processus, des rôles et des ressources par lesquels une organisation pilote la sécurité de son information dans la durée. Le mot important est « pilote » : la norme n’exige pas un niveau de sécurité donné, elle exige un mécanisme qui détermine le niveau nécessaire, l’atteigne, le vérifie et le corrige. C’est ce qui la rend applicable à toutes les organisations quels que soient leur type, leur taille ou leur nature, comme le dit son § 1.

La norme insiste sur un point qui distingue les systèmes vivants des systèmes de façade : il est important que le système de management fasse partie intégrante des processus de l’organisation et de sa structure de management d’ensemble, et que la sécurité de l’information soit prise en compte dès la conception des processus, des systèmes d’information et des mesures. Autrement dit, la sécurité s’intègre en amont ou elle ne s’intègre pas. Un système construit en parallèle des activités réelles, avec ses propres réunions et ses propres documents que personne ne lit, satisfera peut-être un auditeur peu exigeant, mais il ne protégera rien.

Il faut également savoir ce que la norme ne fait pas. Elle ne prescrit aucune technologie, aucun produit, aucune configuration. Elle ne dit ni quel pare-feu installer, ni quelle longueur de clé cryptographique retenir, ni combien de temps conserver les journaux. Ces décisions appartiennent à l’organisation et doivent découler de son appréciation des risques. Un consultant qui apporte une réponse standard à ces questions ne fait pas de l’ISO/IEC 27001.

Une remarque de l’introduction mérite enfin d’être retenue, parce qu’elle évite un contresens fréquent dans la conduite de projet : l’ordre dans lequel les exigences sont présentées ne reflète ni leur importance, ni l’ordre dans lequel elles doivent être mises en œuvre, et la numérotation des alinéas n’a qu’une valeur de référence. Le plan de déploiement d’un système ne suit donc pas nécessairement la table des matières de la norme.

La famille ISO/IEC 27000 et le rôle exact de l’ISO/IEC 27002

L’ISO/IEC 27001 ne vit pas seule, et la formation s’appuie sur ce que la norme dit elle-même de son entourage. Sa référence normative unique, au § 2, est l’ISO/IEC 27000, qui décrit la vue d’ensemble et le vocabulaire des systèmes de management de la sécurité de l’information. C’est une référence normative et non bibliographique : les termes et définitions employés dans l’ISO/IEC 27001 sont ceux de l’ISO/IEC 27000, comme le dit le § 3. Discuter du sens d’un mot de la norme sans se reporter à l’ISO/IEC 27000 revient à improviser.

L’introduction et la bibliographie citent ensuite l’ISO/IEC 27003 pour des recommandations de mise en œuvre, l’ISO/IEC 27004 pour la surveillance, le mesurage, l’analyse et l’évaluation, l’ISO/IEC 27005 pour la gestion des risques de sécurité de l’information, et l’ISO 31000:2018 pour le management du risque en général. Aucune de ces normes n’est certifiable et aucune n’est obligatoire ; elles aident, elles n’imposent pas.

Le cas de l’ISO/IEC 27002:2022 est particulier et doit être parfaitement compris, car il est au centre de bien des malentendus. L’Annexe A de l’ISO/IEC 27001 précise que les mesures listées dans son Tableau A.1 sont directement dérivées de celles des clauses 5 à 8 de l’ISO/IEC 27002:2022, et alignées sur elles. L’Annexe A n’en reprend cependant que l’énoncé : une phrase par mesure, qui dit ce qu’il faut obtenir. Tout ce qui explique comment l’obtenir — les recommandations de mise en œuvre, les considérations, les variantes selon les contextes — se trouve dans l’ISO/IEC 27002, qui est un guide et non un référentiel de certification.

La conséquence pratique est double. D’une part, une organisation sérieuse se procure les deux documents : le premier pour savoir ce qui est exigé, le second pour savoir comment s’y prendre. D’autre part, aucun auditeur ne peut relever une non-conformité au motif qu’une recommandation de l’ISO/IEC 27002 n’a pas été suivie : elle n’est pas une exigence. La présente formation respecte strictement cette frontière, et n’attribue jamais à l’ISO/IEC 27001 un contenu qui relève du guide.

La structure harmonisée, ou pourquoi la norme ressemble aux autres

Le § 0.2 de l’introduction indique que le document applique la structure de haut niveau, les intitulés de sous-clauses identiques, le texte identique, les termes communs et les définitions fondamentales de l’Annexe SL des Directives ISO/IEC, et qu’il maintient de ce fait la compatibilité avec les autres normes de systèmes de management ayant adopté cette même structure. C’est la raison pour laquelle un responsable qualité familier de l’ISO 9001 ou un responsable environnement familier de l’ISO 14001 reconnaîtra immédiatement l’architecture en dix chapitres, avec le contexte au chapitre 4, le leadership au chapitre 5, la planification au chapitre 6, et ainsi de suite.

L’avantage annoncé est explicite : cette approche commune est utile aux organisations qui choisissent d’exploiter un système de management unique satisfaisant simultanément aux exigences de deux normes ou davantage. Concrètement, une entreprise déjà certifiée ISO 9001 réutilise son dispositif de maîtrise documentaire, son processus d’audit interne, sa revue de direction et sa gestion des non-conformités, en les étendant au périmètre de la sécurité de l’information. C’est un gain de temps considérable, et c’est la première question à poser en début de projet.

Deux points de vigilance accompagnent toutefois cette parenté. D’abord, l’ISO/IEC 27001 ajoute au tronc commun des exigences qui n’existent nulle part ailleurs, au premier rang desquelles l’appréciation et le traitement des risques de sécurité de l’information des § 6.1.2 et 6.1.3 et la Déclaration d’applicabilité : ce sont précisément ces exigences qui font la spécificité de la certification, et elles ne se déduisent d’aucun système existant. Ensuite, l’ordre des sous-clauses du chapitre 10 diffère : ici, le § 10.1 traite de l’amélioration continue et le § 10.2 de la non-conformité et de l’action corrective. Recopier machinalement une procédure d’une autre norme conduit à citer les mauvaises références.

Ce qui change entre l’édition 2013 et l’édition 2022

L’avant-propos est laconique : la troisième édition annule et remplace la deuxième, l’ISO/IEC 27001:2013, qui a fait l’objet d’une révision technique, et intègre les rectificatifs techniques de 2014 et de 2015. Le seul changement principal qu’il énonce est l’alignement du texte sur la structure harmonisée des normes de systèmes de management et sur l’ISO/IEC 27002:2022. Cette phrase, sous son apparente sobriété, recouvre deux évolutions substantielles.

La première touche le corps de la norme, et elle est mesurable en comparant les structures : l’édition 2022 comporte un § 6.3 intitulé « Planification des modifications », qui n’existait pas en 2013. Il tient en une phrase — lorsque l’organisme détermine le besoin de modifications du système de management, ces modifications doivent être réalisées de façon planifiée — mais il crée une exigence auditable là où il n’y en avait pas. D’autres ajustements de rédaction, hérités du tronc commun, se lisent au fil des chapitres et sont signalés dans les modules concernés.

La seconde touche l’Annexe A, et c’est la transformation la plus visible. L’édition 2013 comptait cent quatorze mesures réparties en quatorze chapitres numérotés de A.5 à A.18. L’édition 2022 en compte quatre-vingt-treize, regroupées en quatre thèmes : trente-sept mesures organisationnelles en A.5, huit mesures applicables aux personnes en A.6, quatorze mesures physiques en A.7 et trente-quatre mesures technologiques en A.8. La réduction du nombre ne traduit pas un allègement des exigences : de nombreuses mesures de 2013 ont été fusionnées, et onze mesures sont entièrement nouvelles, portant sur des sujets que l’édition précédente ne couvrait pas — le renseignement sur les menaces, la sécurité dans l’usage de services en nuage, la préparation des technologies de l’information et de la communication pour la continuité d’activité, la surveillance de la sécurité physique, la gestion de configuration, la suppression d’informations, le masquage des données, la prévention de la fuite de données, les activités de surveillance, le filtrage web et le codage sécurisé.

Pour une organisation déjà certifiée selon l’édition 2013, le travail de transition ne consiste donc pas à réécrire son système, mais à retracer ses mesures existantes vers la nouvelle numérotation, à reconstruire sa Déclaration d’applicabilité sur les quatre-vingt-treize mesures, à traiter les onze sujets nouveaux, et à formaliser la planification des modifications du § 6.3.

Comment une certification se déroule

La certification porte sur l’organisme, jamais sur une personne. Une formation, y compris celle-ci, ne certifie personne à l’ISO/IEC 27001 : elle délivre une attestation de suivi et prépare à construire et à défendre un système. Le certificat est délivré par un organisme de certification, distinct de l’organisme de normalisation, à l’issue d’un audit conduit selon des règles d’accréditation propres au domaine des systèmes de management de la sécurité de l’information.

L’audit initial se déroule classiquement en deux étapes. La première porte sur la documentation et la maturité du dispositif : l’auditeur vérifie que le domaine d’application est défini et cohérent, que la politique existe, que le processus d’appréciation des risques a produit des résultats, que la Déclaration d’applicabilité est complète, et que les audits internes et la revue de direction ont eu lieu. La seconde porte sur l’efficacité réelle de la mise en œuvre : l’auditeur va sur le terrain, interroge les personnes, demande des enregistrements, et vérifie que ce que décrivent les documents correspond à ce qui se pratique. Le cycle se poursuit ensuite par des audits de surveillance périodiques et un audit de renouvellement.

Un point mérite d’être anticipé dès le début du projet, parce qu’il conditionne la valeur commerciale du certificat : le domaine d’application figure sur le certificat. Un périmètre trop étroit, choisi pour faciliter l’audit, produit un certificat que les clients ne reconnaîtront pas comme couvrant les prestations qu’ils achètent. Un périmètre trop large produit une charge que l’organisation ne tiendra pas. Le chapitre 4 traite précisément de cet arbitrage, et c’est la raison pour laquelle il ouvre la formation.

Il faut enfin savoir que la Déclaration d’applicabilité est la pièce que l’auditeur ouvre en premier, et celle sur laquelle il revient le plus souvent. Elle constitue la carte du système : elle dit quelles mesures ont été retenues, lesquelles ont été écartées et pourquoi, et où en est chacune. Un dossier dont la Déclaration d’applicabilité est bâclée — des justifications d’exclusion en une ligne, des statuts de mise en œuvre non mis à jour, des mesures déclarées applicables sans preuve derrière — annonce à l’auditeur ce qu’il trouvera partout ailleurs.

Ce que vous saurez faire à la fin du parcours

À l’issue des douze modules, vous saurez lire l’ISO/IEC 27001 pour ce qu’elle est, en distinguant à tout instant une exigence du corps d’une mesure de référence de l’Annexe A. Vous saurez déterminer un domaine d’application défendable, conduire une appréciation des risques qui produise des décisions plutôt qu’un tableau, construire et tenir une Déclaration d’applicabilité, établir les informations documentées que la norme impose réellement — et seulement celles-là —, faire fonctionner les audits internes et la revue de direction, et traiter une non-conformité jusqu’à la vérification de son efficacité.

Vous connaîtrez également les quatre-vingt-treize mesures de l’Annexe A une par une : ce que chacune demande, comment elle se met en œuvre, quelle erreur classique elle sanctionne, et quelle preuve l’auditeur cherchera. Cette connaissance détaillée est ce qui permet, au moment de la comparaison exigée par le § 6.1.3 c), de vérifier réellement qu’aucune mesure nécessaire n’a été omise — plutôt que de cocher une liste sans la comprendre.

Note de source : ce module est construit sur le texte de l’ISO/IEC 27001:2022, troisième édition d’octobre 2022 — avant-propos, introduction, § 1 à 3, § 0.2, Annexe A et bibliographie. Les normes ISO/IEC 27000, 27002:2022, 27003, 27004, 27005 et ISO 31000:2018 sont citées parce que la norme elle-même les cite, en référence normative ou en bibliographie ; leur contenu n’a pas été utilisé et n’est pas restitué. Le décompte de cent quatorze mesures et de quatorze chapitres attribué à l’édition 2013 relève de la connaissance du domaine et non du document source, qui n’énumère pas la structure de l’édition qu’il remplace.

Note de source : la publication d’octobre 2022 utilisée ici ne contient pas l’amendement ISO/IEC 27001:2022/Amd 1:2024, « Climate action changes », qui ajoute des considérations relatives au changement climatique aux § 4.1 et § 4.2. Son existence est signalée pour que nul ne l’ignore en audit, mais son texte n’ayant pas été disponible comme source, il n’est reconstitué nulle part dans la formation. Il convient de se le procurer auprès de son organisme national de normalisation.