Objectif du module

Préparation à la mise en œuvre, la certification, le maintien et l'amélioration de votre

système de management de la sécurité de l’information (ISO 27001) pour pouvoir :
 
 garantir la confidentialité, l’intégrité, la disponibilité et la traçabilité de
l’information

 réduire les risques liés à la sécurité de l’information

 saisir des opportunités d’amélioration continue

 1.Sécurité de l’information
1.Historique
Les informations, le matériel informatique et les logiciels que possède une organisation est un
investissement précieux qu’il faut protéger. Une des meilleures façons de prendre soin de ce trésor est
de mettre en place un système de management de la sécurité de l'information (SMSI).
 
En 1989 sort le code de pratique des utilisateurs (User’s Code of Practice), basé sur la politique de
sécurité de Shell, à la demande du gouvernement britannique (Department of Trade and Industry).
 
L’ISO (Organisation internationale de normalisation) a été créée en 1947. ISO vient du grec
« isos » (égal). Pour + de simplicité nous utilisons ISO à la place d’ISO/CEI.

Depuis 2005 l’ISO/CEI 27001:2005 offre la possibilité de certification d’un système de management
de la sécurité de l’information.
 
En 2013, sortent les normes ISO/CEI 27001:2013 et ISO/CEI 27002:2013. Suivent une grande
quantité de normes qui forment la famille ISO/CEI 27000. Pour plus de détails voir le paragraphe 2.2.
 1.2 Application

La norme ISO 27001 est générique car elle s'applique au système de management de toute organisation,
sans aucune contrainte relative à la taille, l'activité ou le type. C'est une norme volontaire internationale
qui permet la certification par un organisme accrédité (de certification).

La mise en place d’un système de management de la sécurité de l’information est toujours :

 issue d’une décision stratégique de la direction en accord avec :
o les objectifs de l’organisation
o la culture d’entreprise
o les processus métier

L’application de la norme ISO 27001 et le respect de ses exigences permet de préserver la confidentialité,
l’intégrité, la disponibilité et la traçabilité de l’information.
 
Le respect des exigences liées à l’appréciation et au traitement des risques (en se basant sur la norme ISO
31000) permet de rassurer les parties intéressées sur la gestion de la sécurité de l’information.
 1.3 Principes et étapes

La démarche sécurité de l’information (SI) est un état d'esprit qui part de la direction comme décision
stratégique prioritaire et s'étend à l'ensemble du personnel. La direction définit la politique de sécurité de
l’information, dans laquelle sont fixés les objectifs de sécurité de l’information, qui sont applicables à
toutes les activités. L'outil utilisé pour atteindre les objectifs est le système de management de la sécurité
de l’information. La prévention est le concept essentiel du système de management de la sécurité de
l’information.
Les trois propriétés essentielles de la sécurité de l’information sont la confidentialité, l’intégrité et la
disponibilité comme montré dans la figure 1-2.

Figure 1-2. Propriétés de la sécurité de l’information

 1.3 Principes et étapes
Prenons comme exemple votre compte en banque. L’information sur le compte doit être protégée :
 sa confidentialité – l’information doit rester secrète
 son intégrité – l’information du total doit être exacte et ne doit pas changer
 sa disponibilité – l’information doit rester accessible en temps voulu
Tout système de management de la sécurité de l’information comprend trois démarches distinctes et
interdépendantes :
 l’approche processus
 l’approche par les risques (risk-based thinking)
 l’amélioration continue
 1.3 Principes et étapes
Les sept principes de management de la qualité (cf. figure 1-3) nous aiderons à obtenir des
performances durables (cf. ISO 9000 : 2015, § 2.3).

Figure 1-3. Les 7 principes de management de la qualité

 1.3 Principes et étapes
La démarche pour mettre en œuvre un système de management de la sécurité de l’information passe par
plusieurs étapes. Un exemple de préparation est montré en figure 1-4.

Figure 1-4. Préparation d'un SMSI

 1.3 Principes et étapes
L'étape 1 comporte la détermination des besoins et attentes (exigences) des parties intéressées :
 personnel
 clients, consommateurs
 concurrents
 actionnaires, investisseurs
 prestataires externes (fournisseurs, sous-traitants, partenaires)

L'implication de la direction à son plus haut niveau est réellement indispensable.

Une des questions clés qui vient très vite (étape 2) est la nécessité de cette décision. Si cela n'est vraiment pas
nécessaire ou si l'estimation des coûts de la démarche de certification dépasse les ressources disponibles ou la
valeur des actifs à protéger, on fera mieux d'abandonner tout de suite.
Les bénéfices de la mise en place d'un système de management de la sécurité de l’information sont souvent :
 sécurité augmentée des systèmes de l’information
 résistance renforcée aux menaces et logiciels malveillants
 l’information est disponible uniquement aux personnes qui ont l'autorisation
 l’information est protégée contre toute modification par du personnel non autorisé
 responsabilités et obligations mieux définies
 niveau de maîtrise des risques élevé
 coûts d’assurance réduits
 1.3 Principes et étapes
Les bénéfices de la certification d’un système de management sont souvent :
 image de l'organisation améliorée
 un pas devant la concurrence
 confiance améliorée des parties intéressées
 meilleure performance financière
La troisième étape doit déterminer si cette démarche reçoit l'approbation du personnel. Une campagne
de communication en interne est lancée sur les objectifs du système de management de la sécurité de
l’information (SMSI). Le personnel est sensibilisé et comprend que sans sa participation le projet ne
pourra aboutir.
L'étape suivante (4) comprend l'établissement d'une ébauche de la politique de sécurité de
l’information et des objectifs de sécurité de l’information.

La planification est la dernière étape (5) de la préparation du projet d'obtention de la certification ISO
27001. Une période raisonnable se situe entre 12 à 24 mois (chaque organisation est spécifique et
unique). Les ressources (financières et en personnel) sont confirmées par la direction. L'engagement de la
direction est formalisé par écrit et communiqué à l'ensemble du personnel. Une personne est nommée
chef du projet d’obtention du certificat ISO 27001.
 1.3 Principes et étapes
L'établissement et la mise en place du système de management de la sécurité de l’information ISO 27001
sont montrés dans la figure 1-5.

Figure 1-5. Mise en œuvre d'un SMSI

 1.3 Principes et étapes
L'étape 1 consiste à identifier et définir les processus, les interactions, les pilotes, les responsabilités et les
brouillons de certaines informations documentées.
Dans l'étape 2 sont fixées les ressources nécessaires pour atteindre les objectifs de sécurité de l’information.
Une formation des auditeurs internes est prise en compte.
Dans l'étape 2 sont fixées les ressources nécessaires pour atteindre les objectifs de sécurité de l’information.
Une formation des auditeurs internes est prise en compte.
L'étape 3 permet de définir et mettre en œuvre les méthodes permettant de mesurer l’efficacité et l’efficience
de chaque processus. Des audits internes permettent d'évaluer le degré de la mise en place du système.
Les non-conformités en tout genre sont répertoriées à l'étape 4. Des actions correctives sont mises en place
Une première appréciation des outils et domaines d'application du processus d'amélioration continue est
faite à l'étape 5. Des risques sont déterminés, des actions sont planifiées et des opportunités d’amélioration
sont saisies. La communication en interne et en externe est établie et formalisée.
Pour effectuer l'audit à blanc du SMSI (étape 6) les informations documentées sont vérifiées et approuvées par les personnes
appropriées. Une revue de direction permet d'évaluer le respect des exigences applicables. La politique de sécurité de
l’information et les objectifs sont finalisés. Un responsable sécurité de l’information d'une autre organisation ou un consultant
pourra fournir de précieuses remarques, suggestions et recommandations.
 1.3 Principes et étapes
Quand le système est correctement mis en place et respecté, la certification du SMSI par un organisme
externe devient une formalité (étape 7).
Une méthode pertinente pour évaluer le niveau de performance de votre système de management de la
sécurité de l’information est la logique RADAR du modèle d’excellence de l’EFQM (European Foundation
for Quality Management) avec ses 9 critères et sa note globale sur 1000 points.
 2. Normes, definitions
2.1 Normes
La famille ISO 27000 comprend un grand nombre de normes. Une partie des normes les plus utilisées est
montrée dans la figure 2-1 :

Figure 2-1. Normes de la famille ISO 27000

 2. Normes, definitions
2.1 Normes
Pour la norme ISO 27001:2013 on a :– Technologies de l'information — Techniques de sécurité — Systèmes
de management de la sécurité de l'information — Exigences
Les normes ISO (plus de 21 000) sont utilisées dans d'innombrables domaines et sont reconnues dans le monde
entier.

Tous ces référentiels et beaucoup d’autres peuvent être commandés (sous format électronique ou papier)
sur le site de l'AFNOR (Association française de normalisation) dans la rubrique boutique, catalogue,
normes.
 3. Approche processus 
3.1 Processus
Le mot processus vient de la racine latine procedere = marche, développement, progrès (Pro = en avant, cedere =
aller). Chaque processus transforme les éléments d'entrée en éléments de sortie en créant de la valeur ajoutée et des
nuisances potentielles.
Un processus a trois éléments de base : entrées, activités, sorties.
Un processus peut être très complexe ou relativement simple.
Un processus est :
 répétable
 prévisible
 mesurable
 définissable

Un processus est défini entre autres par :

 son intitulé et son type
 sa finalité (pourquoi ?)
 son bénéficiaire (pour qui ?)
 son domaine et activités
 ses informations documentées
 3. Approche processus 
3.1 Processus
Les composantes d'un processus sont montrées dans la figure 3-1

Figure 3-1. Les composantes d'un processus

 3. Approche processus 
3.1 Processus
Toute organisation peut être considérée comme un macro processus, avec sa finalité, ses éléments d'entrée (besoins
et attentes clients) et ses éléments de sortie (produits/services pour satisfaire aux exigences des clients).
Les processus sont de type management, réalisation et support. Ne pas attacher trop d'importance au classement des
processus (parfois c'est très relatif) mais bien vérifier que toutes les activités de l'organisation entrent dans un des
processus.
 3.1.1 Les processus de management

Aussi appelés de direction, de pilotage, de décision, clés, majeurs. Ils participent à l'organisation globale, à
l'élaboration de la politique, au déploiement des objectifs et à toutes les vérifications indispensables. Ils sont les fils
conducteurs de tous les processus de réalisation et de support.
 3.1.2 Les processus de réalisation

Les processus de réalisation (opérationnels) sont liés au produit, augmentent la valeur ajoutée et contribuent
directement à la satisfaction du client.

Ils sont principalement (* obligatoires) :

 satisfaire aux exigences de la sécurité*
 enregistrer et désinscrire*
 distribuer les accès*
 gérer l'authentification*
 développer et soutenir la sécurité*
 gérer la continuité de la sécurité*
 appliquer la sécurité*
 inspecter la sécurité*
 concevoir et développer
 réaliser les actions correctives
 3.1.3 Les processus de support

Les processus de support (soutien) fournissent les ressources nécessaires au bon fonctionnement de tous les autres
processus. Ils ne sont pas liés directement à une contribution de la valeur ajoutée du produit mais sont toujours
indispensables.

Les processus support sont souvent (* obligatoires) :

 appliquer la discipline*
 gérer le contrat de travail*
 acquérir et maintenir les infrastructures
 dispenser la formation
 fournir l'information
 3.2 Cartographie des processus

La cartographie des processus est par excellence un travail pluridisciplinaire. Ce n'est pas une exigence formelle de
la norme ISO 27001 mais est toujours bienvenue.
Les 3 types de processus et quelques interactions sont montrés dans la figure 3-3.
 3.2 Cartographie des processus

Figure 3-3. La maison des processus

 3.2 Cartographie des processus

La cartographie permet, entre autres :

 d'obtenir une vision globale de l'entreprise
 d’identifier les bénéficiaires (clients), les flux et les interactions
 de définir des règles (simples) de communication entre les processus
 3.3 Approche processus

Approche processus : management par les processus pour mieux satisfaire les clients, améliorer
l’efficacité de tous les processus et augmenter l’efficience globale
L’approche processus contribue énormément à la gestion efficace de l'organisation.
L’approche processus incluse au cours du développement, la mise en œuvre et l'amélioration continue d'un système
de management de la sécurité de l’information permet d’atteindre les objectifs liés à la satisfaction des parties
intéressées.
L'approche processus :
 souligne l'importance :
o de comprendre et de satisfaire aux exigences des parties intéressées
o de mesurer la performance, l'efficacité et l'efficience des processus
o d'améliorer en permanence ses objectifs sur la base de mesures objectives
 repose sur :
o l'identification méthodique
o le management des processus qui consiste à :
 déterminer les objectifs et leurs indicateurs
 analyser les résultats obtenus
 entreprendre des améliorations en continu
 3.3 Approche processus

 permet :
o de mieux visualiser les éléments d'entrée et de sortie et leurs interactions
o de clarifier les rôles et responsabilités exercées
o d'affecter judicieusement les ressources nécessaires
o de diminuer les coûts, les délais, les gaspillages
 et assure à long terme :
o la maîtrise
o la surveillance et
o l’amélioration continue des processus
 4. Contexte
4.1 L’organisation et son contexte

Intégrer les exigences du SMSI dans les processus métier permet de garantir aux parties intéressées
(c'est-à-dire aux clients) une maîtrise des risques liés à la sécurité de l'information. Adopter ces exigences
est une décision stratégique de la direction.
Pour mettre en place avec succès un système de management de la sécurité de l’information il faut bien
comprendre et évaluer tout ce qui peut influencer sur la raison d’être et la performance de l’organisation.
Il convient d’engager une réflexion approfondie après quelques activités essentielles :
 Dresser un diagnostic approfondi du contexte unique dans lequel se trouve l’organisation en prenant en
compte les enjeux :
o externes comme l’environnement :
 social
 économique
 technologique
 naturel
o internes comme :
 personnel
 infrastructures
 surveiller et passer en revue régulièrement toute information relative aux enjeux externes et internes
 analyser les facteurs pouvant influencer sur l’atteinte des objectifs de l’organisation
 4. Contexte
4.1 L’organisation et son contexte

Chaque enjeu est identifié par son niveau d’influence et de maîtrise. La priorité est donnée aux enjeux très influents
et pas du tout maîtrisés.
Les analyses PESTEL et SWOT (nos forces et faiblesses, les opportunités et les menaces) peuvent être utiles pour
une analyse pertinente du contexte de l’organisation. L’analyse SWOT aide à comprendre notre environnement
commercial. Elle nous permet également d'identifier les problèmes internes et externes, qui pourraient avoir un
impact sur la sécurité de l'information.
 4.2 Besoins et attentes des parties intéressées
Pour bien comprendre les besoins et attentes des parties intéressées il faut commencer par déterminer tous ceux qui
peuvent être concernés par le système de management de la sécurité de l’information comme par exemple :
 salariés
 direction
 clients
 prestataires externes (fournisseurs, sous-traitants, consultants)

La liste des parties intéressées est réalisée par une équipe pluridisciplinaire. Chaque partie intéressée est identifiée
par son niveau d’influence et de maîtrise. La priorité est donnée aux parties intéressées très influentes et faiblement
maîtrisées.

Les exigences des parties intéressées qui changent avec le temps, sont revues régulièrement.
Anticiper les besoins et attentes raisonnables et pertinentes des parties intéressées c’est :
 satisfaire aux exigences du SMSI
 se préparer à faire face aux menaces
 saisir des opportunités d’amélioration
Quand une exigence est acceptée celle-ci devient une exigence interne du SMSI.
 4.3 Domaine d’application
Le domaine d’application (ou autrement dit le périmètre) du système de management de la sécurité de l’information
est défini et validé par la direction. Aucune exclusion n'est autorisée dans la norme ISO 27001.
La Déclaration d'applicabilité permet :
 de déterminer ce qui fait partie ou ne fait pas partie du SMSI
 d’identifier et tenir à jour les mesures à appliquer
 de planifier et auditer le SMSI
Chaque mesure de la déclaration d’applicabilité est directement liée au traitement d’un risque.
Le Domaine d’application du SMSI est disponible comme information documentée. Il inclut le domaine
d’application (limites et interfaces) :
 de l’organisation :
o produits
o services
 de l’information et de la communication :
o conception et développement de logiciels
o maintenance
 physique :
o siège social
o filiales
 4.4 Système de management de la sécurité de l’information
Les exigences de la norme ISO 27001 sont liées à la maîtrise de :
 
 la sécurité de l’information et
des processus de l’organisation
 Pour cela :
 le système de management de la sécurité de l’information est :
o documenté (un système documentaire simple et suffisant est
mis en place)
o mis en place et
o amélioré en continu
 la politique de sécurité de l’information, les objectifs, les ressources et l'environnement du travail sont
déterminés
 les menaces sont déterminées et les actions pour les réduire sont établies
 les processus essentiels nécessaires au SMSI sont:
o les éléments d’entrée et de sortie déterminés
o les informations nécessaires disponibles
o les performances des processus sont évaluées
o les changements nécessaires sont introduits pour obtenir les résultats attendus
 4.4 Système de management de la sécurité de l’information
Le manuel sécurité de l’information n’est pas une exigence de la norme ISO 27001 mais cela est toujours une
possibilité de présenter l’organisation, son SMSI et ses procédures, politiques et processus.
Pièges à éviter :
 faire de la sur-qualité :
o une opération inutile est réalisée sans que cela ajoute de la valeur et sans que le client le demande –
c’est un gaspillage, cf. les outils qualité
 oublier les spécificités liées à la culture d'entreprise :
o innovation, luxe, secret, management autoritaire (Apple)
o culture forte liée à l’écologie, à l’action et la lutte, tout en cultivant le secret (Greenpeace)
o culture d’entreprise fun et décalée (Michel&Augustin)
o entreprise libérée, l’homme est bon, aimer son client, rêve partagé .
4.4 Système de management de la sécurité de l’information

Les exigences de la norme ISO 27001 sont montrées en figures 4-1:

Figure 4-1. Les exigences de la norme ISO 27001 (2013)

 4.4 Système de management de la sécurité de l’information
Les exigences de sécurité de l’information concernent :
 
 les risques de l’organisation :
o les menaces sur les actifs
o la vulnérabilité et la vraisemblance d’apparition
o les conséquences
 les exigences légales et contractuelles
 les principes, objectifs et obligations de maîtrise de l’information liés aux processus métier