Lorsqu’une entreprise commence à s’intéresser à la sécurité de l’information, trois références apparaissent rapidement : ISO 27001, ISO 27002 et ISO 27005.
Elles appartiennent au même univers, mais ne répondent pas à la même question.
Faut-il les appliquer toutes ? Sont-elles certifiables ? Laquelle concerne l’analyse des risques ? Où trouver les mesures techniques ?
La réponse devient beaucoup plus simple lorsqu’on comprend le rôle de chacune.
En bref
- ISO 27001 organise le système de management et sert de référentiel de certification ;
- ISO 27005 aide à comprendre et traiter les risques ;
- ISO 27002 propose des recommandations sur les mesures de sécurité ;
- il faut partir des risques plutôt que d’une liste de mesures, puis intégrer les mesures dans les processus.
Trois référentiels, trois questions différentes
ISO 27001 : organiser le système de management
ISO/IEC 27001 définit les exigences d’un système de management de la sécurité de l’information.
Elle permet notamment d’organiser :
- le périmètre du SMSI ;
- la gouvernance ;
- les responsabilités ;
- l’analyse et le traitement des risques ;
- les objectifs ;
- les compétences ;
- l’évaluation ;
- les audits ;
- la revue de direction ;
- l’amélioration.
C’est également ISO 27001 qui constitue le référentiel utilisé pour la certification.
Elle indique donc principalement ce que l’organisation doit mettre en place et piloter.
ISO 27005 : comprendre et traiter les risques
ISO/IEC 27005 accompagne plus spécifiquement la gestion des risques liés à la sécurité de l’information.
Elle aide notamment à :
- identifier les informations et activités à protéger ;
- comprendre les menaces et vulnérabilités ;
- analyser les scénarios ;
- apprécier leur vraisemblance et leurs conséquences ;
- hiérarchiser les risques et définir des traitements appropriés.
La question devient donc :
Qu’est-ce qui peut réellement arriver à notre organisation et quelles en seraient les conséquences ?
ISO 27002 : définir les mesures de sécurité
Une fois les risques compris, il faut déterminer comment les traiter.
ISO/IEC 27002 fournit des recommandations relatives aux mesures de sécurité. Elles peuvent être :
- organisationnelles ;
- humaines ;
- physiques ;
- technologiques.
L’objectif n’est pas d’appliquer toutes les mesures de manière automatique.
Il faut sélectionner celles qui sont pertinentes au regard du contexte, des risques et des besoins de l’organisation.
La logique complète
On peut donc résumer l’articulation ainsi :
- ISO 27001 : comment organiser et piloter le SMSI ?
- ISO 27005 : quels sont nos risques et comment les traiter ?
- ISO 27002 : quelles mesures mettre en place ?
Les trois référentiels sont complémentaires.
Mais une erreur fréquente consiste à les traiter comme trois projets indépendants.
Partir des risques plutôt que d’une liste de mesures
Une organisation peut être tentée de commencer par une longue checklist ISO 27002.
Pare-feu ? Oui. MFA ? Oui. Sauvegardes ? Oui. Procédure incident ? Oui.
Mais la présence d’une mesure ne permet pas toujours de savoir si elle répond réellement au risque.
Prenons une sauvegarde. La question ne devrait pas uniquement être : « Avons-nous des sauvegardes ? » mais aussi : « Sont-elles adaptées à nos activités critiques ? Sont-elles protégées ? Sont-elles testées ? Quel délai de restauration l’entreprise peut-elle accepter ? »
C’est précisément l’analyse des risques qui permet de replacer la mesure dans son contexte.
Pourquoi l’expertise technique reste indispensable ?
Une analyse qui ne repose pas que sur les processus métier
L’analyse ne peut pas reposer uniquement sur les processus métier.
Il faut également comprendre les vulnérabilités, les menaces et les scénarios techniques.
C’est pourquoi RANGERS-IM réalise le diagnostic cyber et l’analyse initiale des risques dans notre approche.
Cette expertise permet d’identifier des scénarios que les équipes opérationnelles ne connaissent pas nécessairement.
Mais l’expert cyber ne connaît pas seul toutes les conséquences métier
À l’inverse, une vulnérabilité techniquement importante n’aura pas nécessairement les mêmes conséquences dans deux entreprises.
Un arrêt informatique de plusieurs heures peut être supportable pour certaines activités et critique pour une production continue.
Les pilotes de processus connaissent les clients, les délais, les obligations, les possibilités de fonctionnement dégradé et les dépendances métier.
La qualité de l’analyse repose donc sur la rencontre entre connaissance technique et connaissance opérationnelle.
Transformer le traitement des risques en fonctionnement réel
Une mesure décidée à la suite de l’analyse des risques ne devrait pas automatiquement devenir une nouvelle procédure indépendante.
Elle doit être intégrée là où elle sera réellement appliquée.
Par exemple :
- gestion des accès → RH + IT ;
- évaluation d’un prestataire → Achats ;
- continuité d’une activité critique → processus opérationnel ;
- sauvegarde et restauration → processus IT, avec des exigences définies selon les besoins métier.
La sécurité devient ainsi une composante des processus.
Où intervient Cplus ?
Le diagnostic et l’analyse cyber permettent de savoir ce qu’il faut traiter.
Cplus intervient ensuite sur la manière d’intégrer ces résultats dans le système de management :
- processus ;
- responsabilités ;
- objectifs ;
- informations documentées ;
- audits ;
- revues ;
- suivi des actions.
L’enjeu est de ne pas multiplier les outils et procédures mais de construire une organisation cohérente.
Et après le diagnostic ?
Les actions techniques complémentaires ne sont pas définies arbitrairement au début de la mission.
Leur besoin dépend du diagnostic, du niveau de maturité, des ressources disponibles et des compétences présentes chez le client.
RANGERS-IM peut donc intervenir à nouveau pour accompagner ou vérifier certaines actions techniques lorsque cela est nécessaire.
En résumé
- ISO 27001 structure.
- ISO 27005 aide à comprendre les risques.
- ISO 27002 aide à choisir les mesures.
Et la réussite du SMSI dépend ensuite de la capacité de l’organisation à faire vivre ces mesures dans ses processus et ses décisions, plutôt que de les conserver dans une documentation séparée.
FAQ ISO 27001, ISO 27002 et ISO 27005
Quelle est la différence entre ISO 27001, ISO 27002 et ISO 27005 ?
ISO 27001 définit les exigences du système de management et sert de référentiel de certification. ISO 27005 accompagne la gestion des risques de sécurité de l’information. ISO 27002 fournit des recommandations sur les mesures de sécurité organisationnelles, humaines, physiques et technologiques.
Quelle norme est certifiable ?
ISO 27001 est le référentiel utilisé pour la certification.
Faut-il appliquer toutes les mesures d’ISO 27002 ?
Non. Il faut sélectionner les mesures pertinentes au regard du contexte, des risques et des besoins de l’organisation.
Par où commencer : les mesures ou les risques ?
Par les risques. La présence d’une mesure ne permet pas toujours de savoir si elle répond réellement au risque : c’est l’analyse des risques qui replace la mesure dans son contexte.
Pourquoi faire appel à un expert cyber ?
Parce que l’analyse ne peut pas reposer uniquement sur les processus métier : il faut comprendre les vulnérabilités, les menaces et les scénarios techniques. Dans notre approche, RANGERS-IM réalise le diagnostic cyber et l’analyse initiale des risques.
Cplus et RANGERS-IM, vos partenaires pour un SMSI intégré dans vos processus
Chez Cplus, nous travaillons avec RANGERS-IM pour que votre démarche ISO 27001 reste cohérente de l’analyse des risques jusqu’au fonctionnement quotidien :
- le diagnostic cyber et l’analyse initiale des risques, réalisés par RANGERS-IM ;
- l’intégration des résultats dans vos processus, responsabilités, objectifs et informations documentées ;
- la mise en place des audits, des revues et du suivi des actions ;
- un accompagnement au niveau de votre choix : Autonomie, Synergie ou Pilotage.
Vous disposez déjà de mesures de sécurité mais vous ne savez pas si elles répondent à vos risques réels, ou vous hésitez à traiter ISO 27001, 27002 et 27005 comme trois projets séparés ? Un premier échange permet de clarifier votre point de départ.
