ISO 27001 et QSE : faut-il créer un nouveau système ou intégrer la sécurité de l’information dans vos processus existants ?

Ce qu’ISO 27001 partage avec votre système QSE… et ce qui reste spécifique

ISO 27001 partage de nombreux mécanismes avec les autres normes ISO

Une organisation disposant déjà d’un système QSE possède généralement :

• une analyse du contexte ;
• une identification des parties intéressées ;
• une cartographie de processus ;
• des pilotes ;
• des responsabilités ;
• des objectifs ;
• des audits internes ;
• une revue de direction ;
• des actions d’amélioration.

ISO 27001 utilise également plusieurs de ces mécanismes.

Il serait donc souvent peu pertinent de recréer des dispositifs complètement indépendants.

Capitaliser sur les systèmes déjà en place

L’intégration permet notamment de mutualiser, lorsque cela est pertinent :

• les revues de direction ;
• certaines parties intéressées ;
• certains audits ;
• le pilotage des objectifs ;
• les actions d’amélioration ;
• la gestion documentaire ;
• la gouvernance globale.

Cela suppose de maintenir une cartographie représentative du fonctionnement réel, d’éviter les documents redondants et de clarifier le rôle respectif des pilotes et des experts techniques.

Intégrer ne signifie toutefois pas utiliser la même méthode pour tout

La sécurité de l’information comporte des spécificités importantes.

Une analyse de risques QSE existante ne suffit pas nécessairement pour identifier correctement les menaces et vulnérabilités cyber.

Ajouter simplement une colonne cybersécurité dans un tableau de risques existant n’est pas suffisant. Les scénarios propres à la sécurité de l’information nécessitent une méthode et des compétences adaptées.

C’est pourquoi le diagnostic et l’analyse initiale sont réalisés par RANGERS-IM.

Les résultats cyber doivent retrouver les processus métier

Prenons quelques exemples.

Ressources humaines

Un collaborateur arrive, change de fonction ou quitte l’entreprise.

La question de ses droits d’accès ne peut pas être gérée uniquement par l’IT.

Le processus RH doit déclencher l’information, le manager doit définir le besoin et l’IT applique techniquement la modification.

Achats

Un fournisseur ou prestataire possède un accès à des informations ou systèmes sensibles.

La maîtrise du risque concerne à la fois les achats, le propriétaire du besoin et les experts sécurité.

Production

Une ligne de production dépend d’un système numérique.

Le responsable de production doit connaître le niveau de disponibilité nécessaire, les conséquences d’une interruption et les solutions de fonctionnement dégradé.

L’IT et les experts cyber définissent ensuite les mesures techniques adaptées.

Ne pas créer un processus « cybersécurité » pour tout

Certaines activités peuvent évidemment nécessiter un processus ou sous-processus spécialisé.

Mais une grande partie de la sécurité de l’information doit être portée par les processus qui utilisent réellement l’information.

Cela responsabilise les pilotes.

• Le risque fournisseur appartient aux Achats autant qu’à la sécurité.
• Le risque lié aux départs appartient aux RH autant qu’à l’IT.
• La continuité appartient aux opérations autant qu’aux spécialistes techniques.

Éviter le morcellement du système : une information, au bon niveau, dans le bon processus

Sans approche intégrée, l’entreprise risque progressivement d’accumuler : une procédure ISO 9001, une politique ISO 27001, un tableau cyber, un registre environnement, un plan d’action sécurité et plusieurs outils contenant parfois les mêmes informations.

Le résultat est souvent une perte de lisibilité.

Pour Cplus, un système intégré doit au contraire permettre de placer chaque information au bon endroit.

Trois niveaux d’information

Le cadre : pourquoi et jusqu’où ?

Politique, orientations, périmètre, limites et grandes règles.

Le structurant : qui fait quoi et quand ?

Responsabilités, interactions, déclencheurs et rôles.

L’opérationnel : comment ?

Instructions, modalités techniques, outils ou procédures nécessaires à l’exécution.

Ainsi, une politique de sécurité peut rester transversale tandis qu’une procédure d’attribution des accès est intégrée dans le fonctionnement RH/IT.

Faciliter la transmission des connaissances

Cette logique facilite également la transmission des connaissances.

Une organisation ne doit pas dépendre uniquement d’un responsable IT ou d’un expert cyber pour savoir comment réagir.

Les règles structurantes doivent être intégrées dans le système afin que les bonnes personnes comprennent leur rôle.

L’expertise technique reste nécessaire, mais elle vient soutenir le processus, pas se substituer à lui.

Le diagnostic RANGERS-IM et l’intégration Cplus

Notre logique est donc la suivante : RANGERS-IM réalise le diagnostic et l’analyse initiale des risques.

En parallèle, lorsque le client choisit un accompagnement Cplus, nous construisons le cadre du SMSI et préparons son intégration dans les processus.

Les résultats du diagnostic viennent ensuite enrichir ce système.

Le client choisit le niveau d’accompagnement Cplus (Autonomie, Synergie ou Pilotage) selon ses ressources et le niveau de soutien souhaité.

Le besoin de prestations techniques complémentaires de RANGERS-IM est quant à lui défini selon le diagnostic et les actions réellement nécessaires.

Un système intégré doit être plus simple, pas plus lourd

Ajouter ISO 27001 à un système QSE devrait être l’occasion d’améliorer sa cohérence.

Pas d’empiler une nouvelle série de procédures.

La sécurité de l’information doit devenir une composante du fonctionnement réel de l’entreprise, avec les bonnes responsabilités, les bonnes informations et le bon niveau d’expertise au bon endroit.