Certification ISO 27001
Construire et intégrer un système de management de la sécurité de l’information
La sécurité de l’information est devenue un enjeu de gouvernance pour toutes les organisations.
Cyberattaques, pertes de données, erreurs humaines, dépendance vis-à-vis des prestataires, indisponibilité des systèmes ou exigences réglementaires : les risques ne concernent plus uniquement le service informatique.
La norme ISO/IEC 27001:2022 fournit un cadre permettant de construire un système de management de la sécurité de l’information (SMSI) afin d’organiser la gouvernance, les responsabilités, l’analyse des risques, les mesures de sécurité et l’amélioration continue.
Chez Cplus, notre approche consiste à éviter la création d’un système cyber parallèle au fonctionnement réel de l’entreprise.
Nous travaillons en partenariat avec RANGERS-IM, spécialiste de la cybersécurité. Le diagnostic cyber est réalisé dès le démarrage de la démarche et permet d’alimenter progressivement la construction du SMSI et les actions à intégrer dans les processus.
Qu’est-ce que la norme ISO 27001 ?
ISO/IEC 27001 est la norme internationale de référence pour les systèmes de management de la sécurité de l’information.
Elle vise à protéger trois dimensions essentielles :
- la confidentialité : les informations sont accessibles uniquement aux personnes ou systèmes autorisés ;
- l’intégrité : les informations sont protégées contre les modifications ou altérations non autorisées ;
- la disponibilité : les informations et systèmes restent accessibles lorsqu’ils sont nécessaires.
Mais ISO 27001 ne concerne pas uniquement les outils informatiques.
Elle implique également la direction, les collaborateurs, les prestataires, les fournisseurs, les processus opérationnels, les responsabilités et la continuité des activités.
Reconnue mondialement, la norme ISO 27001 définit les exigences pour établir, mettre en œuvre, maintenir et améliorer continuellement un SMSI. Elle est essentielle pour sécuriser les actifs informationnels, réduire les risques de sécurité et renforcer la confiance des clients et des parties prenantes.
Pourquoi mettre en place ISO 27001 ?
Une organisation peut disposer de bons outils informatiques sans pour autant maîtriser l’ensemble de ses risques liés à l’information.
Par exemple :
- un collaborateur change de fonction sans que ses accès soient adaptés ;
- un fournisseur dispose d’un accès important sans que son niveau de sécurité soit réellement évalué ;
- une information critique dépend d’une seule personne ;
- une panne informatique bloque un processus opérationnel sans solution de fonctionnement dégradé.
À l’inverse, disposer de politiques, de procédures et de registres conformes à ISO 27001 ne garantit pas non plus que les protections techniques soient efficaces.
La sécurité de l’information nécessite donc de faire fonctionner ensemble gouvernance, processus, comportements, gestion des risques et expertise technique.
ISO 27001, ISO 27002 et ISO 27005 : trois rôles complémentaires
Ces trois référentiels sont liés, mais ils ne remplissent pas la même fonction.
ISO 27001 définit les exigences du système de management et constitue le référentiel utilisé pour la certification.
ISO 27002 propose des recommandations relatives aux mesures de sécurité organisationnelles, humaines, physiques et technologiques.
ISO 27005 fournit des lignes directrices pour l’appréciation et le traitement des risques de sécurité de l’information.
La logique peut être résumée ainsi :
ISO 27001 organise le système → ISO 27005 aide à comprendre les risques → ISO 27002 aide à définir les mesures de sécurité.
ISO 27001 ne doit pas devenir un système réservé à l’IT
La sécurité de l’information traverse l’ensemble de l’organisation.
- Ressources humaines intervient notamment dans la gestion des accès lors des entrées, changements de fonction et départs ;
- Achats intervient dans la sélection et le suivi des prestataires et fournisseurs critiques ;
- Production ou opérations doivent maîtriser les conséquences d’une indisponibilité des systèmes ;
- Direction doit intégrer les risques de sécurité dans les décisions et arbitrages ;
- IT et les experts cyber apportent les connaissances techniques permettant d’identifier les menaces, vulnérabilités et protections adaptées.
L’enjeu est donc d’attribuer les responsabilités au bon processus, avec l’appui de l’expertise cyber lorsque cela est nécessaire.
Notre approche : diagnostic cyber RANGERS-IM et intégration Cplus
Une démarche menée avec RANGERS-IM dès le démarrage
Dans notre approche, RANGERS-IM réalise le diagnostic cyber dès le début de la démarche ISO 27001.
Ce diagnostic est mené en parallèle de la construction du SMSI lorsque le client choisit également un accompagnement Cplus.
Il permet notamment d’identifier :
- le niveau de maturité existant ;
- les principales vulnérabilités et risques ;
- les mesures déjà présentes ;
- les actions organisationnelles ou techniques à envisager ;
- les domaines nécessitant une expertise ou un approfondissement supplémentaire.
Les résultats du diagnostic ne doivent ensuite pas rester dans un rapport séparé du fonctionnement de l’organisation.
Ils deviennent un intrant pour le plan d’action et la construction du système de management.
Cplus : intégrer les actions cyber dans les processus
Cplus intervient sur la structuration et l’intégration du système de management.
Notre rôle est notamment de déterminer où les exigences, responsabilités et actions doivent réellement être positionnées dans l’organisation.
- Une action liée aux accès peut, par exemple, concerner à la fois les processus RH et IT.
- Une action relative aux fournisseurs trouvera naturellement sa place dans le processus Achats.
- Une exigence de continuité pourra être intégrée dans les processus opérationnels concernés.
L’objectif est d’éviter de créer une succession de politiques et procédures « ISO 27001 » à côté du fonctionnement quotidien.
Placer l’information au bon niveau
Nous reprenons ici la même logique que pour nos autres systèmes de management.
Informations de cadre : pourquoi et jusqu’où ?
Elles définissent la raison d’être, les principes, les orientations, les limites et les règles générales.
Les politiques de sécurité trouvent notamment leur place à ce niveau.
Informations structurantes : qui fait quoi et quand ?
Elles définissent les responsabilités, les interactions, les acteurs concernés et les moments clés.
Informations opérationnelles : comment ?
Elles expliquent concrètement la manière dont une activité ou une mesure doit être appliquée.
C’est notamment à ce niveau que certaines procédures, instructions, configurations ou modalités opérationnelles issues d’ISO 27002 et du traitement des risques peuvent être intégrées.
- Pourquoi et jusqu’où ? → cadre
- Qui fait quoi et quand ? → structurant
- Comment ? → opérationnel
Comment démarrer une démarche ISO 27001 ?
La démarche peut notamment s’organiser autour des étapes suivantes.
Trois niveaux d’accompagnement Cplus
Le diagnostic RANGERS-IM est réalisé dès le démarrage de la démarche.
Le client choisit ensuite le niveau d’accompagnement Cplus souhaité pour construire et intégrer son système de management.
Autonomie
Cplus fournit et configure les outils nécessaires, présente leur fonctionnement et la méthodologie associée, répond aux questions et accompagne l’organisation en mode coaching.
L’organisation conserve l’essentiel de la construction, de l’intégration des actions issues du diagnostic et du déploiement de son SMSI.
Synergie
Inclut la formule Autonomie, avec en complément :
- la co-construction du SMSI avec les équipes et les pilotes ;
- l’intégration des informations existantes pertinentes ;
- l’intégration des résultats du diagnostic RANGERS-IM dans les processus concernés ;
- le travail conjoint sur les responsabilités, outils et éléments du système ;
- l’accompagnement à leur validation.
Pilotage
Inclut la formule Synergie, avec en complément :
- l’analyse et l’intégration des informations et documents existants ;
- l’intégration des politiques, procédures et autres dispositions dans l’architecture globale du système ;
- la mise en cohérence entre processus et référentiels ;
- les mises à jour transversales ;
- la coordination des travaux et le suivi global du déploiement.
Le niveau d’accompagnement Cplus et le niveau d’intervention technique de RANGERS-IM répondent donc à deux besoins différents.
Le premier dépend du degré d’autonomie souhaité pour construire et intégrer le SMSI.
Le second dépend des résultats du diagnostic cyber, de la maturité et des ressources techniques disponibles.
FAQ ISO 27001
ISO 27001 est-elle une norme informatique ?
Non. Elle porte sur le management de la sécurité de l’information et implique la direction, les processus, les collaborateurs, les fournisseurs et les moyens techniques.
ISO 27001 est-elle certifiable ?
Oui. ISO/IEC 27001 est le référentiel utilisé pour certifier un système de management de la sécurité de l’information.
Faut-il appliquer toutes les mesures d’ISO 27002 ?
Non. Les mesures pertinentes doivent être sélectionnées en fonction du contexte et des risques de l’organisation.
Faut-il déjà être certifié ISO 9001 ?
Non. ISO 27001 peut être mise en place seule. Un système de management existant peut toutefois faciliter son intégration.
Peut-on intégrer ISO 27001 dans un système QSE existant ?
Oui. ISO 27001 s’appuie sur une structure de système de management qui facilite son articulation avec ISO 9001, ISO 14001 ou ISO 45001.
Une organisation peut notamment capitaliser sur son analyse de contexte, certaines parties intéressées, sa cartographie des processus, ses responsabilités, ses objectifs, ses audits internes, ses revues de direction et ses mécanismes d’amélioration.
Cela ne signifie pas que toutes les disciplines doivent être traitées de manière identique : les méthodes d’analyse des risques cyber, les mesures de sécurité et certaines informations doivent conserver leur spécificité. Intégrer ne signifie pas confondre.
Quel lien entre ISO 27001 et NIS2 ? ISO 27001 suffit-elle pour être conforme à NIS2 ?
En Belgique, NIS2 renforce les exigences en matière de gouvernance, de gestion des risques, d’incidents et de sécurité des chaînes d’approvisionnement. ISO 27001 peut constituer un cadre particulièrement pertinent pour structurer ces pratiques.
Une certification ISO 27001 ne signifie toutefois pas automatiquement que toutes les obligations NIS2 sont couvertes : le périmètre et les exigences réglementaires doivent être analysés séparément.
Que se passe-t-il après le diagnostic RANGERS-IM ?
Le diagnostic permet de déterminer le besoin d’accompagnement cyber complémentaire. Selon les résultats, la maturité de l’organisation et les ressources disponibles, certaines actions pourront être :
- réalisées directement par les équipes du client ;
- intégrées avec l’accompagnement de Cplus ;
- accompagnées techniquement par RANGERS-IM ;
- ou nécessiter une intervention combinée.
Cette logique évite de prévoir dès le départ des prestations techniques qui ne seraient pas nécessaires.
Évaluer votre situation avant de construire le SMSI
La première étape consiste à comprendre votre maturité cyber, vos risques et ce qui existe déjà.
Le diagnostic RANGERS-IM permet d’établir cette base.
Cplus peut ensuite vous accompagner, selon le niveau d’autonomie souhaité, pour transformer ces résultats en un système de management cohérent, intégré dans vos processus et, lorsque cela est pertinent, articulé avec vos autres référentiels.