La norme ISO 27001 expliquée

Bonjour et bienvenue. Alors aujourd'hui, on plonge dans un sujet crucial. L'information dans notre monde numérique, elle est partout. C'est une ressource, un trésor même, pour les entreprises, les administrations, enfin, pour tout le monde. Mais voilà, ce trésor, il est aussi fragile. Comment on fait pour que les infos importantes restent et bien protégés? Quelles soient accèsibles seulement aux bonnes personnes, qu'elles soient fiables, et dispos quand on en a besoin? C'est là qu'intervient notre sujet du jour. La norme ISO IEC 27001. La toute dernière version, celle de 2022. C'est la référence mondiale pour ce qu'on appelle un système de management de la sécurité de l'information. Un SMSI. Pour décortiquer ça, on s'appuie sur des documents de formation, vraiment, les bases pour comprendre cette norme. Notre objectif, comprendre ce qu'est vraiment l'ISO 27-1, pourquoi c'est si important aujourd'hui et qu'elles sont les grands principes pour bien gérer la sécurité de l'infos? Alors, on y va? Absolument. Et comprendre cette norme, c'est vraiment saisir la logique derrière la protection des données dans énormément d'organisations, petit tout grande. C'est le cadre, en fait, qui structure toute leur démarche de sécurité. C'est bien plus qu'une simple liste de mesures techniques. D'accord. Alors, commençons par le début. A SMSI, selon ISO IEC 70001, c'est quoi exactement? Eh bien, en SMSI, c'est avant tout un cadre méthodologique. La norme elle donne un ensemble d'exigence pour qu'une organisation puisse établir, mettre en œuvre, maintenir et point très important, améliorer en continu son système de gestion de la sécurité de l'information. L'objectif derrière tout ça, c'est de préserver trois qualités essentielles de l'information, sa confidentialité, son intégrité et cette disponibilité. C'est le fameux trio, c'est idée, ou si aillé en anglais, c'est vraiment le cœur du réacteur. La confidentialité, intégrité, disponibilité, c'est idée. Donc, c'est pas juste un règlement qu'on applique une fois et c'est fini. C'est quelque chose qui doit vivre évoluer. Exactement. La meilleuration continue, c'est fondamental. Et pour savoir qui ça concerne, il faut oublier l'idée que ce serait juste pour les géants du web ou les banques. Pas du tout. La norme est conçue pour être universelle. Elle s'applique à tout type d'organisme. C'est vraiment PME, association, administration, multinationale, quel que soit le secteur. Ce qui compte, c'est que son adoption, c'est une décision stratégique. stratégique, c'est-à-dire? C'est-à-dire qu'elle doit coller au besoin réel aux objectifs de l'organisation à ses processus, sa culture. Il n'y a pas de copier coller possible. C'est du surmeur. Très clair. Et cette norme 2701, elle ne sort pas de nulle part, j'imagine. Elle fait partie d'un ensemble plus vaste. Tout à fait. Elle appartient à la grande famille des normes ISO-IEC 2700 qui sont toutes dédiées à la sécurité de l'information. Pour faire simple, on peut dire que la 27001, c'est celle qui fixe les exigences, le coiffère pour être conforme pour obtenir la certification. Ensuite, il y a sa sœur, ISO-IEC 27002. Elle, c'est un catalogue très riche de mesures de sécurité. Les fameux contrôles, elles donnent des pistes, des conseils pour les implémenter. C'est le comment, en quelque sorte. Et elle est traîlée à l'annex à de la 27001, on y rien de râche. D'accord. Le quoi est le comment? Voilà. Et une troisième très importante, c'est ISO-IEC 27005. Elle est entièrement dédiée à la gestion des risques de sécurité de l'information. Et ça, la gestion des risques, c'est vraiment le moteur de toute la démarche 27001. Il y en a d'autres, bien sûr, mais c'est trois laces, c'est le noyau dur. Ok. Un vrai écosystème. Mais concrètement, pourquoi une entreprise, une organisation, se lance rélade dans les bénéfices tangibles, ceux qui font tilt chez les dirigeants. Alors, les bénéfices sont multiples et bien réels. Le premier, le plus évident, c'est une sécurité qui est renforcée globalement. Mais, en place, un SMS6, ça oblige avoir une approche structurée, moins dans la réaction. On identifie mieux les points faibles, grâce aux audits, aux revues. Et puis, ça aide à sensibiliser le personnel. Et ça, c'est absolument critique. L'humain, c'est souvent là que ça se joue. Le maillon humain, toujours. Exactement. Deuxième point, une meilleure gouvernance de la sécurité. La norme elle demande de clarifier qui fait quoi? Qui est responsable? De la direction jusqu'aux équipes sur le terrain. Cette clarification, c'est essentielle. Et ça peut aussi, indirectement, réduire les risques juridiques. Si un jour y a un paix, un incident, l'organisation peut montrer qu'elle a pris des choses au sérieux, qu'elle a mis en place des mesures réfléchies. La fameuse dirigeance raisonnable? Ça, c'est important. Troisième bénéfice, la conformité est facilité. Évidemment, on devient conforme à l'iso 27 0001. Elle-même, ce qui peut être demandé par des clients ou des partenaires. Mais surtout, la structure et les mesures qu'on met en place, c'est une super base pour répondre à d'autres exigences. Comme le RGPD par exemple. Exemploi. Ou des standards comme PC, DSS pour les paiements. Liso 27 0001 donne la méthode, le cadre pour y arriver plus serrénement. Vu la jungle des réglementations, c'est un argument de poiss. Absolument. Quatrièmement, l'avantage concurrentiel. Ce n'est pas négligeable. Une certification, ISO 27 0001, c'est un signal fort. Ça montre le sérieux de l'entreprise. Ça rassure les clients, les partenaires sur la protection de leur données. Ça peut vraiment faire la différence face aux concurrents, ouvrir des portes sur certains marchés, certains appels d'offres qu'ils exigent. C'est un gage de confiance. Une meilleure image, donc? Oui. Et enfin, dernier point, mais pas démondre l'impact financier. À terme, ça peut être positif. Oui, il y a un investissement au départ en temps, en ressources. Mais un SMS qui tourne bien, ça réduit la probabilité et surtout l'impact des incidents de sécurité. Imaginez le coup d'une gros suite de données. L'enquête, la correction, la communication de crise, les amants de possible, la perte de clients prévenir, même même si ça coûte un peu, c'est souvent bien moins cher que de réparer les dégâts. C'est très clair, oui. Bon, pour bien piloter tout ça, il faut parler le même langage. Revenons sur ces fameux concepts. Confidentialité, intégrité, disponibilité. Le CID, vous pouvez nous donner des exemples concrets? Bien sûr. Prouge la Confidentialité. L'idée, c'est simple. L'information ne doit être accessible qu'aux personnes qui ont le droit d'y accéder. Point. Un exemple, les données salariales des employés seuls le service RH, habilité, doit pouvoir les consulter. Et comment on a sur ça? Et bien par des contrôles d'accès. Logique, des mots de pas solides, une gestion finent des droits sur les serveurs, le chiffrement, ou physique, des bureaux sécurisés, des armoirs qui faire maclés, un contrôle des accès aux bâtiments. D'accord. Ensuite, l'intégrité. L'intégrité, c'est s'assurer que l'information est exacte, complète, et qu'elle n'a pas été modifiée sans autorisation, que ce soit par erreur ou volontairement. Pensez aux données comptables, aux dossiers médicaux. Il faut qu'elle soit fiable. Les moyens pour ça, des mécanismes de validation, des somme de contrôle, achatges, pour vérifier qu'un fichier n'a pas été altéré, des pistes d'audite, pour savoir qui a modifié quoi écan. Logique. Et la dernière lettre, dès pour disponibilité. La disponibilité, c'est faire en sorte que les utilisateurs autorisés puissent taxer des all-information et au système, quand ils en ont besoin pour faire leur travail. Si le site devant tant ligne est inaccessible, l'entreprise perd de l'argent. Si les équipes ne peuvent pas accéder au données de production, tout ça règle. Les conséquences peuvent être rapides. Très rapides. Les solutions classiques, zéro, des sauvegardes régulières, et surtout tester, de la redundance matérielle des serveurs en double, des connexions résommultibles, et puis des plans de continuité d'activité pour savoir quoi faire en cas de gros problème, un incendie, une inaudation. OK. Qui a le droit de voir, est-ce que l'info est juste et est-ce que ça marche quand il faut? C'est ça. Mais pour protéger ce trio, c'est idée, il faut savoir contre quoi en lutte. Vous parlez de risque, menaz, vulérabilité. Oui, ça, ce sont les briques de l'analyse de risque. Et l'analyse de risque, c'est vraiment le moteur de l'isoù en 70001. Comment sont-ils par l'actif à cette en anglais? C'est tout ce qui a de la valeur pour l'organisation, et qu'il faut donc protéger. Et ce ne sont pas que les ordinateurs? Ah non, loin de là, bien sûr, il y a le matériel, les logiciels, mais il y a surtout les données elles-mêmes. Clients, Rédé, stratégies. Il y a aussi la réputation de l'entreprise, le savoir faire des équipes, les processus métiers critiques. Tout ça, ce sont des actifs. Faire l'inventaire de ces actifs, c'est une étape clé. D'accord. Et face à ces actifs? Face à eux, il y a la menace, threat. C'est un événement potentiel qui pourrait leur nuire. Ça peut être intentionnel, un pirate, un virus, un employé malveillant. Ça peut être accidentel, une erreur de manie, une mauvaise configuration, ou environnementale, une panne de courant, une catastrophe naturelle, et ces menaces elles évoluent tout le temps. Un défi constant, j'imagine. Oui, et pour qu'une menace face des dégâts, elle exploite souvent une vulnérabilité. Vonnérabilité, c'est une faiblesse. Soit dans l'actif lui-même, soit dans les protections mises en place. Un logiciel pasageur avec des failles connues, un mot de passe trop simple comme "azerti", une politique de sécurité qui n'est pas appliquée, une porte de local serveur laissez ouverte. Déporte d'entrée pour les menaces en somme. Exactement. Et quand on combine tout ça, on arrive au risque. En sécurité de l'info, on le voit souvent comme la probabilité qu'une menace donnée exploite une vulnérabilité précise, multiplié par l'impact que ça aurait si ça arrivait. L'impact, ça peut être des pertes financières, un arrêt de l'activité, une attente à l'image. Donc, probabilité, faut un pacte. En gros oui, et tout l'enjeu de l'iso 27.0001, c'est d'identifier ces risques, de les évaluer, puis de décider comment les traiter de façon structurée et raisonnée. C'est ça l'approche par les risques. Approche par les risques, c'est nous. et la norme parle beaucoup de système de management. Qu'est-ce que ça porte de plus qu'une simple checklist de mesure de sécurité à cocher? Ah, ça change tout. Un système de management s'implique une approche globale organisée et surtout pérenne. C'est n'est pas juste un projet qu'on fait une fois. C'est intégré la sécurité dans l'ADN de l'organisation, dans son fonctionnement quotidien. Ça veut dire quoi? Ça veut dire définir une politique claire, la vision, la direction sur la sécurité. Fixer des objectifs, mesurables, attribuer des rôles et des responsabilités claire, allouer les ressources nécessaires, humaines, techniques, financières, définir des processus, comment gérer les accès, comment réagir un incident. Une vraie organisation, voilà. Et surtout mettre en place des mécanismes pour vérifier que ça marche et pour s'améliorer. C'est une machine bien pensée, pas juste une collection de bonnes pratiques et parpillées. Et c'est là qu'intervient cette fameuse route de déming, le cycle PDCA planifier, déployer, contrôler, agir. Exactement, le PDCA c'est le moteur qui fait tourner ce système et qui assure la malération continue. C'est un cycle d'abord planifier, plan. On analyse où on en est, on fait l'appréciation des risques, on définit la politique, les objectifs, les plans d'action pour les atteindre, ensuite déployer d'où. On met en œuvre ce qu'on a prévu, on applique les politiques, qu'on déploie les mesures techniques, on forme les excits, on communique. Puis contrôler, check, on vérifie est ce qu'on fait et est efficace, est ce qu'on atteint nos objectifs? C'est là qu'on fait de la surveillance, des mesures, des audits interne, des revues de direction. Et enfin agir acte. En fonction de ce qu'on a contrôlé, on corrige ce qui ne va pas les non conformités et en cherche à faire mieux la prochaine fois à améliorer le système. Et hop, on repart pour un tour de planification. C'est ce cycle qui garantit le SMSIR reste vivant, pertinents, face aux évolutions. Un processus dynamique donc. Tout à fait. Et ce qui est vraiment au coeur de la phase planifiée et qui influence. Tout le reste c'est cette gestion des risques dont on parlait. C'est vraiment le pivot de l'iso 27001. C'est de l'analyse des risques que va découler le choix pertinent des mesures de sécurité à mettre en place. D'accord, la gestion des risques, c'est le moteur. Sans aller dans un niveau de détail qui nous perdrait, c'est quoi la logique générale de ce processus de gestion des risques dans la norme. La logique est assez naturelle en fait, d'abord il faut apprécier les risques. Ça se fait en trois étapes. Un, les identifiés. Lister tout ce qui pourrait mal tourner pour la confidentialité, l'intégrité ou la disponibilité de nos informations clés. De, les analyser. Pour chaque risque identifié, on essaie d'évaluer sa vraie semblance, la probabilité que ça arrive et les conséquences si ça arrive l'impact. Probabilité et impact toujours. Et souvent une combinaison des deux, à des critères que l'organisation a défini elle-même comme étant acceptable ou pas. Ça permet de faire le tri de prioriser. Quelles sont les risques qu'on doit absolument traiter? Et une fois qu'on a cette liste de risques prioritaires. Alors, on passe à la deuxième grande phase, le traitement des risques. Pour chaque risque jugée trop élevée, il faut choisir une option Le plus souvent, on choisit de modifier le risque. C'est-à-dire qu'on met en place des mesures de sécurité, des contrôles pour essayer de réduire soit la probabilité, soit l'impact, soit les deux. Mais il y a d'autres options possibles. On peut décider d'éviter le risque. Par exemple, en arrêtant une activité jugée trop risquée, on peut partager le risque. Par exemple, en prenant une assurance, ou en sous-trétant une partie à quelqu'un qui s'est mieux faits, ou dans certains cas, si le risque résiduel est faible, on peut décider de le conserver, de l'accepter en connaissance de cause. D'accord, on a plusieurs stratégies possibles. Et le choix des mesures de sécurité, des contrôles pour modifier le risque, est évidemment central. On va souvent piocher dans le catalogue de l'ANX-A de la norme, mais pas seulement. On peut aussi avoir des contrôles spécifiques à notre métier, ou issus d'autres référentiels. Et tout ce processus de choix doit être tracé, documenté dans un document très important, la déclaration d'applicabilité ou SOA, statement of applicability. La SOA, j'en ai entendu parler. C'est quoi exactement son rôle? C'est un peu la carte d'identité de la sécurité de l'organisation. Elle liste tous les contrôles de l'ANX-A, et pour chacun, elle dissit les applicables ou non à l'organisation. Et pourquoi? Si un contrôle est applicable, elle dissit les mises en oeuvre. Si un contrôle de l'ANX-A n'est pas choisie, il faut justifier pourquoi il n'est pas pertinent par rapport au risque identifié. Elle peut aussi listé des contrôles supplémentaires qui ne sont pas dans l'ANX-A mais que l'organisation a jugé nécessaire. En gros, la SOA, c'est la preuve que le choix des mesures de sécurité n'est pas fait au hasard, mais qu'il découle bien de l'analyse des risques. C'est le lien logique entre les risques et les actions. D'accord, c'est le document qui fait le pont. Et j'imagine que ce n'est pas un travail qu'on fait une seule fois. Anant, surtout pas, l'analyse des risques et donc la SOA doit être revue et misageau régulièrement. Au minimum, une fois parent ou dès qu'il y a des changements importants. Nouvelle activité, nouvelle outils, nouvelles menaces identifiés. C'est un processus vivant, iteratif. Compris, c'est beaucoup plus clair sur cette logique de risques. Maintenant, pour avoir une vue d'ensemble, comment la norme elle-même, le document et SOA-27001, structure toutes ces exigences. Alors, la norme SOA-27001, sur une structure qui est maintenant commune à la plupart des normes de systèmes de management de l'iso, c'est ce qu'on appelle la structure HLS, High Level Structure ou Un Execel. L'avantage, c'est que ça facilite l'intégration si une entreprise a déjà, par exemple, une certification ISO 9000 ans pour la qualité. Les chapitres principaux se ressemblent. Les exigences clés, c'est lequel il faut répondre pour être certifié, se trouve dans les chapitres 4 à 10. Sans entrer dans le détail de chaque clause, on peut les regrouper. D'abord, il faut bien comprendre son environnement, chapitre 4, contexte. Quelles sont nos enjeux interne, externes, qui sont les parties intéressées, qu'elle est le périmètre de notre SMSC? Ensuite, il faut un engagement fort de la direction, chapitre 5, leadership. C'est elle qui donne l'impulsion, définir la politique, de sécurité, attribuer les roues, les responsabilités. Exactement, sans ça, c'est difficile. Puis vient la planification, chapitre 6, c'est là qu'on retrouve notre gestion des risques, la définition des objectifs de sécurité qui doivent être alignés sur les objectifs métiers. Après, il faut se donner les moyens de ces ambitions, chapitres 7, support. Et ça couvre les ressources, humaines, financières, techniques, les compétences nécessaires, la sensibilisation de tout le monde, la communication et la gestion de toute l'information de commenter les procédures, les preuves. La pas-prasse nécessaire, quoi. Un peu, mais c'est surtout la preuve que les choses sont maîtrisées. Ensuite, le cœur de l'action, c'est le fonctionnement, chapitre 8, réalisation des activités opérationnelles, mettre en œuvre les plans, opérer les contrôles de sécurité aujourd'hui, réaliser l'appréciation et le traitement des risques de manière continue. Bien sûr, il faut évaluer si ça marche, chapitre 9, mettre en place de la surveillance, des indicateurs, faire des audits interne régulièrement organiser des revues de direction pour faire le point. Bien sûr, il faut évaluer si ça marche, chapitre 9. Et enfin, la boucle PDCA se referme avec l'amélioration, chapitre 10. Comment gère les problèmes quand ils surviennent, les non conformités, comment on met en place des actions pour corriger les causes profondes et comment on vise toujours à faire mieux à rendre le SMSC plus adapté, plus pertinent, plus efficace. Un cycle complet. Et cette fameuse annexa, elle se situe où là-dedans? L'annexa, c'est une liste. Une liste de références de 93 mesures de sécurité potentielle ont les appel des contrôles dans la version 2022. Elle est organisée en quatre grands thèmes, organisationnelle, politique, rôle, humain, sécurité et rache, sensibilisation, physique, accès au locaux, matériel et technologique, contrôle d'accès logique, chiffrement, sauvegard, réseau. Elle sert de penses bêtes de catalogue. Quand une organisation fait son traitement des risques, chapitre 6 et 8, elle doit regarder cette annexa pour s'assurer qu'elle n'a rien oublié d'important. Et comme on disait, elle doit justifier dans sa déclaration d'applicabilité, soit qu'elle contrôle de cette liste, elle a choisi de mettre en œuvre pour traiter ses risques et pourquoi elle en a éventuellement exclu d'autres. Donc l'annexa donne des idées de contrôle, mais le choix final dépend des risques propres à l'organisation. Exactement. L'annexa dit en quelque sorte quoi protéger, avec les objectifs de contrôle, mais c'est la norme ISO 27.2 qui va donner beaucoup plus de détails sur le comment implementer concrètement ces contrôles. Par exemple, l'annexa mentionne le contrôle 5.23, sécurité de l'information lors de l'utilisation de services en nuage cloud. La 27.2 va expliquer comment aborder la relation avec le fournisseur cloud, les responsabilités partagées, etc. D'accord, très bien. Juste pour situer, on a parlé du RGPD, de PCI DSS, est-ce que LISO 27.1 a des liens avec d'autres domaines comme le cloud par exemple? Oui, tout à fait. Par exemple, dans le monde du cloud, il y a la certification CSS Star, cloud security alliance. Très souvent, pour attendre l'inivose supérieure de cette certification, il faut d'abord avoir une certification ISO 27.1 comme socle. Et d'ailleurs, la norme 27.1, 2022, intégrée des contrôles spécifiques liés au cloud, comme celui que je viens de mentionner 5.23. De manière générale, les principes de l'ISO 27.1, la gestion des risques, l'approche structurée, les mesures techniques et organisationnelles sont vraiment fondamentaux pour répondre aux exigences de sécurité de beaucoup d'autres référentiels, même si ceci en parfois des exigences additionnelles très spécifiques. C'est une excellente base. Et tout ça. ISOIEU C27001, c'est le standard international pour mettre en place un système de management de la sécurité d'information. C'est une approche structurée, basée sur les risques, qui visent à protéger la confidentialité, l'intégrité et la disponibilité de l'information. C'est applicable à tout type d'organisation et ça apporte des bénéfices concrets en terme de sécurité renforcée, de meilleures gouvernances, d'aide à la conformité et de confiance des partenaires éclions. C'est bien ça? C'est une excellente synthèse, oui. Et comprendre cette logique, même sans être un expert en sécurité, c'est devenu essentiel aujourd'hui. L'information, c'est un actif majeur pour tout le monde, qu'on travaille dans l'informatique, les erraches, le juridique, le marketing, on manipule tous des informations sensibles. Césir les grands principes de ISOIEU C27001 permet de mieux comprendre le pourquoi, derrière beaucoup de règles ou de procédures de sécurité qu'on rencontre quotidien. Édréaliser que la sécurité ce n'est pas juste une contrainte, mais un élément clé pour que l'organisation fonctionne bien et durablement. Absolument. Et ça m'amène à une dernière pensée, une question qui reste peut-être en suspens. On a beaucoup parlé de normes, de processus, de certifications, de contrôle, c'est très structuré, très logique, mais au-delà de cocher les cases de la conformité, comment une organisation fait-il pour que tout ça devienne vraiment une culture? Comment faire pour que chaque personne, chaque collaborateur, se sentent vraiment concernés, adoptent les bons réflexes, pas juste parce qu'il y a une procédure, mais par conviction. Est-ce que finalement malgré toute la technologie, tous les systèmes, l'élément humain, ne reste pas la fois notre meilleur atout et notre plus grande fragilité dans tous dispositifs? Voilà de quoi réfléchir.