La vision de Cyber Academy
Un ISMS est le système documenté que vous pilotez pour protéger vos actifs informationnels. Il est fondé sur le risque, étayé par des preuves et soumis à la revue de direction. Ce n'est pas un classeur de politiques. Les auditeurs ne notent pas vos politiques ; ils notent vos preuves d'exploitation. Cycle Plan-Do-Check-Act, certifié ISO/IEC 27001, avec la déclaration d'applicabilité comme artefact central.
Ce qu'est réellement un SMSI
Un système de management de la sécurité de l'information est le système d'exploitation que vous faites tourner pour protéger les actifs informationnels de manière délibérée et reproductible. Le mot qui compte le plus est « système ». Ce ne sont pas les outils de sécurité, et ce n'est pas un dossier de politiques approuvées posé sur un disque partagé.
C'est l'ensemble des processus, rôles, décisions et enregistrements par lesquels une organisation identifie les informations qu'elle doit protéger, décide du niveau de risque qu'elle est prête à accepter, choisit les mesures de sécurité pour traiter ce risque, puis prouve que ces mesures fonctionnent réellement dans la durée. Une politique dit ce qui devrait se passer. Un SMSI est la machinerie qui le fait se produire et qui génère la preuve que cela a bien eu lieu.
Ses caractéristiques déterminantes sont qu'il est fondé sur les risques et étayé par des preuves, et qu'il fonctionne sous revue de direction. Fondé sur les risques signifie que les mesures de sécurité ne sont pas choisies dans une liste de souhaits mais justifiées par une évaluation documentée des menaces pesant sur des actifs précis. Étayé par des preuves signifie que chaque mesure dispose d'artefacts qui la soutiennent : revues d'accès effectivement réalisées, journaux surveillés, incidents traités, formations dispensées. La revue de direction signifie que la direction est propriétaire du système, fixe ses objectifs et inspecte périodiquement s'ils sont atteints. Retirez l'un de ces trois éléments et vous avez un programme de sécurité, pas un système de management.
Pourquoi les auditeurs notent les preuves, pas les politiques
Un malentendu courant et coûteux consiste à croire que la certification porte sur le fait d'avoir une bonne documentation. Ce n'est pas le cas. Un auditeur de certification suppose que vous savez rédiger une politique de contrôle d'accès compétente. Ce qu'il est là pour vérifier, c'est si votre réalité opérationnelle correspond à ce que vos documents prétendent.
Il demandera à voir la dernière revue d'accès et vérifiera qu'elle a bien été menée à terme, échantillonnera des tickets pour confirmer que les changements ont été autorisés, et tracera un incident depuis sa détection jusqu'aux enseignements tirés. De jolies politiques sans aucune preuve opérationnelle derrière elles échouent aux audits. C'est pourquoi les praticiens décrivent le SMSI comme quelque chose que l'on fait tourner, pas quelque chose que l'on rédige.
Plan-Do-Check-Act : comment le système reste vivant
Un SMSI est conçu pour s'améliorer continuellement plutôt que d'être perfectionné une seule fois. La plupart des mises en œuvre suivent le cycle Plan-Do-Check-Act, qui maintient le système honnête :
- Plan : établir le domaine d'application, apprécier les risques, fixer les objectifs de sécurité et sélectionner les mesures pour traiter les risques que vous avez identifiés.
- Do : mettre en œuvre et exploiter ces mesures et les processus de support au quotidien.
- Check : surveiller, mesurer, auditer en interne et mener des revues de direction pour voir si les mesures fonctionnent et si les objectifs sont atteints.
- Act : corriger ce qui échoue, traiter les causes profondes des non-conformités et réinjecter les améliorations dans le cycle suivant.
Cette boucle est ce qui distingue un SMSI vivant d'un effort de conformité ponctuel. Un registre des risques passé en revue une fois par an et plus jamais touché ensuite n'est pas un SMSI en quelque sens utile que ce soit, même s'il a produit un certificat à un moment donné.
Sa place parmi les concepts voisins
Le SMSI est le cadre, certifié selon l'ISO/IEC 27001, la norme internationale qui spécifie les exigences auxquelles un système de management doit satisfaire. L'ISO/IEC 27001 est la norme d'exigences certifiable ; des guides d'accompagnement tels que l'ISO/IEC 27005 soutiennent le travail d'appréciation et de traitement des risques qui l'alimente. On confond souvent le SMSI avec les mesures de sécurité qu'il contient, mais ces mesures sont des entrées que le système sélectionne et exploite. Elles ne sont pas le système. La discipline du SMSI réside précisément dans le fait qu'il rattache chaque mesure à un risque et chaque risque à une décision documentée prise par des personnes qui en sont responsables.
Questions fréquentes
01Un SMSI est-il la même chose que l'ISO 27001 ?
Pas tout à fait. Un SMSI est le système de management lui-même : les processus et les preuves que vous faites tourner pour protéger l'information. L'ISO/IEC 27001 est la norme qui spécifie ce qu'un tel système doit contenir, et le référentiel par rapport auquel un SMSI peut être certifié. Vous pouvez exploiter un SMSI sans le certifier, mais la certification signifie qu'un organisme accrédité a audité le vôtre par rapport à l'ISO 27001.
02Qu'est-ce que la déclaration d'applicabilité et pourquoi est-elle si importante ?
La déclaration d'applicabilité, ou SoA, est le document qui liste chaque mesure de référence, indique si elle s'applique à votre organisation, et justifie chaque décision au regard de votre appréciation des risques. C'est l'artefact central d'un SMSI parce qu'il relie vos risques à vos mesures de sécurité, et les auditeurs s'en servent comme carte pour tout le reste de ce qu'ils inspectent.
03Avons-nous besoin de chaque mesure pour nous certifier ?
Non. Les mesures sont sélectionnées en fonction de votre appréciation des risques, et des exclusions sont permises tant qu'elles sont justifiées dans la déclaration d'applicabilité et ne compromettent pas votre capacité à gérer les risques dans le périmètre. L'objectif est une sélection défendable et fondée sur les risques, pas une couverture maximale pour elle-même.
04Combien de temps faut-il pour mettre en place un SMSI ?
Cela varie largement selon le périmètre, la taille de l'organisation et le degré de maturité des pratiques de sécurité déjà en place. La contrainte la plus forte est généralement la preuve : un SMSI a besoin de mesures qui fonctionnent depuis assez longtemps pour produire des enregistrements qu'un auditeur peut échantillonner ; ainsi, même une organisation bien préparée a besoin d'une période d'exploitation avant qu'un audit de certification ait du sens.
05Qui est propriétaire du SMSI en interne ?
La responsabilité incombe à la direction générale, qui doit faire preuve de leadership, fixer les objectifs et conduire les revues de direction. La coordination au quotidien est typiquement menée par un responsable de la sécurité de l'information ou un rôle équivalent, mais la propriété ne peut pas être déléguée hors de la direction sans rompre l'exigence de revue de direction qui est au cœur de la norme.