Normes de sécurité : ISO 27001, SOC 2

L’ISO/IEC 27001 est la norme internationale pour faire fonctionner un système de management de la sécurité de l’information : une manière reproductible, pour une organisation, de décider quels risques de sécurité comptent, de les traiter et de s’améliorer en continu. Elle n’impose pas un jeu d’outils. Elle demande de comprendre votre contexte et vos obligations, d’impliquer la direction et d’attribuer les responsabilités, d’apprécier les risques, de choisir des mesures pour les traiter, de les appliquer, d’en mesurer l’efficacité, de mener des audits internes et des revues de direction, et de corriger les écarts. Son annexe liste des mesures de référence, des politiques et de la gestion des fournisseurs à la journalisation, à la surveillance et à la sécurité des réseaux, et vous justifiez celles que vous appliquez. Une organisation peut se faire auditer par un organisme de certification accrédité qui délivre un certificat, ce que les clients demandent en général. La certification couvre un périmètre défini : vérifiez toujours quels sites, services et équipes le certificat inclut réellement. Pour une entreprise moyenne, c’est un vrai projet, qui porte surtout sur les personnes et les processus plutôt que sur la technique.

C’est l’ensemble des politiques, rôles, processus et enregistrements par lesquels une organisation gère la sécurité de l’information de façon délibérée plutôt que par hasard. Un système de management de la sécurité de l’information (SMSI) répond en continu à quelques questions : quelles informations et quels systèmes comptent, quels risques les menacent, quelles mesures nous prenons, qui est responsable, comment nous savons que les mesures fonctionnent et comment nous progressons quand ce n’est pas le cas. Concrètement, il se compose de documents comme une politique de sécurité, une appréciation des risques et un plan de traitement, une déclaration des mesures applicables, des procédures pour les incidents et les fournisseurs, ainsi que de preuves qu’ils sont suivis : registres de formation, revues des accès, résultats d’audit et comptes rendus de revue de direction. On parle de système parce qu’il tourne selon un cycle planifier, faire, vérifier, agir. L’ISO/IEC 27001 en fixe les exigences, mais même les entreprises qui ne visent jamais la certification profitent de cette structure, et les obligations de gestion des risques de NIS2 s’y intègrent naturellement. Un outil de surveillance est une mesure à l’intérieur du système et une source de preuves, pas le système lui-même.

C’est le document qui reprend chaque mesure de référence de l’annexe de la norme et indique, pour chacune, si vous l’appliquez, pourquoi, et comment elle est mise en œuvre. La déclaration d’applicabilité (DdA, ou SoA en anglais) relie votre appréciation des risques à vos mesures : une mesure est retenue parce qu’elle traite un risque identifié ou répond à une obligation légale ou contractuelle, et exclue seulement avec une justification, par exemple parce que vous n’avez pas de locaux propres. Les auditeurs s’en servent comme d’une carte de votre SMSI et testent les mesures qu’elle revendique ; les clients la demandent parfois pour comprendre ce que couvre réellement votre certificat. Gardez-la courte et factuelle, citez la preuve de chaque mesure mise en œuvre et mettez-la à jour quand vos risques ou votre organisation changent. Une bonne entrée sur la surveillance nomme l’outil, les systèmes couverts, qui examine les résultats et où sont conservés les enregistrements. Si NetSenX fait partie de votre surveillance, sa carte du réseau, son historique d’alertes et son journal d’audit peuvent être cités comme preuves ; la déclaration reste votre document.

SOC 2 est un rapport d’attestation, défini par l’AICPA, l’organisme professionnel des experts-comptables américains, dans lequel un auditeur indépendant examine les contrôles d’un prestataire de services au regard des Trust Services Criteria. La sécurité est toujours incluse ; la disponibilité, l’intégrité du traitement, la confidentialité et la vie privée peuvent s’y ajouter. Le rapport décrit le système, les contrôles revendiqués par l’entreprise, les tests de l’auditeur et les écarts relevés, et il est en général communiqué aux clients sous accord de confidentialité. Les clients, surtout en Amérique du Nord, le demandent parce qu’il leur permet de s’appuyer sur un examen indépendant plutôt que d’auditer chaque fournisseur eux-mêmes. Ce n’est pas une certification et il n’y a pas de note de passage : on lit l’opinion de l’auditeur, le périmètre et les écarts. Quand un fournisseur vous en envoie un, vérifiez la période couverte, les services et sites inclus, les critères retenus et les contrôles complémentaires que vous êtes censé assurer de votre côté. NetSenX ne dispose pas aujourd’hui d’un rapport SOC 2 ; le SOC 2 Type I est en préparation.

Un rapport Type 1 examine si les contrôles sont conçus de manière appropriée et en place à une date donnée ; un rapport Type 2 vérifie en plus s’ils ont fonctionné efficacement sur une période, généralement plusieurs mois. Le Type 1 répond à « avez-vous les bons contrôles à cette date ? » ; le Type 2 à « ont-ils réellement fonctionné tout du long ? », d’où la préférence des clients qui dépendent d’un fournisseur. Un Type 2 exige des preuves collectées sur toute la période : revues d’accès faites à l’échéance, changements approuvés avant mise en production, incidents traités selon la procédure, alertes de surveillance examinées. Une entreprise commence souvent par un Type 1 pour corriger la conception, puis fait fonctionner les contrôles et collecte les preuves pour un Type 2. Quel que soit le type, vérifiez les dates, le périmètre, les critères couverts et chaque écart relevé par l’auditeur, et demandez comment il a été corrigé. NetSenX indique son propre statut clairement : le SOC 2 Type I est en préparation, aucun rapport SOC 2 d’aucun type n’a été émis, et un Type II suivrait une fois que les contrôles auront fonctionné sur une période.

Cela dépend surtout de vos clients et de ce qu’ils demandent. L’ISO/IEC 27001 est une certification internationale de votre système de management, largement reconnue en Europe et dans les marchés publics ; SOC 2 est un rapport d’attestation fondé sur des normes d’audit américaines, courant dans la vente de logiciels en Amérique du Nord. Beaucoup d’entreprises européennes de taille moyenne se voient d’abord demander l’ISO 27001, tandis que celles qui vendent des logiciels aux États-Unis rencontrent des questionnaires SOC 2. Les deux examinent en grande partie les mêmes mesures, donc le travail de fond se recoupe largement : appréciation des risques, contrôle d’accès, gestion des changements, gestion des fournisseurs, réponse aux incidents, journalisation et surveillance. Si vous avez besoin des deux à terme, construisez un seul ensemble de mesures et rattachez-le à chaque référentiel plutôt que de mener deux programmes. Avant de commencer, demandez à vos plus gros clients et prospects ce qu’ils acceptent, vérifiez si un questionnaire de sécurité rempli suffirait pour l’instant et définissez un périmètre assez étroit pour aboutir. Aucun des deux ne remplace les obligations NIS2. NetSenX ne dispose aujourd’hui ni de l’un ni de l’autre : le SOC 2 Type I et l’ISO/IEC 42001 sont en préparation.

L’ISO/IEC 42001 est la norme internationale pour un système de management de l’intelligence artificielle : les politiques, rôles, appréciations des risques et mesures par lesquels une organisation développe, fournit ou utilise l’IA de façon responsable. Elle suit la même structure de système de management que l’ISO/IEC 27001, si bien que les entreprises qui ont déjà un SMSI reconnaîtront le cycle contexte, leadership, planification, fonctionnement, évaluation et amélioration. Ce qui est propre à l’IA, c’est le contenu : évaluer l’impact des systèmes d’IA sur les personnes et la société, gérer les données d’entraînement et de test, documenter les systèmes tout au long de leur cycle de vie, définir le contrôle humain et traiter les composants d’IA de tiers. Elle peut être certifiée par un organisme accrédité. Ce n’est pas le règlement européen sur l’IA, et la détenir ne prouve pas à elle seule que vous en respectez les exigences, mais une grande partie du travail de gouvernance qu’elle impose y contribue. Pour une entreprise qui ne fait qu’utiliser des outils d’IA, un système complet peut être excessif ; un inventaire, une politique d’usage et la formation du personnel sont un bon début. NetSenX se prépare à l’ISO/IEC 42001 ; elle ne lui a pas été attribuée.

L’IEC 62443 est une série de normes internationales sur la sécurité des systèmes d’automatisation et de contrôle industriels, c’est-à-dire les technologies opérationnelles (OT) qui pilotent machines, usines et équipements de bâtiment. Elle répartit les responsabilités entre les exploitants qui font fonctionner les systèmes, les intégrateurs qui les installent sur un site et les fournisseurs de produits qui fabriquent les composants, et fixe des exigences propres à chacun. Ses idées centrales sont de diviser le réseau de l’usine en zones reliées par des connexions contrôlées, appelées conduits ; de fixer pour chaque zone des niveaux de sécurité cibles selon la menace ; et de maintenir la sécurité sur tout le cycle de vie, de la conception au démantèlement. Vous en avez besoin si les clients, assureurs ou autorités de votre secteur la demandent, ou si vous construisez ou fournissez des composants industriels ; beaucoup d’exploitants s’en servent aussi comme cadre pour leur propre sécurité OT sans viser la certification. La surveillance réseau rejoint son insistance sur la connaissance de qui communique avec quoi entre les zones. À partir de l’offre Pro, NetSenX lit passivement Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP et S7comm et n’interroge jamais les équipements OT ; ce n’est pas un système de sécurité fonctionnelle et il n’agit pas sur le procédé.

Pas automatiquement, même s’il couvre une grande partie du terrain. L’ISO/IEC 27001 apporte un système de management fondé sur les risques et des mesures qui recoupent largement les mesures de gestion des risques de cybersécurité exigées par NIS2, comme la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le contrôle d’accès et la cryptographie. Mais NIS2 est une loi et le certificat porte sur une norme volontaire, et ils diffèrent par endroits. NIS2 prévoit sa propre notification des incidents par étapes à une autorité nationale selon l’article 23, des obligations spécifiques pour les organes de direction, dont la formation et la responsabilité, un enregistrement auprès de l’autorité et des règles nationales qui peuvent aller plus loin. Un certificat ne couvre en outre que son périmètre déclaré, qui peut laisser de côté justement les services auxquels NIS2 s’applique. Servez-vous de votre SMSI comme colonne vertébrale : rattachez chaque mesure NIS2 à vos mesures, comblez les écarts comme la procédure de notification et la formation de la direction, et vérifiez que le périmètre inclut chaque service concerné. Consultez votre loi nationale de transposition et voyez si elle renvoie à des normes. NetSenX suit les délais de notification NIS2 par incident ; il n’évalue ni votre certificat ni votre situation au regard de NIS2.

Surtout pour les mesures de journalisation et d’activités de surveillance, et pour les mesures de sécurité des réseaux et de gestion des incidents qui les entourent. Dans l’édition 2022 de l’annexe, la journalisation (8.15) demande de produire, protéger et analyser des enregistrements d’activité, et les activités de surveillance (8.16) demandent de surveiller réseaux, systèmes et applications pour détecter les comportements anormaux et y réagir. La détection réseau fournit directement des preuves pour les deux. Elle soutient aussi la sécurité des réseaux (8.20), en montrant quels appareils communiquent entre segments, et les mesures de gestion des incidents, en donnant un point de départ daté pour apprécier les événements, y répondre et collecter des preuves. L’inventaire des actifs en profite également, car une carte du réseau révèle des appareils absents de votre liste. La surveillance ne couvre ni les droits d’accès, ni les sauvegardes, ni le développement sécurisé, ni les contrats fournisseurs : n’étirez pas la correspondance. Dans votre déclaration d’applicabilité, nommez l’outil, les segments couverts, qui examine les alertes et où sont conservés les enregistrements. La carte du réseau, l’historique d’alertes et le journal d’audit de NetSenX, dans chaque offre, ainsi que ses rapports de conformité PDF dès l’offre Starter, peuvent servir de preuves.

Pas aujourd’hui, et nous le disons clairement. NetSenX ne détient ni certificat ISO/IEC 27001 ni rapport SOC 2. Le SOC 2 Type I et l’ISO/IEC 42001 sont en préparation : le travail est en cours et rien n’a été attribué ; nous mettrons cette page à jour lorsqu’un organisme indépendant délivrera un document vérifiable. Ce que vous pouvez vérifier dès maintenant : l’accord de traitement des données publié sur le site, avec la liste des sous-traitants ultérieurs et leur localisation ; le lieu de stockage des données clients, avec la base de données en Irlande et l’API à Francfort et à Paris ; la page sécurité ; et notre politique de divulgation responsable des vulnérabilités. Nous répondons aux questionnaires de sécurité ; si vos achats exigent un certificat que nous ne pouvons pas encore fournir, dites-le-nous tôt pour décider en connaissance de cause plutôt que de le découvrir tard. Certains de nos sous-traitants ultérieurs détiennent leurs propres certifications, indiquées dans l’accord de traitement des données ; elles couvrent leurs services, pas NetSenX. Si un fournisseur invoque un certificat, demandez le certificat lui-même, son périmètre et l’organisme émetteur, et vérifiez-le auprès de cet organisme.

C’est un cadre gratuit du National Institute of Standards and Technology (NIST) américain qui décrit les résultats de cybersécurité qu’une organisation devrait viser, organisés en fonctions Govern, Identify, Protect, Detect, Respond et Recover. La version 2.0 a ajouté Govern, qui couvre la stratégie, les rôles, les politiques, la gestion des risques et le risque lié à la chaîne d’approvisionnement, et a élargi le cadre des infrastructures critiques à toutes les organisations, quels que soient leur taille et leur secteur. Ce n’est pas une certification et il n’impose aucun outil ; vous décrivez votre profil actuel, fixez un profil cible et planifiez comment combler l’écart, des niveaux de mise en œuvre décrivant la maturité de votre démarche. Des entreprises européennes l’utilisent comme une structure claire, bien qu’il ne s’agisse pas de droit européen, souvent avec l’ISO/IEC 27001 et NIS2, auxquelles il se rattache bien. La détection réseau relève surtout de Detect, par la surveillance continue et l’analyse des événements indésirables, et soutient Respond en informant sur ce qui s’est passé. NetSenX couvre une partie de Detect sur les segments surveillés : beaconing, scans, mouvements latéraux et volumes sortants inhabituels, dans chaque offre. Govern, Protect et Recover demandent d’autres mesures.

L’IT-Grundschutz est la méthode de sécurité de l’Office fédéral allemand de la sécurité des technologies de l’information (BSI), largement utilisée par les administrations et entreprises allemandes. Elle se compose de standards du BSI qui décrivent comment construire un système de management de la sécurité de l’information, déterminer les besoins de protection et traiter les risques, et d’un compendium de modules contenant des exigences concrètes pour des composants typiques comme les serveurs, réseaux, applications, bâtiments et processus. Au lieu de recommencer chaque analyse de risques de zéro, vous modélisez votre environnement avec les modules pertinents et appliquez leurs exigences, en n’analysant les risques à part que là où les besoins de protection sont élevés ou qu’aucun module ne convient. Une certification ISO 27001 fondée sur l’IT-Grundschutz peut être obtenue par l’intermédiaire du BSI, combinant les deux approches. La méthode est détaillée et peut peser sur une petite entreprise, mais ses modules constituent une liste de contrôle gratuite et pratique, même sans viser la certification, et aident pour les obligations NIS2 allemandes issues du BSIG. Ses modules réseau comportent des exigences de journalisation et de détection que la surveillance réseau aide à prouver. NetSenX n’évalue pas la conformité au Grundschutz.

Une certification est la décision, par un organisme accrédité, que vous satisfaites à une norme, consignée dans un certificat ; un rapport d’attestation est l’opinion d’un auditeur sur vos contrôles, avec le détail de ce qui a été testé. L’ISO/IEC 27001 fonctionne par certification : un organisme de certification accrédité audite votre système de management, délivre un certificat pour un périmètre défini et continue de vérifier par des audits de surveillance jusqu’au renouvellement. SOC 2 fonctionne par attestation : un auditeur indépendant teste vos contrôles au regard de critères et rédige un rapport avec son opinion et les écarts éventuels, que vous partagez sous accord de confidentialité. En pratique, un certificat se vérifie et se compare facilement mais dit peu de choses du détail ; un rapport en dit beaucoup plus mais doit être lu, y compris son périmètre, sa période, ses écarts et les contrôles qui vous incombent. L’un comme l’autre ne vaut que si son périmètre correspond au service que vous achetez. Méfiez-vous des fournisseurs qui présentent une auto-évaluation, une politique ou un diagnostic de préparation réalisé par un consultant comme l’un ou l’autre. NetSenX ne dispose aujourd’hui ni de l’un ni de l’autre ; le SOC 2 Type I et l’ISO/IEC 42001 sont en préparation.

Commencez par le périmètre et les preuves, pas par des documents pour eux-mêmes. Fixez d’abord le périmètre : quelle organisation, quels sites, services et systèmes le certificat couvrira, choisis pour compter aux yeux des clients et pouvoir aboutir. Faites ensuite le travail de fond qu’exige la norme : appréciation et plan de traitement des risques, déclaration d’applicabilité, politiques et procédures obligatoires, rôles attribués, sensibilisation du personnel et mesures qui fonctionnent réellement. Laissez-les fonctionner assez longtemps pour produire des enregistrements, comme des revues d’accès, des approbations de changements, des tickets d’incident, des contrôles de fournisseurs et des revues de surveillance, car les auditeurs vérifient des preuves de fonctionnement, pas des intentions. Menez un audit interne et une revue de direction avant l’audit externe, et corrigez ce qu’ils révèlent. Les audits de certification se déroulent en général en deux étapes : d’abord une revue de la documentation et de la préparation, puis une évaluation du fonctionnement réel du système. Choisissez un organisme de certification accrédité et séparez le consultant qui vous accompagne de l’auditeur. Pour les mesures de surveillance, la carte du réseau, l’historique d’alertes, le journal d’audit et les rapports de conformité PDF de NetSenX peuvent faire partie de vos preuves ; NetSenX n’audite ni ne certifie rien.