Qu’est-ce qu’un système de management de la sécurité de l’information ?

C’est l’ensemble des politiques, rôles, processus et enregistrements par lesquels une organisation gère la sécurité de l’information de façon délibérée plutôt que par hasard. Un système de management de la sécurité de l’information (SMSI) répond en continu à quelques questions : quelles informations et quels systèmes comptent, quels risques les menacent, quelles mesures nous prenons, qui est responsable, comment nous savons que les mesures fonctionnent et comment nous progressons quand ce n’est pas le cas. Concrètement, il se compose de documents comme une politique de sécurité, une appréciation des risques et un plan de traitement, une déclaration des mesures applicables, des procédures pour les incidents et les fournisseurs, ainsi que de preuves qu’ils sont suivis : registres de formation, revues des accès, résultats d’audit et comptes rendus de revue de direction. On parle de système parce qu’il tourne selon un cycle planifier, faire, vérifier, agir. L’ISO/IEC 27001 en fixe les exigences, mais même les entreprises qui ne visent jamais la certification profitent de cette structure, et les obligations de gestion des risques de NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises. s’y intègrent naturellement. Un outil de surveillance est une mesure à l’intérieur du système et une source de preuves, pas le système lui-même.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes