Qu’est-ce que l’ISO/IEC 27001, en termes simples ?

L’ISO/IEC 27001 est la norme internationale pour faire fonctionner un système de management de la sécurité de l’information : une manière reproductible, pour une organisation, de décider quels risques de sécurité comptent, de les traiter et de s’améliorer en continu. Elle n’impose pas un jeu d’outils. Elle demande de comprendre votre contexte et vos obligations, d’impliquer la direction et d’attribuer les responsabilités, d’apprécier les risques, de choisir des mesures pour les traiter, de les appliquer, d’en mesurer l’efficacité, de mener des audits internes et des revues de direction, et de corriger les écarts. Son annexe liste des mesures de référence, des politiques et de la gestion des fournisseurs à la journalisation, à la surveillance et à la sécurité des réseaux, et vous justifiez celles que vous appliquez. Une organisation peut se faire auditer par un organisme de certification accrédité qui délivre un certificat, ce que les clients demandent en général. La certification couvre un périmètre défini : vérifiez toujours quels sites, services et équipes le certificat inclut réellement. Pour une entreprise moyenne, c’est un vrai projet, qui porte surtout sur les personnes et les processus plutôt que sur la technique.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes