Présentation ISO 27000

Comment mettre en œuvre ISO 27001 ?

• Plan : Lors de cette phase vous devez définir le périmètre du SMSI. Il peut être défini selon des critères géographiques, selon les lignes de produit et/ou services que vous réalisez, ou des critères organisationnels. Une fois défini il est nécessaire de produire la politique du SMSI, autrement dit votre déclaration d'intention en termes de sécurisation. La politique doit contenir des objectifs et des mesures de sécurités formelles qui guideront le projet. Suite à cela il vous faut définir une méthode d'analyse des risques et initier cette démarche mais nous y reviendrons plus en détail dans ce billet. Enfin en fonction des résultats de l'analyse et des mesures de sécurité décidées vous devez réaliser une DdA (Déclaration d'Applicabilité), laquelle formalise en fonction des risques identifiés les mesures de sécurité à mettre en œuvre. Notez que les mesures non retenues devront être justifiées dans votre DdA Téléchargez ici un modèle de DdA.

Il est important dès à présent de rappeler, à vos équipes, la nécessité de sécuriser les actifs de l'entreprise. Ce message doit être soutenu au plus haut niveau hiérarchique, et porté par la Direction.
A l'issue de cette étape vous avez défini l'objectif à poursuivre il convient à présent de réaliser le projet, c'est la phase DO.

• Do : Il est important à ce stade de définir les rôles et responsabilités des personnes qui prendront en charge la gestion du projet, la mise en œuvre des mesures de sécurité, etc.
  A présent il s'agit de communiquer sur les objectifs induits par le SMSI et d'allouer les moyens nécessaires à l'exécution du projet.
  

Les ressources doivent prendre plusieurs formes tels que des recrutements spécifiques au projet, du temps alloué au projet pour les équipes, des lignes budgétaires spécifiques, des outils, et n'omettez surtout pas de former les porteurs de projets, et de sensibiliser l'ensemble des parties-prenantes.

Au regard de l'Analyse des risques réalisées à l'étape PLAN vous devez maintenant initier le déploiement des mesures de sécurité identifiées dans la DdA. Je rappelle que ces mesures ont un seul objectif réduire le risque à un niveau acceptable. Pour les risques acceptés il convient de ne rien faire. S'agissant des risques transférés il faut mettre en œuvre les assurances nécessaires, ou recourir à la sous-traitance, etc.

• Check : La troisième étape, dite de contrôle, a pour objectif de comparer ce qui a été planifié et ce qui a été mis en œuvre.
  
  Les outils permettant ces contrôles sont nombreux. Il s'agit des indicateurs, des tableaux de bord Sécurité, des rapports d'audit internes, des enregistrements et non-conformité produit par le SMSI, des incidents de sécurité, etc.
  
  Que vous poursuiviez un objectif de certification, ou simplement un objectif d'amélioration de la sécurité, ne perdez pas de vue que cette étape doit systématiquement donner lieu à la planification d'actions en réponse aux écarts constatés. C'est la finalité même du système de management.
  

• Act : Dernière étape du cycle de l'amélioration continue, la phase ACT est l'occasion de mettre en œuvre le plan d'action défini à l'étape CHECK.   Le plan doit être détaillé et inclure à minima l'action, sa date d'échéance, et le responsable de sa réalisation. A posteriori l'efficacité de chacune des actions doit être vérifiée.
  
  Lorsque vous avez réalisé une itération complète des 4 étapes présentées ci-dessus, vous devez reprendre à la phase PLAN et ré initier un cycle complet, et ainsi de suite. C'est ce qui garantie l'amélioration permanente de votre SMSI.
  

• Accepter le risque, c'est-à-dire le tolérer
• Eviter le risque
• Transférer le risque à un tiers par exemple
• Réduire le risque à un niveau acceptable  en appliquant les mesures appropriées
• Provisionner le risque, c'est-à-dire prévoir une somme en amont de la survenance du risque
  

Les étapes du projet d'Analyse des risques.

La première étape consiste à identifier les actifs "informationnels" tels que les applications, les bases de données, les services, les serveurs, de l'entreprise impliqués dans le périmètre du SMSI. Une fois listé il faut identifier le propriétaire de chacun d'eux. Avec ces derniers, vous êtes dorénavant en mesure d'identifier les menaces qui pèsent sur ces actifs, donc les vulnérabilités qui pourraient en découler.

Les impacts de ces vulnérabilités devront être catégorisés selon les enjeux (financiers, image de marque, etc.) qu'ils représentent pour l'entreprise selon des critères tels que la confidentialité, l'intégrité, la disponibilité.

A titre de précision les incidents devront être catégorisé en incident dit de "sécurité" si ils impactent un ou plusieurs critères tels qu'évoqués précédemment.

Quelles méthodes pour l'Analyse des Risques ?

Nous venons de le voir l'Analyse des Risques est une étape cruciale dans le déploiement d'ISO 27001. Avant de vous lancer dans cette démarche il faut choisir une méthode. Celles-ci sont nombreuses, on peut évoquer notamment ISO 27005, EBIOS, MEHARI, etc.

Sachez enfin que vous avez la possibilité d'utiliser une méthode interne, l'essentiel étant l'efficacité de la démarche et le caractère reproductible des résultats sur un périmètre identique.

Synthèse & conclusion.

Si le déploiement d'ISO 27001 garantie une reconnaissance internationale en termes d'utilisation de bonnes pratiques de Sécurité, la norme ne garantie pas un niveau de Sécurité. Nous l'avons vu ISO 27001 c'est avant tout un Système de Management Organisationnel adossé à des bonnes pratiques "techniques" avérées.

Enfin, il est primordial en amont de la démarche de se former sur les exigences afin d'en connaitre les tenants et aboutissants et garantir une adéquation du dispositif à vos besoins, et surtout à celui de vos parties prenantes.

En savoir plus : consultez la rubrique ISO 27001.