Norme ISO/IEC 27001 SMSI • risques • contrôles • preuves
ISO/IEC 27001

La sécurité qui se prouve sans paralyser l’organisation.

ISO/IEC 27001 structure un SMSI piloté par les risques : décisions, contrôles, rôles, suivi et preuves. On le rend applicable : priorisé, mesurable, défendable en audit.

Risques
menaces • impacts • décisions
Contrôles
accès • logs • protection
Preuves
efficacité • audit • suivi
Objectif : un SMSI “vivant” - priorités claires, contrôles opérables, preuves faciles à sortir.

Ce que la norme exige “en vrai”

  • Un registre de risques cohérent et tenu à jour.
  • Des contrôles choisis et justifiés (applicabilité).
  • Des rôles clairs (responsabilités et décisions).
  • Des incidents gérés et utilisés pour s’améliorer.
SMSI SoA (Déclaration d’applicabilité) Accès Incidents
Livrable attendu
Registre de risques + Déclaration d’applicabilité + contrôles prioritaires en place + mécanisme de suivi et de preuve.

Ce qu’on met en place

On sécurise ce qui compte vraiment : priorités, contrôles opérables, preuves, et un rythme de pilotage.

Registre de risques
Menaces, impacts, scénarios, décisions et traitement.
SoA (applicabilité)
Contrôles retenus, justifications, périmètre, preuves.
Contrôles clés
Accès, journalisation, sauvegardes, durcissement, tiers.
Pilotage & preuves
Indicateurs, revues, incidents, actions, audit interne.

Ce que l’audit regarde

L’audit vérifie la maîtrise : risques à jour, contrôles appliqués, preuves disponibles, et décisions traçables.

Point clé
La chaîne complète : risques → applicabilité → contrôles → preuves → revue → amélioration.
À surveiller en priorité
  • Risques “théoriques” sans traitement ni propriétaires.
  • Déclaration d’applicabilité incohérente : contrôles non justifiés ou non prouvés.
  • Accès et journaux insuffisants (ou inexploités).
  • Incidents non tracés : pas d’apprentissage, pas d’amélioration.

ISO/IEC 27001 - Détails

Contenu complet : positionnement, bénéfices et approche d’implantation.

ISO/IEC 27001 définit un cadre de management de la sécurité de l’information (SMSI). Le cœur du système : gérer les risques, choisir des contrôles adaptés, et démontrer l’efficacité.

Une certification solide repose sur un périmètre clair, des responsabilités nettes, et une traçabilité continue.

  1. Réduire l’exposition : prioriser les risques réels.
  2. Standardiser les contrôles : accès, sauvegardes, journaux, tiers.
  3. Accélérer les audits : preuves structurées et retrouvables.
  4. Renforcer la confiance : clients, partenaires, donneurs d’ordre.
  5. Améliorer en continu : incidents → actions → efficacité.

On part des actifs et des flux critiques, puis on construit un SMSI priorisé : registre de risques, Déclaration d’applicabilité cohérente, contrôles opérables, et un mécanisme de preuve qui ne dépend pas d’une personne.

Positionnement : pas “plus de documents”, mais plus de contrôle, plus de preuve, plus de décisions.