1.
Définitions :
Une norme est un ensemble de bonnes pratiques visant à protéger les systèmes, réseaux et
données contre les cybermenaces. Elle assure la confidentialité, l’intégrité et la disponibilité des
informations pour réduire les risques et garantir la sécurité.
ISO (International Organization for Standardization) est une organisation mondiale qui crée des
normes pour harmoniser les pratiques dans divers secteurs. La certification ISO est une procédure par
laquelle une tierce partie atteste qu'un produit, service ou processus respecte les exigences définies.
2.Importance :
Les normes ISO assurent la sécurité et la qualité des produits et services, facilitent le commerce
international et contribuent à l'amélioration de l'environnement. Elles renforcent également la crédibilité
et la confiance auprès des consommateurs, clients et partenaires.
3.But :
Les normes ISO visent à faciliter les échanges et la coopération à l’échelle mondiale. Elles
garantissent que les produits et services sont sûrs, fiables et de qualité.
4.Organe de délivrance de la norme ISO :
Les normes ISO sont élaborées par des groupes d'experts du monde entier, organisés en comités
techniques qui collaborent pour créer ces normes.
5.Comité de contrôle de la norme ISO :
Le contrôle des normes ISO est assuré par la commission de sécurité. Pour la sécurité informatique,
cela relève du sous-comité SC27, qui fait partie du comité technique ISO/IEC JTC1, spécialisé dans les
technologies de l’information et la cybersécurité.
6. Différents types de normes ISO :
• ISO 9001 : Management de la qualité
• ISO 14001 : Management environnemental
• ISO 45001 : Santé et sécurité au travail
• ISO 27001 : Sécurité des systèmes d’information
• ISO 22000 : Sécurité alimentaire
• ISO 50001 : Management de l’énergie
• ISO 26000 : Responsabilité sociétale
7-Etapes de l’élaboration d’une norme ISO :
- Proposition
- Préparation
- Comité
- Enquêtes publiques
- Approbation finale
- Publication
- Révision et mises à jour
Chapitre 2:
1. Contexte de la norme ISO 27001
La norme ISO 27001 est un standard de gouvernance en cybersécurité, similaire à ISO 9001 (qualité) et
ISO 14001 (environnement). Elle vise à contrôler l'utilisation des actifs et ressources d'une organisation
pour assurer la sécurité de l'information.
-La gouvernance : est définie comme le processus qui consiste à contrôler l’utilisation des actifs et
ressources pour accomplir la mission de l’organisation.
2. Historique de la norme ISO 27001
Avant d’être adoptée par l’ISO, cette norme était d’origine britannique et existait sous la référence (British
Standards Institution) BSI 7799-1 et BSI 7799-2. Elle a été intégrée à l’ISO au début des années 2000 pour
devenir un standard international en matière de gestion de la sécurité de l’information.
3. Domaine adressé par la norme :
La norme ISO 27001 définit un système de management de la sécurité de l'information (SMSI). Elle
protège les données contre les accès, modifications, destructions et divulgations non autorisés. Elle englobe
des mesures physiques (surveillance, contrôle d’accès), techniques (sécurité réseau et système),
organisationnelles (sensibilisation, recrutement) et procédurales (politiques de sécurité, protocoles).
4. Usage actuel de la norme :
ISO 27001, aide les entreprises à respecter les réglementations en matière de sécurité de l’information et
à réduire les risques. Elle impose un contrôle continu des mesures mises en place, des audits et des
améliorations pour renforcer la maturité en cybersécurité, tout en s’adaptant aux ressources disponibles.
Chapitre 3
II. Mise en place du Système de Management de la Sécurité de l’Information (SMSI)
1. Mise en place du SMSI
La mise en œuvre d’un SMSI doit répondre aux exigences de la norme ISO 27001, qui définit un
cadre pour la gouvernance et l’organisation de la sécurité de l’information. Ce référentiel établit les bonnes
pratiques et les mesures à adopter pour assurer la protection des données et la gestion des risques liés à la
sécurité.
Un programme de sécurisation technique des infrastructures et des services doit être déployé afin
d’atteindre la conformité. Une fois ces exigences respectées, l’entreprise peut demander la certification ISO
27001, délivrée par un organisme indépendant. Cette certification atteste que le SMSI mis en place est
conforme aux exigences de l’ISO 27001 et s’appuie sur les bonnes pratiques définies dans ISO 27002.
2. Méthodologie pour répondre aux exigences de la norme ISO 27001
La mise en place du SMSI repose sur une organisation structurée intégrant des processus,
responsabilités et actions visant à renforcer la sécurité de l’information. La norme ISO 27001 impose ainsi
:
- Une gouvernance et une stratégie adaptées à la sécurité de l’information
- Des processus permettant de garantir la maîtrise des risques
- Des méthodes d’analyse et de gestion des risques
- Des mécanismes de mesure, suivi et amélioration continue
- Une définition claire des responsabilités liées à la sécurité
3. Déroulement du processus de certification
Une fois le SMSI en place et fonctionnel, l’entreprise doit solliciter un organisme accrédité pour obtenir la
certification. Le processus se déroule en plusieurs étapes :
1. Dépôt du dossier auprès de l’organisme certificateur
2. Pré-audit (généralement d’une journée) pour évaluer la conformité du SMSI et vérifier sa capacité à être
audité
3. Audit de certification sur site (première année)
4. Examen du rapport par une commission
5. Décision de certification (favorable ou avec des non-conformités à corriger) dans un délai d’environ un
mois
Une fois la certification obtenue, un audit de suivi annuel est effectué.
La certification est valable trois ans, après quoi un audit complet de renouvellement doit être réalisé.
4. Bénéfices de la norme ISO
- Un levier de croissance : gagner de nouveaux marchés ou projets
- Renforcer la confiance : permet d’assurer la sécurité et la protection des données
- Structurer ses process sécurité : amener plus d’organisation et de structures dans votre
politique sécurité et vos process
- Se différencier de la concurrence : la certification est un véritable avantage commercial pour
décrocher de nouveaux clients
- Assurer le respect de la réglementation : garantir à ses clients le respect de la réglementation
- Meilleure maîtrise des risques : mieux maîtriser les risques liés à la protection des données et
la continuité des services
