SMSI : le système de management de la sécurité de l'information exigé par ISO 27001

Un SMSI, système de management de la sécurité de l’information, est l’ensemble organisé des politiques, procédures, responsabilités et moyens par lesquels une organisation gère la sécurité de ses informations. En anglais : ISMS, Information Security Management System.

ISO/IEC 27001 en définit les exigences. La norme ne dicte pas quelles mesures techniques déployer : elle demande que l’organisation identifie ses risques, décide comment les traiter, applique ses décisions et vérifie qu’elles fonctionnent.

Le SMSI ne se confond donc ni avec un outil, ni avec un service informatique. C’est un dispositif de gouvernance, qui engage la direction et couvre un périmètre défini.

Le périmètre délimite ce que le système couvre : sites, activités, systèmes d’information. Il figure sur le certificat et conditionne la portée de celui-ci auprès des clients.

La politique de sécurité de l’information exprime l’engagement de la direction et fixe les orientations. Elle est approuvée au plus haut niveau.

L’appréciation des risques identifie ce qui peut porter atteinte à la confidentialité, à l’intégrité ou à la disponibilité des informations, puis évalue ces risques selon des critères définis par l’organisation. ISO/IEC 27005 propose une méthode ; en France, EBIOS Risk Manager est largement employée.

Le traitement des risques décide, pour chaque risque, de le réduire, de le transférer, de l’éviter ou de l’accepter.

La déclaration d’applicabilité recense les mesures de sécurité retenues et justifie celles qui ont été écartées. C’est le document pivot de l’audit : il relie l’analyse de risques aux mesures effectivement en place. ISO/IEC 27002 décrit ces mesures en détail.

Les preuves de fonctionnement, audits internes, revues de direction, indicateurs, traitement des incidents, démontrent que le système vit.

ISO 27001 structure le SMSI selon la logique Planifier-Déployer-Contrôler-Agir, souvent appelée roue de Deming.

L’organisation planifie en définissant son périmètre, sa politique et son traitement des risques. Elle déploie les mesures retenues. Elle contrôle au moyen d’audits internes, d’indicateurs et de revues de direction. Elle agit en corrigeant les écarts constatés et en ajustant ses décisions.

Ce cycle n’est pas une formalité documentaire : c’est ce que l’audit de certification vérifie en priorité. Un système figé depuis sa mise en place, sans audit interne ni revue, ne démontre pas son efficacité.

L’audit de certification ne consiste pas à dérouler une liste de contrôles techniques.

L’auditeur vérifie d’abord la cohérence : les risques identifiés correspondent-ils à l’activité réelle ? Les mesures retenues traitent-elles ces risques ? La déclaration d’applicabilité reflète-t-elle ce qui est en place ?

Il examine ensuite les preuves : le programme d’audit interne a-t-il été exécuté ? La revue de direction a-t-elle eu lieu, et a-t-elle produit des décisions ? Les incidents ont-ils été traités et ont-ils alimenté l’amélioration du système ?

Il évalue enfin l’implication de la direction, qui ne se déduit pas d’une signature sur une politique mais de décisions, d’arbitrages et de moyens alloués.

La directive NIS2 impose des mesures de gestion des risques aux entités essentielles et importantes, sans prescrire de référentiel. Un SMSI conforme à ISO 27001 couvre l’essentiel de ces mesures : analyse de risques, politique, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement.

Restent hors du champ de la norme la notification des incidents dans les délais réglementaires, la responsabilité personnelle des dirigeants et l’enregistrement auprès de l’autorité nationale.

Le périmètre est l’endroit où se jouent la plupart des difficultés.

Un périmètre trop étroit produit un certificat qui ne couvre pas le service attendu par le client : une mention limitée au siège social alors que la production est hébergée ailleurs, par exemple.

Un périmètre trop large allonge l’audit et mobilise des équipes sans bénéfice commercial proportionné.

Un périmètre mal défini, formulé en termes vagues, sans délimitation technique ni géographique, pose problème dès la recevabilité, car il ne permet pas de dimensionner l’audit.

Le périmètre est arrêté avant la contractualisation et figure sur le certificat. Son extension se traite lors d’un audit de surveillance ou de renouvellement.

Pour aller plus loin : la certification ISO 27001, les étapes de l’audit et NIS2 et ISO 27001.