SMSI : le système de management de la sécurité de l'information exigé par ISO 27001

Un SMSI, système de management de la sécurité de l’information, est l’ensemble organisé des politiques, procédures, responsabilités et moyens par lesquels une organisation gère la sécurité de ses informations. En anglais : ISMS, Information Security Management System.

ISO/IEC 27001 en définit les exigences. La norme ne dicte pas quelles mesures techniques déployer : elle demande que l’organisation identifie ses risques, décide comment les traiter, applique ses décisions et vérifie qu’elles fonctionnent.

Le SMSI ne se confond donc ni avec un outil, ni avec un service informatique. C’est un dispositif de gouvernance, qui engage la direction et couvre un périmètre défini.

Le périmètre délimite ce que le système couvre : sites, activités, systèmes d’information. Il figure sur le certificat et conditionne la portée de celui-ci auprès des clients.

La politique de sécurité de l’information exprime l’engagement de la direction et fixe les orientations. Elle est approuvée au plus haut niveau.

L’appréciation des risques identifie ce qui peut porter atteinte à la confidentialité, à l’intégrité et à la disponibilité de l’information, un même risque pouvant toucher plusieurs de ces critères à la fois, puis évalue ces risques selon des critères définis par l’organisation. ISO/IEC 27005 propose une méthode ; en France, EBIOS Risk Manager est largement employée.

Le traitement des risques consiste à choisir des options de traitement appropriées au vu de l’appréciation, puis à déterminer les mesures nécessaires pour les mettre en œuvre. La norme ne prescrit pas de liste d’options : il revient à l’organisation de définir celles qui sont efficaces dans son contexte.

La déclaration d’applicabilité recense les mesures de sécurité nécessaires, indique si elles sont mises en œuvre et justifie aussi bien leur inclusion que l’exclusion des autres mesures de l’annexe A. L’absence de justification, y compris pour une mesure retenue, constitue une non-conformité. C’est le document pivot de l’audit : il relie l’analyse de risques aux mesures effectivement en place. ISO/IEC 27002, de son côté, « donne des recommandations à l’intention des organisations qui cherchent à établir et mettre en œuvre un système de management de la sécurité de l’information (SMSI) axé sur la cybersécurité, et à améliorer ce dernier ».

Les preuves de fonctionnement, audits internes, revues de direction, indicateurs, traitement des incidents, démontrent que le système vit.

ISO 27001 structure le SMSI selon la logique Planifier-Déployer-Contrôler-Agir, souvent appelée roue de Deming.

L’organisation planifie en définissant son périmètre, sa politique et son traitement des risques. Elle déploie les mesures retenues. Elle contrôle au moyen d’audits internes, d’indicateurs et de revues de direction. Elle agit en corrigeant les écarts constatés et en ajustant ses décisions.

Ce cycle n’est pas une formalité documentaire : c’est ce que l’audit de certification vérifie en priorité. Un système figé depuis sa mise en place, sans audit interne ni revue, ne démontre pas son efficacité.

L’audit de certification ne consiste pas à dérouler une liste de contrôles techniques.

L’auditeur vérifie d’abord la cohérence : les risques identifiés correspondent-ils à l’activité réelle ? Les mesures retenues traitent-elles ces risques ? La déclaration d’applicabilité reflète-t-elle ce qui est en place ?

Il examine ensuite les preuves : le programme d’audit interne a-t-il été exécuté ? La revue de direction a-t-elle eu lieu, et a-t-elle produit des décisions ? Les incidents ont-ils été traités et ont-ils alimenté l’amélioration du système ?

Il évalue enfin l’implication de la direction, qui ne se déduit pas d’une signature sur une politique mais de décisions, d’arbitrages et de moyens alloués.

La directive NIS2 impose des mesures de gestion des risques aux entités essentielles et importantes, sans prescrire de référentiel. Un SMSI conforme à ISO 27001 couvre l’essentiel de ces mesures : analyse de risques, politique, gestion des incidents, continuité, sécurité de la chaîne d’approvisionnement.

La notification des incidents dans les délais réglementaires, la responsabilité des dirigeants et l’enregistrement auprès de l’autorité nationale relèvent de la directive, pas de la norme. Ils n’échappent pas pour autant à l’audit : lorsque NIS2 s’applique à l’organisation, la mesure A.5.31 d’ISO 27001 (exigences légales, statutaires, réglementaires et contractuelles) conduit l’auditeur à vérifier que ces obligations sont identifiées et prises en compte.

Le périmètre est l’endroit où se jouent la plupart des difficultés.

Un périmètre trop étroit produit un certificat qui ne couvre pas le service attendu par le client : une mention limitée au siège social alors que la production est hébergée ailleurs, par exemple.

Un périmètre trop large allonge l’audit et mobilise des équipes sans bénéfice commercial proportionné.

Un périmètre mal défini, formulé en termes vagues, sans délimitation technique ni géographique, pose problème dès la recevabilité, car il ne permet pas de dimensionner l’audit.

Le périmètre est arrêté avant la contractualisation et figure sur le certificat. Il peut être étendu à tout moment, lors d’un audit d’extension distinct, ou à l’occasion d’un audit de surveillance ou de renouvellement.

Pour aller plus loin : la certification ISO 27001, les étapes de l’audit et NIS2 et ISO 27001.