Présentation générale de l’ISO 27002
- Définition : Norme internationale fournissant des lignes directrices détaillées pour l’implémentation des mesures de sécurité de l’information
- Version actuelle : ISO/IEC 27002 : 2022 (mise à jour de la version 2013)
- Objectif : Fournir des orientations concrètes pour la sélection, l’implémentation et la gestion des mesures de sécurité
- Approche : Basée sur les meilleures pratiques internationales et l’adaptation au contexte organisationnel
- Certification : Norme non certifiable servant de guide d’implémentation pour ISO 27001:2022
Structure de la norme et exigences principales
- Introduction, Domaine d’application et contexte d’utilisation
- Références normatives, Termes et définitions
- Contrôles organisationnels
- Contrôles liés aux personnes
- Contrôles physiques
- Contrôles technologiques
- Annexe A : Attributs et classification des mesures
- Annexe B : Correspondance avec ISO 27002:2013
- 93 mesures de sécurité réparties en 4 catégories (version 2022)
- Contrôles organisationnels
- Contrôles liés aux personnes
- Contrôles physiques
- Contrôles technologiques
Mise en œuvre pratique des mesures
- Évaluation des besoins : Analyse de risques et exigences réglementaires spécifiques à l’organisation
- Sélection adaptée : Choix des mesures basé sur le contexte organisationnel et les risques identifiés
- Personnalisation : Adaptation des mesures selon la taille, le secteur et la maturité de l’organisation
- Plan de déploiement : Priorisation selon la criticité, les interdépendances et les ressources disponibles
- Documentation : Procédures opérationnelles détaillées et guides d’implémentation spécifiques
- Métriques d’efficacité : Indicateurs de performance pour mesurer l’efficacité de chaque catégorie de mesures
Système d’attributs et classification
- Type de contrôle : Préventif, détectif, correctif
- Propriété de sécurité visée : Confidentialité, intégrité, disponibilité
- Concepts de cybersécurité (alignement NIST) : Identifier, protéger, détecter, répondre, récupérer
- Capacités opérationnelles : Ex. gouvernance, gestion des actifs, continuité
- Domaines de cybersécurité : Gouvernance et écosystème, protection, défense, résilience
Aspects techniques et opérationnels clés
- Contrôles organisationnels : Politiques de sécurité, gouvernance, gestion des fournisseurs, continuité
- Contrôles liés aux personnes : Vérification des antécédents, sensibilisation, formation, télétravail
- Contrôles physiques : Accès sécurisé, protection des équipements, zones de livraison, destruction sécurisée
- Contrôles technologiques : Gestion des accès, cryptographie, sécurité réseau, développement sécurisé
- Intégration processus : Alignement avec les processus métier existants et autres systèmes de management
- Surveillance continue : Monitoring de l’efficacité et adaptation aux évolutions des menaces
Bonnes pratiques pour l’implémentation
- Approche progressive : Déploiement par phases selon les priorités identifiées
- Formation ciblée : Sensibilisation adaptée aux rôles et responsabilités de chaque fonction
- Automatisation appropriée : Outils de gestion pour faciliter l’implémentation et le suivi
- Tests réguliers : Vérification de l’efficacité des mesures par tests et audits
- Amélioration continue : Révision et optimisation basées sur les retours d’expérience
- Alignement réglementaire : Prise en compte des exigences légales et contractuelles spécifiques
- Communication transparente : Information des parties prenantes sur les mesures mises en place
