Quatrième chapitre de notre histoire ISO 27001 écrite par nos experts. Découvrez les pièges les plus courants que vous pourriez rencontrer lors d’une mise en œuvre de la norme ISO 27001.
Le bon champ d’application : trop ambitieux ou pas assez
Définir le champ d’application adéquat pour la mise en œuvre d’un SGSI (système de gestion de la sécurité de l’information) peut s’avérer délicat. D’une part, certaines organisations importantes et complexes pourraient surestimer la planification et adopter une approche « trop ambitieuse » comprenant un grand nombre de tâches, d’activités et de ressources non nécessaires. En conséquence, le risque de gaspiller des ressources, de ne pas atteindre l’objectif et de démotiver l’équipe augmentera probablement.
D’autre part, les organisations qui réduisent trop leur champ d’application (par exemple en excluant certains contrôles de la déclaration d’applicabilité ou en négligeant certaines de leurs interfaces lors de la définition des limites de leur champ d’application) seront probablement confrontées à des non-conformités lors de l’audit de certification, car elles n’ont pas été en mesure de démontrer qu’elles maîtrisent parfaitement leur système de gestion de la sécurité de l’information. L’approche recommandée pour un plan de mise en œuvre réaliste du SMSI dans l’ensemble de l’organisation consiste à procéder à une évaluation pragmatique des risques combinée à la mise en œuvre des meilleures pratiques manquantes. Le résultat est une déclaration d’applicabilité (SoA) et une planification bien adoptées par l’entreprise. Les auditeurs seront alors confiants dans la mise en œuvre du SMSI. La norme ISO 27001 est basée sur l’amélioration continue, c’est pourquoi sa mise en œuvre n’a pas besoin d’être un « big bang » et n’exige pas que tous les éléments soient en place pour apporter des avantages.
Absence ou mauvaise définition des rôles et des responsabilités
Un piège typique consiste à considérer un projet de mise en œuvre de la norme ISO 27001 comme un projet informatique et à n’impliquer que les ressources de ce département. Dans de nombreux cas, le CISO (Chief Information Security Officer) est toujours rattaché au responsable informatique et, par conséquent, seules les mesures techniques sont prises en compte. Un SMSI (système de gestion de la sécurité de l’information) est en fait un projet transversal qui a un impact global sur l’ensemble de l’organisation, ses départements, ses cadres, son personnel et ses partenaires. Les sponsors ainsi que le chef de projet doivent être mandatés par le niveau exécutif. Cela implique que tous les acteurs du projet soient clairement identifiés et que leurs rôles et responsabilités soient définis et communiqués dans l’ensemble de l’organisation.
Manque d’adhésion ou adhésion insuffisante de la part de l’exécutif
Dans certaines organisations, la direction ne voit pas quelle est la valeur ajoutée d’un SMSI pour leurs activités.
ISMS ? Pas pour nous, nous consacrons beaucoup d’argent aux mesures de sécurité technique.
La sécurité de l’information repose sur une solide chaîne à quatre maillons, dans laquelle la position globale de l’organisation en matière de sécurité est aussi forte que son maillon le plus faible. Les mesures administratives (le premier maillon) formalisent la manière dont nous travaillons et agissons au sein d’une organisation par le biais de politiques, de sensibilisation, de contrôles, de sanctions et de processus.
Les mesures techniques (deuxième lien) impliquent des actions de sécurité liées aux technologies de l’information. Il s’agit par exemple de crypter les ordinateurs portables, de déployer un logiciel anti-malware sur les postes de travail et les serveurs, et d’installer des pare-feu.
Les mesures physiques (troisième lien) sécurisent les bâtiments, les entrées, les bureaux, les locaux, les systèmes énergétiques et les télécommunications grâce à des mécanismes de sécurité déployés.
Les mesures environnementales (quatrième lien) se concentrent sur la prévention des dommages naturels tels que les inondations, les tremblements de terre et les ouragans, en particulier lorsque les organisations mettent en place de nouvelles infrastructures telles que des centres de données ou des bâtiments.
Pour parvenir à une sécurité solide et à un SMSI bien défini, les organisations doivent traiter ces quatre domaines de sécurité comme une entité indivisible.
Des pièges de l’ISO 27001 à la réussite
- Prenez le temps de bien définir votre champ d’application et posez-vous toujours la question suivante : vais-je convaincre l’auditeur ?
- Préparez un plan de gestion du changement : identifiez les obstacles, constituez votre équipe, tenez compte de l’ensemble de l’organisation et préparez votre plan de communication.
- Dans ce plan, assurez-vous de pouvoir traduire la norme ISO 27001 dans des termes qui parlent à votre équipe (« qu’est-ce que j’y gagne »).
- Se concentrer sur les gains rapides et les fruits à portée de main
- Ne sous-estimez pas la chaîne à 4 maillons
André Staquet, partenaire communautaire d’Approach, a rédigé cet article.
