Cehlc: resumé

2025-09-01T06:25:10Z

resumé

New page

= ISO 27001 =

'''ISO 27001''' est une norme internationale publiée par l’[[Organisation internationale de normalisation|ISO]] et la [[Commission électrotechnique internationale|CEI]]. Elle définit les exigences relatives à la mise en place, à la maintenance et à l’amélioration d’un [[système de management de la sécurité de l'information|SMSI]] (Système de Management de la Sécurité de l'Information, ou ISMS en anglais). Elle s’adresse à tout organisme, notamment les [[administration publique|administrations publiques]], entreprises privées ou organismes à but non lucratif souhaitant structurer leur démarche de sécurité de l’information.

== Historique et contexte ==

La norme '''ISO/IEC 27001''' a été publiée initialement en 2005 sous le titre complet « ISO/IEC 27001:2005 » et remplace l’ancienne norme britannique BS 7799-2. Elle a évolué avec une révision majeure en 2013 ([[ISO/IEC 27001:2013]]) et plus récemment avec l’édition [[ISO/IEC 27001:2022]].

Cette norme fait partie de la [[famille ISO/IEC 27000|famille ISO 27000]], qui regroupe un ensemble de standards sur la sécurité des systèmes d’information, dont la célèbre [[ISO/IEC 27002|ISO 27002]] qui propose un code de bonnes pratiques de la sécurité de l’information.

== Objectifs et principes ==

L’objectif fondamental de [[ISO/IEC 27001|ISO 27001]] est d’assurer la confidentialité, l’intégrité et la disponibilité des informations, grâce à une approche fondée sur la gestion des risques. Elle impose un cadre permettant :

* D’identifier les risques de sécurité de l’information
* De définir, mettre en œuvre et surveiller des [[contrôles de sécurité de l'information|mesures de sécurité]]
* D’améliorer continuellement le SMSI

[[ISO 27001]] s’appuie sur le modèle « [[PDCA|Plan-Do-Check-Act]] » (Planifier, Déployer, Contrôler, Agir), également préconisé dans d’autres normes [[système de management|ISO de systèmes de management]] comme [[ISO 9001|ISO 9001]] (qualité) ou [[ISO 14001|ISO 14001]] (environnement).

== Structure de la norme ==

La structure d’[[ISO/IEC 27001]] est basée sur l’[[Annexe SL]] de l’ISO, qui harmonise les structures des principales normes de système de management. Les sections principales comprennent :

* [[Champ d’application|Contexte de l’organisation]]
* [[Leadership]]
* [[Planification]]
* [[Support]]
* [[Fonctionnement]]
* [[Évaluation des performances]]
* [[Amélioration continue]]

Un élément central est l’[[Annexe A de l’ISO 27001|Annexe A]], qui dresse la liste des [[contrôles de sécurité de l’information]] à mettre en place selon les besoins de l’organisation. Les mesures de l’Annexe A sont décrites plus en détail dans la norme [[ISO/IEC 27002]] correspondante.

== Processus de mise en œuvre ==

La démarche de conformité à [[ISO 27001]] se déroule en plusieurs étapes. Voici un schéma simplifié du processus typique dans le [[secteur public]] ou privé :

# Définition du périmètre du [[SMSI]]
# Évaluation et appréciation des risques de sécurité de l’information
# Élaboration d’une [[Déclaration d’applicabilité|Déclaration d’applicabilité (Statement of Applicability)]]
# Mise en place des politiques et contrôles appropriés (selon [[ISO/IEC 27002|ISO 27002]])
# Réalisation d’audits internes et de revues de direction
# Mise en œuvre d’un plan d’amélioration continue

Les [[autorités administratives indépendantes]] telles que l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]] en France ou la [[Commission nationale de l’informatique et des libertés|CNIL]] incitent fortement à la mise en œuvre de la norme, notamment dans la [[fonction publique]] et pour les [[opérateurs de services essentiels]].

== Contrôles de sécurité (Annexe A) ==

L’[[Annexe A de l’ISO 27001|Annexe A]] référence un ensemble de contrôles. Depuis l’édition [[ISO/IEC 27001:2022]], ces contrôles sont organisés en 4 grands thèmes, englobant 93 mesures :

{| class="wikitable"
! Thème
! Exemple de mesures
|-
| Organisationnel
| Attribution des responsabilités, gestion des utilisateurs, politiques de sécurité
|-
| Humain
| Sensibilisation à la sécurité, clauses contractuelles, sécurité lors du recrutement
|-
| Physique
| Protection contre l’accès non autorisé, sécurité du site, destruction des supports
|-
| Technologique
| Gestion des accès, chiffrement, sécurité des logiciels, surveillance des systèmes
|}

À noter : la nature et l'ampleur de ces contrôles varient selon le contexte de l’organisme concerné, par exemple un [[ministère]] n’ayant pas les mêmes exigences qu’une [[entreprise privée]].

== Certification et audits ==

La conformité à [[ISO 27001]] peut donner lieu à une [[certification]]. Celle-ci est menée par un [[organisme certificateur]] accrédité, tel que [[AFNOR Certification|AFNOR]] ou [[Bureau Veritas]]. Elle donne droit à une reconnaissance internationale du SMSI de l’organisation.

Le processus de certification implique :

* Un audit initial (phase 1 : documentation ; phase 2 : pratiques réelles)
* Un audit de surveillance annuel
* Un [[audit de renouvellement]] tous les trois ans

Dans la [[fonction publique]], la certification [[ISO/IEC 27001]] peut servir à renforcer la confiance auprès des usagers et à assurer la conformité avec les exigences réglementaires, comme le [[Règlement général sur la protection des données|RGPD]].

== Bénéfices et enjeux pour la fonction publique ==

L’adoption de [[ISO 27001]] par les [[administrations publiques]] et les [[collectivités territoriales]] présente de nombreux bénéfices :

* Protection des informations sensibles et des [[données à caractère personnel]]
* Renforcement de la confiance des [[usagers du service public]]
* Amélioration de la gouvernance et du pilotage des risques numériques
* Alignement avec les exigences de l'[[ANSSI]], et conformité avec les [[obligations réglementaires]] telles que le [[Code de la sécurité intérieure|CSI]] ou la [[directive NIS 2]]
* Facilitation de la gestion des incidents de sécurité et régulation des accès aux [[systèmes d’information de l’État]]

== Famille de normes ISO 27000 ==

[[ISO 27001]] s’inscrit dans la [[famille ISO/IEC 27000|famille ISO 27000]]. Les principales normes associées sont :

* [[ISO/IEC 27000]] : vocabulaire et définitions
* [[ISO/IEC 27002]] : bonnes pratiques et mesures de sécurité
* [[ISO/IEC 27005]] : gestion des risques liés à la sécurité de l’information
* [[ISO/IEC 27017]] : sécurité dans le cloud computing
* [[ISO/IEC 27701]] : extension pour la gestion de la vie privée (privacy)

== Référentiels et cadre législatif en France ==

En France, l’[[Agence nationale de la sécurité des systèmes d'information|ANSSI]] publie des guides pratiques sur la mise en œuvre de [[ISO 27001]] dans la [[fonction publique]]. Des référentiels spécifiques existent, tels que le [[Référentiel général de sécurité]] (RGS) ou les lignes directrices pour les [[OIV]] (opérateurs d’importance vitale).

Par ailleurs, la [[CNIL]] recommande l’usage de normes telles que [[ISO/IEC 27001]] pour la conformité au [[RGPD]].

== Ressources ==

* [[Organisation internationale de normalisation|ISO]]
* [[Agence nationale de la sécurité des systèmes d'information|ANSSI]]
* [[Commission nationale de l’informatique et des libertés|CNIL]]
* [[Ministère de la Transformation et de la Fonction publiques]]
* [[Direction interministérielle du numérique|DINUM]]

== Voir aussi ==

* [[Sécurité de l'information]]
* [[Gestion des risques]]
* [[Système de management de la sécurité de l'information|SMSI]]
* [[ISO/IEC 27002]]
* [[Protection des données personnelles]]

== Références ==

* ISO/IEC 27001:2022 - Technology — Security techniques — Information security management systems — Requirements
* ANSSI : Guide d’application de l’ISO 27001 dans le secteur public
* CNIL : La sécurité des systèmes d'information et la norme ISO 27001
* Ministère de la Transformation et de la Fonction publiques – Transformation numérique et cybersécurité

[[Catégorie:]]

ISO 27001 - Revision history

Cehlc: resumé