ISO

Référence normative internationale pour les systèmes de management, les contrôles et la gestion des risques.

→ Lire l’explication complète de la marmotte

Rôle

L’ISO fournit les cadres normatifs de haut niveau souvent exigés dans les appels d’offres, les audits, les certifications et les programmes de gouvernance.

Lectures prioritaires

Site officiel : iso.org
ISO/IEC 27001
ISO/IEC 27002, 27005, 27701

Sous-chapitres

Management de la sécurité

SMSI, périmètre, politique, amélioration continue
Gouvernance et preuves d’audit
Traduction des exigences en organisation réelle

Contrôles et mesures

Catalogues de mesures et objectifs de sécurité
Alignement entre exigences métier et contrôles
Passerelle entre norme et architecture

Risque et vie privée

Méthodes d’analyse de risque
Prise en compte des données personnelles
Usage des normes comme langage commun entre équipes

Dans TortueTech

Référence à relier aux sujets conformité, gouvernance, risque et architecture documentaire
À croiser avec ANSSI et NIST pour passer de la norme au concret

Points à vérifier

à compléter : quelles normes ISO méritent une fiche dédiée plus tard
à compléter : liens avec politiques de sécurité et analyse de risque

🐝 Ce qui arrive si on s’en passe

Ignorer les références de l’ISO prive l’organisation du vocabulaire que partagent auditeurs, clients et acheteurs : chaque questionnaire de sécurité appelle une réponse sur mesure, chaque appel d’offres exigeant une certification se ferme d’office, et la preuve d’une mesure repose sur la bonne foi de celui qui l’affirme. Sans analyse de risque structurée, les mesures s’accumulent au gré de l’actualité plutôt que de l’exposition réelle, et personne ne sait dire pourquoi l’une existe et l’autre non. Sans cycle d’amélioration continue, enfin, une politique écrite une fois vieillit en silence, jusqu’au jour où l’audit, ou l’incident, la relit à sa place.

🦫 Explication de la marmotte 🍫

L’Organisation internationale de normalisation publie des normes, c’est-à-dire des documents qui fixent des règles communes reconnues dans de nombreux pays. En sécurité de l’information, plusieurs de ses normes, coéditées avec la Commission électrotechnique internationale, forment un ensemble cohérent. La norme 27001 décrit un système de management de la sécurité : l’organisation définit le périmètre à protéger, écrit une politique, attribue des responsabilités, applique des mesures, vérifie leur efficacité et corrige ce qui ne fonctionne pas, puis recommence ce cycle en continu. Un auditeur peut vérifier ce fonctionnement et délivrer une certification, souvent demandée dans les appels d’offres. La norme 27002 fournit un catalogue de mesures de sécurité, dans lequel l’organisation choisit celles qui répondent à ses objectifs. La norme 27005 décrit comment analyser les risques, c’est-à-dire repérer ce qui peut mal tourner, estimer la gravité et décider des mesures. La norme 27701 étend l’ensemble à la protection des données personnelles. Ces textes décrivent surtout quoi organiser et prouver, pas comment configurer un système précis. Il faut donc les traduire en décisions d’architecture concrètes, en s’appuyant sur des guides plus techniques. Leur intérêt principal est de fournir un vocabulaire partagé entre équipes, auditeurs et clients.

Pages voisines

La citent

ISO

Elle cite