SMSI

Le SMSI, système de management de la sécurité de l'information, est l'objet même de la norme ISO/IEC 27001. C'est la source d'un malentendu tenace : ISO 27001 ne demande pas d'abord une liste de mesures techniques, elle demande un système — un cycle qui va de la compréhension du contexte à l'amélioration continue, en passant par l'engagement de la direction, l'appréciation des risques et le contrôle.

Ce système est décrit par les 30 clauses des chapitres 4 à 10 : contexte de l'organisme, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances, amélioration. Les 93 mesures de l'annexe A viennent après, comme un catalogue dans lequel on puise en fonction des risques appréciés, et dont on justifie chaque retenue ou exclusion dans la déclaration d'applicabilité.

C'est ce système, et non les mesures prises isolément, que l'auditeur de certification vient regarder. Une organisation peut avoir déployé d'excellentes mesures techniques et échouer parce que son périmètre n'est pas documenté, parce que la revue de direction n'a pas eu lieu, ou parce que l'audit interne n'a jamais été planifié. À l'inverse, un SMSI modeste mais réellement tenu passe.