La norme ISO 27001 est une référence mondiale en matière de sécurité de l’information- cybersécurité.
Elle définit les exigences pour mettre en place un SMSI (Système de Management de la Sécurité de l’Information), dont l’objectif est de protéger les actifs* d’une organisation de manière structurée, cohérente et mesurable.
*Un actif = tout ce qui a de la valeur pour une organisation et qui doit être protégé, comme des informations, des systèmes, des équipements ou des compétences.
Le SMSI est un cadre qui permet d’identifier les risques pesant sur l’information dans votre entreprise, de définir des mesures de sécurité et d’en assurer l’amélioration continue.
Il ne se limite pas à des outils techniques : il englobe les processus, les politiques, les rôles, la formation des collaborateurs, de la sensibilisation aux bonnes pratiques et la gestion des incidents.
Au cœur de cette norme se trouvent 3 notions fondamentales qui composent les objectifs d’une bonne politique SMSI: la disponibilité, la confidentialité et l’intégrité.
La disponibilité
La disponibilité = garantir l’accès à l’information.
C’est faire en sorte que les informations et les systèmes soient accessibles au bon moment, par les utilisateurs autorisés. Dans un SMSI, une information indisponible peut avoir autant d’impact qu’une information volée.
Par exemple :
Une plateforme e‑commerce victime d’une panne serveur pendant le Black Friday perd non seulement du chiffre d’affaires, mais aussi la confiance de ses clients !
Pour garantir la disponibilité, un SMSI ISO 27001 doit mettre en place :
- des systèmes redondants,
- des sauvegardes régulières,
- un plan de continuité et de reprise d’activité (PCA/PRA) en cas d’accident.
Ces mesures réduisent le risque d’interruption de service critique.
La confidentialité
= protéger l’information contre les accès non autorisés.
La confidentialité vise à empêcher que des informations sensibles ne soient accessibles à des personnes non habilitées. Elle est particulièrement cruciale pour les données personnelles, les secrets industriels ou les informations financières.
Par exemple :
Les dossiers RH d’une entreprise doivent être accessibles uniquement au service concerné. Une mauvaise gestion des droits d’accès pourrait exposer des informations salariales ou médicales.
Dans un SMSI, la confidentialité est assurée par :
- des contrôles d’accès stricts,
- l’authentification forte (mots de passe, double authentification)
- le chiffrement des données,
- des politiques de gestion des habilitations.
Ces pratiques sont directement liées aux exigences de l’ISO 27001 mais aussi du RGPD (règlement européen qui vise à protéger les données personnelles des individus en encadrant leur collecte, leur traitement et leur conservation).
L’intégrité
= garantir l’exactitude et la fiabilité des données.
L’intégrité signifie que l’information ne doit pas être altérée de manière non autorisée, volontairement ou accidentellement. Une donnée incorrecte peut mener à de mauvaises décisions.
Exemple :
Dans un système de paiement en ligne, toute modification non autorisée des montants ou des coordonnées bancaires peut entraîner des fraudes ou des litiges.
Pour préserver l’intégrité, un bon SMSI ISO 27001 prévoit :
- des mécanismes de traçabilité (logs),
- des contrôles de modification avec un système d’alerte,
- des signatures numériques,
- des procédures de validation.