La dernière version de la norme ISO 27001 est la norme ISO/IEC 27001:2022. Publiée en 2022, cette version mise à jour remplace la norme ISO/IEC 27001:2013 et propose une approche plus claire et axée sur les risques en matière de gestion de la sécurité de l’information.

L’abréviation « ISO 27001 » fait référence à la norme internationale ISO/IEC 27001. Voici une explication :

• L’ISO (Organisation internationale de normalisation) est une organisation indépendante qui établit des normes internationales dans divers secteurs et disciplines. Elle est reconnue mondialement pour ses normes de qualité, de sécurité et d’efficacité dans de nombreux domaines.

• 27001 : Ce numéro correspond à la norme de sécurité de l’information. La norme ISO/CEI 27001 définit les exigences relatives à un système de gestion de la sécurité de l’information (SGSI). Plus précisément, elle définit comment une organisation doit gérer systématiquement la sécurité de l’information, en tenant compte des risques liés à la sécurité des données.

• Entreprises de services technologiques et informatiques : les entreprises qui développent des logiciels, fournissent des services cloud, gèrent des bases de données ou traitent de grandes quantités de données clients peuvent grandement bénéficier de la norme ISO 27001 pour garantir la sécurité et la confidentialité des informations.

• Les organismes financiers (banques, institutions financières, sociétés d’investissement et compagnies d’assurance) traitent un volume important d’informations confidentielles, notamment des données financières et personnelles. La norme ISO 27001 peut les aider à protéger ces informations critiques et à se conformer aux réglementations strictes telles que la loi sur la protection des données.

• Établissements de santé et organismes médicaux : les hôpitaux, cliniques, laboratoires et autres prestataires de soins de santé traitent des données patient hautement sensibles et confidentielles. La norme ISO 27001 est essentielle pour garantir la sécurité et la confidentialité des informations médicales et se conformer aux réglementations telles que la loi HIPAA (Health Insurance Portability and Accountability Act).

• Gouvernements et organismes publics : les agences gouvernementales traitent une grande variété de données sensibles, allant des informations fiscales aux dossiers de sécurité nationale. La norme ISO 27001 peut contribuer à garantir la sécurité de ces données critiques et à renforcer la cybersécurité des administrations publiques.

• Entreprises de tous les secteurs : des petites entreprises aux grandes sociétés, toute organisation qui traite des informations sensibles, notamment des données sur les employés, des informations financières, des secrets commerciaux ou de la propriété intellectuelle, peut bénéficier de la mise en œuvre de la norme ISO 27001.

La norme ISO/IEC 27001 ne précise pas le nombre exact de mesures de sécurité, celui-ci variant à chaque révision. Elle fait toutefois référence à un ensemble de mesures de sécurité de l’information pouvant être mises en œuvre pour satisfaire à ses exigences. Ces mesures sont détaillées dans la norme complémentaire ISO/IEC 27002, qui fournit des lignes directrices pour leur mise en œuvre, fondées sur les meilleures pratiques.

Bien que la norme ISO/IEC 27002 ne recense pas précisément 114 mesures de contrôle, elle propose un large éventail de mesures regroupées en différentes catégories. Voici un aperçu de quelques-unes des catégories courantes de mesures de sécurité de l’information figurant dans la norme ISO/IEC 27002 :

1. Politiques de sécurité : Elles établissent les principes généraux et les lignes directrices en matière de sécurité de l’information au sein de l’organisation.

2. Gestion des actifs : Comprend l’identification, la classification et la gestion des actifs informationnels, ainsi que l’attribution des responsabilités liées à leur protection.

3. Sécurité du personnel : Aborde la sécurité de l’emploi, la gestion des ressources humaines, ainsi que la sensibilisation et la formation à la sécurité de l’information.

4. Contrôle d’accès : définit les mécanismes permettant de contrôler l’accès aux systèmes et aux données, notamment l’authentification, l’autorisation et la gestion des privilèges.

5. Chiffrement et protection des informations : détaille les exigences relatives au chiffrement des données au repos et en transit, ainsi qu’à la protection des informations confidentielles.

6. Sécurité physique et environnementale : Il s’agit de la protection des ressources physiques de l’organisation, telles que les centres de données, les équipements et autres actifs critiques.

7. Gestion des opérations et des communications : Inclut les contrôles pour la gestion sécurisée des systèmes d’information, des réseaux et des services, ainsi que pour la gestion des incidents et la continuité des activités.

8. Conformité : Traite des exigences légales et réglementaires relatives à la sécurité de l’information, ainsi qu’à l’évaluation et à l’audit de la conformité.

Ce ne sont là que quelques exemples des catégories de contrôles que l’on retrouve dans la norme ISO/IEC 27002.

La mise en œuvre d’une norme ISO varie considérablement d’une entreprise à l’autre, mais elle peut généralement prendre de 3 à 6 mois en fonction du volume de données, des actifs et de la volonté de l’entreprise d’effectuer les changements nécessaires.