Fiche 01 — Gouvernance de la sécurité & normes ISO

1. La famille ISO/IEC 27000

Norme	Objet	À retenir
ISO/IEC 27001:2022	Exigences du SMSI (ISMS). Seule certifiable de la famille.	Clauses 4 à 10 auditables + Annexe A (93 mesures)
ISO/IEC 27002:2022	Guide de mise en œuvre des mesures de l’Annexe A	Non certifiable, c’est le « mode d’emploi »
ISO/IEC 27005:2022	Gestion des risques SI (méthodologie, non prescriptive)	Compatible EBIOS RM
ISO/IEC 27017 / 27018	Sécurité cloud / protection des DCP dans le cloud	Extensions de l’Annexe A
ISO/IEC 27701	Extension « privacy » (PIMS), pont vers le RGPD	S’appuie sur un SMSI existant
ISO/IEC 27035	Gestion des incidents de sécurité	27035-1/-2/-3
ISO 22301	Continuité d’activité (BCMS)	Voir fiche 11
ISO/IEC 27036	Sécurité dans les relations fournisseurs	Voir fiche 13
ISO 19011	Lignes directrices pour l’audit de systèmes de management	Voir fiche 04
ISO/IEC 27006	Exigences pour les organismes de certification	Utile pour comprendre les contraintes du COFRAC/auditeur

Structure de l’ISO 27001:2022 (à savoir réciter)

Cl. 4 Contexte : périmètre (scope), parties intéressées, enjeux internes/externes.
Cl. 5 Leadership : engagement de la direction, politique SSI, rôles & responsabilités.
Cl. 6 Planification : appréciation & traitement des risques, objectifs de sécurité, SoA.
Cl. 7 Support : ressources, compétences, sensibilisation, communication, informations documentées.
Cl. 8 Opération : mise en œuvre du plan de traitement des risques.
Cl. 9 Évaluation : surveillance & mesure (indicateurs), audit interne, revue de direction.
Cl. 10 Amélioration : non-conformités, actions correctives, amélioration continue.

Mnémonique : C-L-P-S-O-É-A → « Contexte, Leadership, Planif, Support, Opération, Évaluation, Amélioration ». Le tout tourne en PDCA (Plan-Do-Check-Act), même si la version 2022 ne le nomme plus explicitement.

Annexe A 2022 : 93 mesures / 4 thèmes

Thème	Nb	Exemples
A.5 Organisationnel	37	politiques, rôles, gestion des actifs, fournisseurs, conformité juridique
A.6 Personnes	8	filtrage à l’embauche, NDA, sensibilisation, télétravail, discipline
A.7 Physique	14	périmètres, contrôle d’accès physique, sécurité des équipements, câblage
A.8 Technologique	34	endpoints, privilèges, crypto, journalisation, dev sécurisé, filtrage web

11 nouvelles mesures 2022 (à citer, ça fait la différence) : Threat intelligence (5.7), Sécurité pour l’usage de services cloud (5.23), Continuité TIC (5.30), Surveillance physique (7.4), Gestion de la configuration (8.9), Suppression d’information (8.10), Masquage des données (8.11), Prévention de la fuite de données / DLP (8.12), Activités de surveillance (8.16), Filtrage web (8.23), Codage sécurisé (8.28).

Attributs (nouveauté 2022, permettent des vues croisées) : type de mesure (préventive/détective/corrective), propriétés SI (C/I/A), concepts cybersécurité (Identify-Protect-Detect-Respond-Recover), capacités opérationnelles, domaines de sécurité.

Transition 27001:2013 → 2022 : la fenêtre de transition est close depuis fin 2025 côté IAF. Aujourd’hui, tout audit de certification/renouvellement se fait sur la 2022. À vérifier au cas par cas.

2. Le SMSI en pratique — les livrables incontournables

Périmètre du SMSI (scope statement) — le choix le plus stratégique : trop large = ingérable, trop étroit = certificat sans valeur commerciale.
Politique de sécurité (PSSI) signée par la direction + politiques thématiques déclinées.