La norme ISO 27001 est une norme internationale de système de management de la sécurité de l’information (SMSI). Elle spécifie les exigences pour un SMSI qui permet à une organisation de :
- Protéger ses informations confidentielles
- Se conformer aux exigences légales et réglementaires applicables
- Améliorer en permanence la sécurité de l’information
Les exigences de la norme ISO 27001 sont divisées en 10 chapitres (articles) et l’annexe A. Les 235 exigences sont dans les chapitres 4 à 10 et dans l’annexeA. Les chapitres et l’annexe couvrent les domaines suivants :
1. Domaine d’application
La norme spécifie les exigences pour les SMSI applicables à toutes les organisations, quelle que soit leur taille, leur secteur d’activité ou leur localisation.
2. Références normatives
La norme fait référence à d’autres normes et directives internationales pertinentes, notamment la norme ISO 27000.
3. Termes et définitions
La norme définit les termes utilisés dans le contexte de la norme ISO 27001 et l’ISO 27000.
4. Contexte de l’organisation
L’organisation doit :
- Identifier les facteurs internes et externes qui sont pertinents pour son SMSI
- Comprendre les besoins et attentes des parties prenantes
- Déterminer l’étendue de son SMSI
- Etablir et maintenir son SMSI et les processus concernés
5. Leadership
La direction doit :
- S’engager à mettre en œuvre et à maintenir un SMSI efficace
- Etablir la politique de sécurité de l’information
- Attribuer la responsabilité et l’autorité à une personne afin d’assurer un SMSI pertinent et efficace.
6. Planification
L’organisation doit :
- Etablir des objectifs et des processus liés aux risques et opportunités
- Planifier des actions afin d’atteindre ces objectifs
- Planifier les changements
7. Support
L’organisation doit :
- Fournir les ressources nécessaires à la mise en œuvre et à l’amélioration du SMSI
- Déterminer les compétences nécessaires
- Sensibiliser le personnel
- Etablir un processus de communication interne et externe
- Créer et maîtriser la documentation du SMSI
8. Opération
L’organisation doit :
- Planifier, mettre en œuvre et maîtriser ses processus opérationnels
- Apprécier les risques de sécurité de l’information
- Traiter les risques de sécurité de l’information
9. Évaluation des performances
L’organisation doit :
- Surveiller, mesurer, analyser et évaluer ses performances
- Conduire des audits internes
- Réaliser des revues de direction
10. Amélioration
L’organisation doit améliorer en permanence l’efficacité du SMSI. L’organisation doit prendre des mesures correctives pour corriger les non-conformités.
Les contrôles de sécurité de l’information répertoriés dans l’annexe normative A sont directement dérivés et alignés sur ceux répertoriés dans la norme ISO/IEC 27002:2022 et doivent être utilisés dans le contexte du traitement des risques de sécurité de l’information.
Les organisations qui peuvent démontrer leur conformité aux exigences de la norme ISO 27001 peuvent obtenir la certification ISO 27001.
La certification ISO 27001 offre de nombreux avantages aux organisations, notamment :
- La protection des informations confidentielles
- La conformité aux exigences légales et réglementaires
- L’amélioration de la satisfaction des clients
- La réduction des coûts
- L’amélioration de la compétitivité
La certification ISO 27001 est un outil précieux pour les organisations qui souhaitent améliorer la sécurité de leurs informations.
