Qu'est-ce qu'un SMSI ? Le système de gestion à la base de la norme ISO 27001

Un SMSI, abréviation de « système de gestion de la sécurité de l'information », désigne l'ensemble des politiques, des processus, des rôles et des contrôles grâce auxquels une organisation gère de manière réfléchie ses risques en matière de sécurité de l'information. C'est la manière dont vous déterminez ce qui doit être protégé, qui en est responsable, quelles mesures s'appliquent et comment vous vérifiez si tout cela fonctionne correctement. C'est le mot « système » qui prête à confusion ici : un SMSI est une méthode de travail, et non un programme que l'on installe.

Cette distinction est plus importante qu'il n'y paraît, car elle détermine ce que vous finirez par acheter et ce que vous finirez par mettre en place. Nous allons voir ci-dessous pourquoi ce malentendu concernant les logiciels est si tenace, en quoi consiste réellement un SMSI, quel est son lien avec les normes ISO 27001 et NEN 7510, comment en mettre un en place, et à quel stade la plupart des projets s'enlisent discrètement.

Un SMSI n'est pas un logiciel

Si vous recherchez « SMSI », vous trouverez une multitude d’outils qui prétendent en être un. Ils sont utiles, et un bon outil permet de gagner un temps considérable en matière de gestion des documents, de registres des risques et de collecte de preuves. Mais l’outil n’est qu’un simple classeur, pas le système lui-même. Une organisation dotée d’un outil irréprochable mais dépourvue de processus opérationnels dispose d’un registre très bien tenu de tout ce qu’elle ne fait pas réellement.

Si la confusion persiste, c’est parce qu’un SMSI est en grande partie invisible. On ne peut pas le désigner du doigt comme on le ferait avec un pare-feu. Ce que l’on peut désigner, ce sont ses résultats : une évaluation des risques mise à jour, un ensemble de politiques que les collaborateurs respectent réellement, des registres de formation, les comptes rendus d’une revue de direction, un audit interne qui a mis en évidence un problème et conduit à un changement. Un auditeur recherche précisément ces traces, car elles constituent la seule preuve que le système est bien vivant et ne se limite pas à un simple document écrit.

En quoi consiste exactement un SMSI ?

Les éléments ci-dessous sont communs à pratiquement tous les cadres de référence, que vous souhaitiez ou non obtenir une certification. Ensemble, ils forment un cycle plutôt qu'une liste de contrôle : chaque élément alimente le suivant, et le cycle se répète.

• Périmètre. Quelles parties de l’organisation, quels sites, quels systèmes et quelles informations le système couvre-t-il ? Un périmètre trop large ralentit le projet ; un périmètre trop restreint ne permet pas de couvrir les risques qui comptent.
• Évaluation et gestion des risques. Il s'agit d'identifier les problèmes potentiels, d'évaluer leur probabilité et leur gravité, puis de déterminer, pour chaque risque, s'il convient de le réduire, de l'accepter, de le transférer ou de l'éviter. Notre guide sur l'analyse des risques selon la norme ISO 27001 explique comment procéder concrètement.
• Politiques et procédures. Les règles écrites relatives à l'accès, aux mots de passe, aux fournisseurs, aux incidents, aux appareils et au traitement des données. Elles n'ont de valeur que si les personnes concernées peuvent les trouver et les mettre en pratique au quotidien.
• Rôles et responsabilités. Qui est responsable de quel risque, qui approuve les exceptions, qui rend compte de quoi à la direction ? L'absence d'attribution claire des responsabilités est le constat le plus fréquent lors de tout audit.
• Mesures de contrôle. Les mesures concrètes, tant techniques qu’organisationnelles, qui permettent de réduire les risques que vous avez identifiés.
• Sensibilisation et compétences. S'assurer que les personnes concernées savent ce qu'on attend d'elles et sont capables de le démontrer. Il s'agit d'une exigence, et non d'un simple plus.
• Suivi, audit interne et revue de direction. Vérifier que les mesures mises en place fonctionnent, que les constatations font l'objet d'un suivi et que la direction examine périodiquement l'ensemble du dispositif pour décider des changements à apporter.
• Amélioration continue. Le cycle « Planifier-Faire-Vérifier-Agir » qui permet au système de continuer à évoluer, au lieu de le figer au moment de la certification.

Lien entre un SMSI et les normes ISO 27001 et NEN 7510

La norme ISO 27001 est la norme internationale qui définit les exigences relatives à un SMSI. C'est là le point essentiel : la norme décrit le système de gestion, et non une liste de produits. Ses clauses couvrent le cycle décrit ci-dessus, depuis le champ d'application et le leadership jusqu'à l'audit interne et la revue de direction, en passant par l'évaluation des risques. La certification signifie qu'un auditeur externe a établi que votre système répond à ces exigences et fonctionne dans la pratique.

À ces clauses s'ajoute l'annexe A, qui présente un catalogue de mesures de contrôle parmi lesquelles vous devez faire votre choix en fonction de votre propre évaluation des risques, en consignant vos choix et votre raisonnement dans une déclaration d'applicabilité. Les recommandations relatives à la mise en œuvre de ces mesures de contrôle figurent dans la norme complémentaire ISO 27002, et la différence entre les deux normes est expliquée dans notre article consacré à la différence entre les normes ISO 27001 et ISO 27002. Vous n’êtes pas tenu d’appliquer toutes les mesures de contrôle ; vous devez toutefois justifier votre sélection.

Dans le secteur néerlandais de la santé, ce même principe se retrouve dans la norme NEN 7510, qui s'appuie sur la structure ISO et ajoute des exigences spécifiques aux données des patients. Les organisations relevant du champ d'application de la directive NIS2 reconnaîtront elles aussi ce schéma : la directive exige des mesures de gestion des risques et une formation dont les acquis peuvent être démontrés, ce qui est précisément ce qu'un SMSI opérationnel produit en tant que résultat indirect.

Mise en place d'un SMSI en six étapes

1. Obtenez l'engagement de la direction, par écrit et dans le budget. Un SMSI répartit les responsabilités au sein de l'organisation. Sans une prise en charge visible au plus haut niveau, il devient le projet parallèle d'une seule personne, et ce genre de projet ne résiste pas à la pression d'un trimestre chargé.
2. Définissez le périmètre en toute honnêteté. Précisez ce qui est inclus et ce qui est exclu, et expliquez pourquoi. Exclure un élément est justifiable ; découvrir une lacune passée inaperçue lors d'un audit ne l'est pas.
3. Procédez à l'évaluation des risques avant de choisir les mesures de contrôle. L'ordre dans lequel vous procédez est important. Si l'on choisit d'abord les mesures de contrôle pour les justifier ensuite, on aboutit à un système qui protège ce qui était pratique plutôt que ce qui présentait un risque.
4. Rédigez des directives que les gens peuvent suivre. Elles doivent être concises, précises et adaptées à la réalité du terrain. Une directive qui va à l'encontre des pratiques quotidiennes donne aux employés l'impression que les règles ne sont que de la poudre aux yeux.
5. Formez les personnes concernées et consignez cette formation. Chacun doit connaître les règles qui s'appliquent à lui, et vous devez être en mesure de prouver qu'elles ont bien été formées et que le message a été bien compris. Notre formation de sensibilisation à la norme ISO 27001 s'articule autour de cette exigence.
6. Auditer, examiner, ajuster. Réalisez un audit interne, présentez les conclusions lors d'une réunion de revue de direction et mettez en œuvre des changements en conséquence. C'est cette dernière étape que vérifie un auditeur externe : non pas si vous avez identifié des problèmes, mais si leur identification a entraîné des changements. Le déroulement d'un tel audit est décrit dans notre article consacré à la définition de l'audit.

Les points où la plupart des projets de système de gestion de la sécurité de l'information (SGSI) se heurtent à des difficultés

Pas au niveau technique, et rarement au niveau administratif. La plupart des organisations sont capables de rédiger un ensemble de règles en quelques semaines. Les problèmes commencent dès que le système doit s’appliquer à des personnes qui n’en ont jamais fait la demande : le collègue qui partage ses identifiants parce que cette solution de contournement est plus rapide, le responsable qui approuve une dérogation par chat, ou encore le nouveau collaborateur qui n’a jamais consulté le module d’intégration.

Les auditeurs s’en rendent rapidement compte, car leurs questions portent sur la pratique plutôt que sur les documents. Ils ne demandent pas « disposez-vous d’une politique d’accès ? », mais « montrez-moi comment l’accès a été révoqué pour une personne qui a quitté l’entreprise le mois dernier ». Ils ne demandent pas « formez-vous votre personnel ? », mais « montrez-moi qui a été formé, sur quels sujets, et quelles mesures vous avez prises à l’égard des personnes qui n’ont pas suivi la formation jusqu’au bout ». Si la réponse consiste en une feuille de présence signée lors d’une session annuelle, cela signifie que le système n’existe que sur papier.

Les organisations qui s’en sortent haut la main considèrent la sensibilisation comme un processus continu plutôt que comme un événement annuel. Des formations courtes et régulières génèrent un flux continu de rapports, permettent de garder les règles à l’esprit et transforment la clause de sensibilisation, qui n’est plus une course effrénée avant l’audit, en un processus qui se maintient de lui-même.

Comment Guardey vous aide à prendre en charge le volet humain de votre SMSI

La formation à la sensibilisation à la sécurité proposée par Guardey couvre précisément l’aspect d’un SMSI le plus difficile à mettre en évidence : des défis hebdomadaires d’environ trois minutes, une approche ludique avec des classements et des séries de réussite, ainsi qu’un contenu adapté à l’évolution du paysage des menaces. Les collaborateurs suivent cette formation via l’application mobile pour iOS et Android ou directement dans leur navigateur, ce qui permet d’inclure également les collègues qui ne disposent pas d’un poste de travail fixe.

En ce qui concerne le SMSI lui-même, l'essentiel réside dans le reporting. La participation, les scores et les progrès de chaque équipe peuvent être exportés sous forme de preuves prêtes à être utilisées lors d'un audit pour les normes ISO 27001, NEN 7510 et NIS2, tandis que les simulations de phishing intégrées mettent en évidence les comportements plutôt que la simple présence. La mise en place ne prend que quelques minutes, et plus de 500 organisations fonctionnent de cette manière, dont le Parlement européen.

Foire aux questions sur un SMSI

Un SMSI est-il obligatoire ?

Pas en soi. Ce qui devient de plus en plus obligatoire, c'est le résultat : la directive NIS2 exige des mesures de gestion des risques adaptées et des formations dont l'efficacité doit pouvoir être démontrée ; les prestataires de soins de santé doivent se conformer à la norme NEN 7510 ; et les clients ainsi que les assureurs exigent des preuves. Un SMSI (Système de gestion de la sécurité de l'information) constitue la méthode la plus éprouvée pour organiser cela, et la certification est le moyen d'en apporter la preuve à des tiers.

Faut-il obtenir la certification ISO 27001 pour disposer d'un SMSI ?

Non. De nombreuses organisations mettent en place un SMSI conforme aux normes ISO sans jamais faire appel à un auditeur, car elles recherchent davantage la structure que le certificat. La certification prend tout son sens lorsque les clients l'exigent, lorsque les appels d'offres l'imposent ou lorsque l'on a besoin d'un organisme externe pour garantir la bonne conduite des opérations.

Combien de temps faut-il pour mettre en place un SMSI ?

Pour une petite organisation dont le périmètre est clairement défini, il est réaliste de prévoir plusieurs mois de travail à temps partiel avant un premier audit interne. Ce n’est généralement pas la rédaction qui détermine le calendrier, mais la rapidité avec laquelle les décisions sont prises concernant le périmètre, l’acceptation des risques et la prise en charge du projet.

À qui doit revenir la responsabilité du SMSI ?

Une personne disposant d'une autorité suffisante pour faire respecter les décisions, soutenue par les responsables des risques individuels. Confier cette responsabilité exclusivement au service informatique est une erreur courante : une grande partie du système de gestion de la sécurité de l'information (SGSI) concerne les contrats, les processus RH et la gestion des fournisseurs, domaines dans lesquels une équipe informatique n'a aucune influence.

Un SMSI fait ses preuves dès lors qu’il modifie une décision : un fournisseur à qui l’on pose une question qui n’aurait pas été posée auparavant, une exception qui est consignée au lieu d’être oubliée, un risque auquel on attribue un responsable. Tout le reste – les documents, les outils et, à terme, le certificat – n’est que de la formalité administrative autour de cela.