Système Management Sécurité Information SMSI

Étape n°1 : empreinte de maturité, permettant de savoir où en est l’organisation par rapport à la SSI et aux exigences de la norme ISO IEC 27001. Cette phase primordiale permet de faire un état des lieux et de disposer d’une cartographie des éléments manquants et, ainsi, de définir le plan d’action nécessaire pour effectuer la remédiation (plan d’action orienté organisationnel, stratégique, technique avec les moyens associés). Cette phase passe souvent par une formation préalable des parties prenantes sur le SMSI d’une durée moyenne de deux jours. Il est vivement conseillé de nommer le plus vite possible le pilote du projet SMSI, souvent le RSSI, et de le former à l’implémentation de la norme ISO IEC 27001 (formation Lead Implementor), ainsi qu’un auditeur avec une formation également adaptée (Lead Auditor). Cette première étape permet également de vérifier l’appui de la direction générale sur le projet et de communiquer sur le plan de déploiement.

Étape n°2 : implémentation et exploitation, permettant la mise en œuvre...

Mobiliser les ressources et moyens exceptionnels nécessaires à la GDC.

Améliorer la prise de décision.

Adapter les réponses à la situation.

Adapter les niveaux d’escalade en fonction de la gravité.

Diminuer l’impact de la crise sur l’organisation et les clients de l’entreprise.

Limiter le nombre de cas de crise en enrichissant continuellement les pratiques de gestion des incidents (GDI).

Définir les enjeux et sensibiliser les ressources à la GDC.

Prévoir et anticiper les scénarios et dispositions pour la GDC.

Lorsque la crise survient :

analyser la situation et ses impacts,

organiser et coordonner les actions,

mobiliser les expertises nécessaires à la bonne gestion de crise,

communiquer, rassurer et calmer.

Après la crise :

gérer la sortie de crise et le retour à la normale,

prendre les dispositions nécessaires pour conserver les traces et journaliser les actions,

relever et archiver les preuves en vue d’une action forensique.

Phase de veille

Phase d’activation

Phase opératoire

Phase de consolidation

Engagement de la direction générale dans la mise en œuvre d’un SMSI.

Périmètre du SMSI.

Engagement de la direction générale adjointe aux ressources.

Ressources et moyens engagés.

Responsabilités.