Face à l’augmentation des cybermenaces, aux exigences réglementaires et aux attentes croissantes des clients et partenaires, la sécurité de l’information est devenue un enjeu stratégique pour toutes les organisations.
Cet ouvrage propose une démarche complète et opérationnelle pour concevoir, déployer, piloter et améliorer un Système de Management de la Sécurité de l’Information (SMSI) conforme à la norme ISO/IEC 27001:2022. Il s’adresse aux responsables sécurité, chefs de projet SMSI, auditeurs, consultants, directions des systèmes d’information et organisations préparant une certification ISO/IEC 27001.
Progressif et pédagogique, le livre commence par les fondamentaux des systèmes d’information, de la gouvernance SI et de la sécurité de l’information. Il présente ensuite les systèmes de management, la famille des normes ISO/IEC 27000, puis la gestion des risques à travers la méthode EBIOS Risk Manager. Une large partie est consacrée aux exigences d’ISO/IEC 27001:2022, et aux mesures de sécurité de son Annexe A.
Le dernier chapitre propose une feuille de route pour la mise en œuvre du SMSI : cadrage du projet, analyse d’écarts, déclaration d’applicabilité, politique de sécurité, corpus documentaire, sensibilisation, indicateurs, audit interne, revue de direction et préparation à la certification.
Véritable guide à avoir entre les mains pour passer des exigences de l’ISO/IEC 27001:2022 à un SMSI robuste, crédible et réellement applicable.
Le mot de notre auteure
J’ai écrit ce livre parce qu’au fil de mon parcours et de mes expériences professionnelles, j’ai compris que la mise en place d’un Système de Management de la Sécurité de l'Information va bien au-delà de la simple application d’une norme. Elle demande de comprendre les exigences, de les adapter aux réalités de l’organisation et de fédérer les différents acteurs autour d’une vision commune.
Mon objectif est de rendre le SMSI plus accessible et plus concret, en proposant une démarche structurée pour accompagner les projets de mise en œuvre.
Ce guide s’adresse à toutes celles et tous ceux qui ont un rôle à jouer dans la sécurité de l’information. Car la sécurité ne se construit ni dans l’urgence ni après un incident : elle se prépare, se structure et se pilote au quotidien.
N’attendons pas qu’une crise nous rappelle la valeur de nos informations pour commencer à les protéger.
Caractéristiques
Livre (broché) - 17 x 21 cm
ISBN : 978-2-409-05581-2
EAN : 9782409055812
Ref. ENI : DPISO27001
Caractéristiques
HTML
ISBN : 978-2-409-05582-9
EAN : 9782409055829
Ref. ENI : LNDPISO27001
Avant-propos
Avant-propos
Introduction à la sécurité de l’information
Introduction au système d'information
Introduction
Un système
1. Système de pilotage
2. Système d’information
3. Système opérant
La pyramide DIKW
1. Data (données)
2. Information
3. Knowledge (connaissance)
4. Wisdom (sagesse)
Les systèmes d’information
1. Définition
2. Les composants d’un système d’information
Les menaces
1. Les menaces externes
2. Les menaces internes
3. Les menaces environnementales
Les conséquences d'un incident sur le SI
La sécurité de l’information
1. Définition
a. Confidentialité
b. Intégrité
c. Disponibilité
2. La sécurité informatique
3. La cybersécurité
La gouvernance des systèmes d’information
Fondements conceptuels : politique, procédure, norme, standard, loi et réglementation
1. La politique
a. Structure et composantes d’une politique
b. Caractéristiques
2. Les procédures
3. La norme
4. Les standards
5. Les lois
6. La réglementation
Les différents niveaux hiérarchiques
1. Niveau stratégique
2. Niveau tactique
3. Niveau opérationnel
Les rôles et responsabilités en matière de gouvernance SI
1. DSI (direction des systèmes d’information)
2. RSSI (responsable sécurité des SI)
3. DPO (Data Protection Officer/responsableprotection des données)
4. Responsables métier (business owners)
5. Direction générale
6. Utilisateurs/équipes opérationnelles
7. Prestataires/fournisseurs IT
La matrice RACI
Introduction aux systèmes de management
Introduction
Définition du système de management
Principes fondamentaux du management
1. L’engagement de la direction générale
2. La mobilisation du personnel
3. L’approche par processus
4. L’amélioration continue
Les systèmes de management existants
Structure de haut niveau des normes ISO
La famille ISO
Introduction
Historique de l'ISO
Les avantages de l'ISO
La famille de la série ISO/IEC 27000
Présentation de quelques normes de la famille ISO/IEC 27000
1. ISO/IEC 27000
2. ISO/IEC 27001
3. ISO/IEC 27002
4. ISO/IEC 27003
5. ISO/IEC 27004
a. La partie méthodologique
b. Les annexes
6. ISO/IEC 27005
7. ISO/IEC 27006
a. Exigence de ressources
b. Processus d’audit et de certification
8. ISO/IEC 27007
a. Définition d’un audit
b. Principes d’audit
c. Compétences des auditeurs
d. Rapport d’audit
9. ISO/IEC 27008
10. ISO/IEC 27009
Gestion des risques de sécurité de l’information
Introduction
La notion de risque
La perception
L'appétence, la tolérance et la capacité au risque
1. L’appétence
2. La tolérance
3. La capacité au risque
Les mesures de sécurité
1. Mesures organisationnelles
2. Mesure de sécurité technologique
3. Mesure de sécurité humaine
4. Mesure de sécurité physique
Les catégories des mesures de sécurité
1. Mesures de sécurité préventives
2. Mesure détective
3. Mesure corrective
4. Mesure dissuasive
5. Mesure compensatoire
La défense en profondeur
Le principe du moindre privilège
Le processus de gestion des risques
1. L’établissement du contexte
2. L’identification des risques
3. L’analyse des risques
4. L’évaluation des risques
5. Le traitement des risques
6. Activités transverses
Méthode d’analyse de risques : EBIOS
1. Présentation de la méthode
2. Caractéristiques de la méthode
3. Les grands cycles de la méthode EBIOS RiskManager
a. Le cycle stratégique
b. Le cycle opérationnel
4. Les ateliers EBIOS RM
5. Atelier 1 : cadrage et socle desécurité
a. Activité 1 : établirle cadre de l’étude
b. Activité 2 : définirle périmètre métier et technique
6. Atelier 2 : sources de risque
a. Activité 1 : identifierles sources de risque et les objectifs visés
b. Activité 2 : évaluerles couples source de risque/objectif visé
c. Activité 3 : sélectionnerles couples les plus pertinents
7. Atelier 3 : scénarios stratégiques
a. Activité 1 : cartographier l’écosystème
b. Activité 2 : élaborer les scénariosstratégiques
c. Activité 3 : définir les mesuresde sécurité sur l’écosystème
8. Atelier 4 : scénarios opérationnels
a. Activité 1 : élaborer les scénariosopérationnels
b. Activité 2 : évaluer la vraisemblancedes scénarios
9. Atelier 5 : traitement du risque
a. Activité 1 : réaliser une évaluationdes risques
b. Activité 2 : décider de la stratégiede traitement du risque
c. Activité 3 : définir les mesuresde sécurité
d. Activité 4 : évaluer et documenterles risques résiduels
e. Activité 5 : mettre en place le cadre desuivi des risques
La norme ISO/IEC 27001 : 2022
Introduction
Présentation de la norme
Les clauses de la norme ISO/IEC 27001
1. Domaine d’application
2. Références normatives
3. Termes et définitions
4. Contexte de l’organisation
a. Analyse des enjeux internes et externes
b. Comprendre les besoins et attentes des parties intéressées
5. Leadership
a. Démontrer son leadership
b. Définir une politique de sécurité
c. Fournir les ressources
d. Définir les rôles et responsabilités
6. Planification
7. Support
a. Ressources
b. Compétences
c. Sensibilisation
d. Communication
e. Information documentée
8. Mise en œuvre des processus opérationnels
9. Évaluation des performances
10. Amélioration
L’annexe A
1. Mesure organisationnelle
a. La politique de sécurité de l’information
b. Rôle et responsabilité en matièrede sécurité de l’information
c. La séparation des tâches
d. Responsabilité de la direction
e. Relation avec les autorités publiques
f. Relation avec les autorités privées
g. Renseignement sur les menaces
h. Sécurité de l’informationdans la gestion de projet
i. Inventaire des actifs
j. Utilisation acceptable des informations et autresactifs associés
k. Restitution des actifs
l. Classification des informations
m. Marquage des informations
n. Transfert d’information
o. Contrôle d’accès
p. Gestion des identités
q. Information d’authentification
r. Droit d’accès
s. Sécurité de l’informationdans les relations avec les fournisseurs
t. Sécurité de l’informationdans les accords avec les fournisseurs
u. Gestion de la sécurité de l’informationdans la chaîne d’approvisionnement TIC
v. Surveillance, revue et gestion des changements desservices fournisseurs
w. Sécurité de l’information pour l’utilisationdes services en nuage (cloud)
x. Planification et préparation de la gestiondes incidents de sécurité de l’information
y. Évaluation et prise de décisionconcernant les événements de sécurité del’information
z. Réponse aux incidents de sécurité del’information
aa. Retour d’expérience des incidents de sécurité del’information
ab. Collecte de preuves
ac. Sécurité de l’information durantune perturbation
ad. Préparation des TIC pour la continuité d’activité
ah. Protection de la vie privée et des données à caractèrepersonnel
ai. Revue indépendante de la sécurité del’information
aj. Conformité aux politiques, règleset normes de sécurité de l’information
ak. Procédures d’exploitation documentées
2. Mesures de sécurité humaines
a. Recrutements des collaborateurs
b. Termes et conditions d’embauche
c. Sensibilisation et formation à la sécurité del’information
d. Processus disciplinaire
e. Responsabilités après la fin oule changement d’emploi
f. Accords de confidentialité ou de non-divulgation
g. Travail à distance
h. Signalement des événements liés à lasécurité de l’information
3. Mesures de sécurité physiques
a. Périmètre de sécurité physique
b. Entrées physiques
c. Sécurisation des bureaux, des salles et desinstallations
d. Surveillance de la sécurité physique
e. Protection contre les menaces physiques et environnementales
f. Travail dans les zones sécurisées
g. Bureau vide et écran vide
h. Emplacement et protection des équipements
i. Sécurité des actifs hors des locaux
j. Supports de stockage
k. Services supports
l. Sécurité du câblage
m. Maintenance des équipements
n. Mise au rebut ou recyclage sécurisé des équipements
4. Mesures de sécurité technologiques
a. Équipements des utilisateurs
b. Droits d’accès privilégiés
c. Restriction d’accès à l’information
d. Codes source
e. Authentification sécurisée
f. Gestion de la capacité
g. Protection contre les logiciels malveillants
h. Gestion des vulnérabilités techniques
i. Gestion de la configuration
j. Suppression de l’information
k. Masquage des données
l. Prévention des fuites de données
m. Sauvegarde des informations
n. Redondance des moyens de traitement de l’information
o. Journalisation
p. Surveillance des activités
q. Synchronisation des horloges
r. Utilisation de programmes utilitaires à privilèges
s. Installation de logiciels sur les systèmesen exploitation
t. Sécurité des réseaux
u. Sécurité des services réseau
v. Filtrage du Web
w. Cloisonnement des réseaux
x. Utilisation de la cryptographie
y. Cycle de vie du développement sécurisé
z. Exigences de sécurité des applications
aa. Architecture de système sécuriséeet principes d’ingénierie
ab. Codage sécurisé
ac. Tests de sécurité en cours de développement
ad. Développement externalisé
ae. Séparation des environnements de développement,de test et de production
af. Gestion des changements
ag. Informations sur les tests
ah. Protection des systèmes d’information lorsdes tests d’audits
Mise en œuvre pratique du SMSI
Introduction
Profil du responsable de mise en œuvre du système de management de la sécurité de l'information
Phase de cadrage du projet
Phase d’initiation
1. Quelques exemples de questions à poser pourl’analyse des écarts
2. Évaluation du niveau de maturité
3. Attribution des niveaux de maturité lorsdu gap analysis
4. Synthèse graphique : le radar dematurité
5. Rédaction du rapport
Définir le plan d'action du SMSI
Analyse et traitement des risques
Rédaction de la déclaration d’applicabilité
Rédaction de la politique de sécurité de l'information
1. La politique de sécurité de l’information
2. Structure d’une politique de sécurité del’information
Rédaction du corpus documentaire du SMSI
Communication
Développement des compétences : les formations
Évaluation de l’efficacité des formations
La sensibilisation
1. Comment mener une campagne de sensibilisation
2. Contenu d’un atelier de sensibilisation
a. Les principales menaces à connaître
b. Les bonnes pratiques à enseigner
3. Modalités pédagogiques de l’atelier
Surveillance, mesure, analyse et évaluation
1. Formuler le besoin d’information
2. Construire la formule de calcul
3. Fixer les seuils de performance
4. Identifier et affecter les responsables
5. Définir la fréquence et les preuves
6. Mise en pratique
7. Organisation du pilotage des indicateurs
a. Tableau de synthèse des indicateurs
b. Calendrier de collecte annuel
c. Procédure en cas d’indicateur en rouge
Audit interne
Revue de direction
Préparation à la certification
Pendant l'audit
Bonne pratique après la certification
Suzanne DIDIA ROMBA
Suzanne DIDIA ROMBA est experte en cybersécurité, spécialisée en Gouvernance, Risques et Conformité (GRC). Son parcours est soutenu par plusieurs certifications internationales, notamment ISO/IEC 27001 Lead Implementer, NIST Cybersecurity Lead Implementer, EBIOS Risk Manager, ISO 22301 Lead Implementer et ISO 31000 Lead Risk Manager. Elle intervient principalement auprès d’organisations sur les sujets de stratégie cyber, de gestion des risques, de conformité et de continuité d’activité. Elle accompagne également la mise en place et l’amélioration des Systèmes de Management de la Sécurité de l’Information (SMSI) conformément à l’ISO/IEC 27001. Dans cet ouvrage, elle partage son expertise pour aider les professionnels à mieux comprendre la norme ISO/IEC 27001 et à la mettre en œuvre dans le cadre d’un SMSI.
Editions ENI Livres | Vidéos | e-Formations
