Qu’est-ce que l’ISO 27000 ?
Les normes qui composent la série ISO/IEC-27000 sont un ensemble de standards créés et gérés par l’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC). Ces deux organisations internationales rassemblent de nombreux pays, ce qui garantit leur large diffusion, mise en œuvre et reconnaissance dans le monde entier.
Aujourd’hui, l’information est l’un des actifs les plus importants d’une entreprise, il est donc nécessaire qu’elle soit dûment protégée. Les normes de la famille ISO 27000 traitent de la gestion de la sécurité de l’information et peuvent être combinées pour fournir un cadre reconnu au niveau mondial.
Ces normes sont orientées vers l’établissement de bonnes pratiques en matière de mise en œuvre, de maintenance et de gestion du Système de Gestion de la Sécurité de l’Information (SGSI) ou, en anglais, Information Security Management System (ISMS). Ces guides ont pour objectif d’établir les meilleures pratiques concernant différents aspects liés à la gestion de la sécurité de l’information, avec une forte orientation vers l’amélioration continue et l’atténuation des risques. Il convient de noter que les recommandations présentées dans ces normes sont applicables à tout type d’organisation, qu’il s’agisse de grandes, petites, publiques, privées, etc.
La norme ISO 27000 en particulier facilite les bases et le langage commun pour le reste des normes de la série.
Ensemble de normes de la famille ISO 27000
- ISO 27001 : spécifie les exigences nécessaires pour mettre en œuvre et gérer un SGSI. C’est la norme la plus importante de la famille et elle est certifiable.
- ISO 27002 : en soutien au processus de gestion des risques de la norme ISO/IEC-27001, elle définit un ensemble de bonnes pratiques pour la mise en œuvre du SGSI, à travers 93 contrôles, structurés en 4 grands domaines.
- ISO 27003 : fournit un guide pour la mise en œuvre correcte d’un SGSI, en se concentrant sur les aspects importants pour la réussite de ce processus.
- ISO 27004 : fournit des directives orientées vers la définition et l’établissement corrects de mesures permettant d’évaluer correctement les performances du SGSI.
- ISO 27005 : définit comment réaliser la gestion des risques liés aux systèmes de gestion de l’information, en se concentrant sur la manière d’établir la méthodologie à employer.
- ISO 27006 : établit les exigences que doivent remplir les organisations qui souhaitent être accréditées pour certifier d’autres organisations dans le respect de la norme ISO/IEC-27001.
- ISO 27007 : est un guide qui établit les procédures pour réaliser des audits internes ou externes dans le but de vérifier et de certifier les mises en œuvre de la norme ISO/IEC-27001.
- ISO 27008 : définit comment évaluer les contrôles du SGSI afin de vérifier leur adéquation technique, de sorte qu’ils soient efficaces pour l’atténuation des risques.
- ISO 27009 : complète la norme ISO/IEC-27001 pour inclure des exigences et de nouveaux contrôles ajoutés qui sont applicables dans des secteurs spécifiques, dans le but de rendre sa mise en œuvre plus efficace.
- ISO 27010 : indique comment l’information doit être traitée lorsqu’elle est partagée entre plusieurs organisations, quels risques peuvent apparaître et les contrôles à employer pour les atténuer, en particulier lorsqu’ils sont liés à la gestion de la sécurité des infrastructures critiques.
- ISO 27011 : établit les principes pour mettre en œuvre, maintenir et gérer un SGSI dans les organisations de télécommunications, en indiquant comment mettre en œuvre les contrôles de manière efficace.
- ISO 27013 : établit un guide pour l’intégration des normes ISO/IEC-27001 (SGSI) et ISO/IEC-20000 Système de Gestion des Services (SGS) dans les organisations qui mettent en œuvre les deux.
- ISO 27014 : établit des principes pour la gouvernance de la sécurité de l’information.
- ISO 27015 : facilite les principes de mise en œuvre d’un SGSI dans les entreprises qui fournissent des services financiers et d’assurance.
- ISO 27016 : fournit un guide pour la prise de décisions économiques liées à la gestion de la sécurité de l’information, en appui à la direction des organisations.
- ISO 27017 : fournit un guide pour les services Cloud, avec des contrôles basés sur la norme ISO/IEC-27002.
- ISO 27018 : complète les normes ISO/IEC-27001 et ISO/IEC-27002 dans la mise en œuvre de procédures et de contrôles pour protéger les données personnelles dans les organisations qui fournissent des services dans le Cloud pour des tiers.
- ISO 27019 : facilite un guide basé sur la norme ISO/IEC-27002 à appliquer aux industries liées au secteur de l’énergie, afin qu’elles puissent mettre en œuvre un SGSI.
- ISO 27021 : établit les exigences de compétence pour les professionnels du SGSI qui dirigent ou participent à l’établissement, à la mise en œuvre, à la maintenance et à l’amélioration continue d’un ou plusieurs processus du SGSI.
- ISO 27022 : fournit un modèle de référence de processus pour le SGSI.
- ISO 27023 : facilite un guide de correspondances entre les normes ISO/IEC-27001 et ISO/IEC-27002.
- ISO 27031 : fournit un soutien pour l’adéquation des technologies de l’information et de la communication.
- ISO 27032 : facilite l’identification des lignes générales pour renforcer l’état de la cybersécurité dans une entreprise.
- ISO 27033 : établit les directives de sécurité de l’administration, de l’exploitation et de l’utilisation des réseaux.
- ISO 27034 : fournit une orientation dans le domaine de la technologie de l’information, des techniques de sécurité et de la sécurité de l’application.
- ISO 27035 : définit un ensemble de meilleures pratiques liées à la gestion des incidents de sécurité, en mettant l’accent sur la détection, le signalement et l’évaluation des incidents de sécurité.
- ISO 27036 : relative à la sécurité de l’information pour les relations avec les fournisseurs, elle offre une orientation sur l’évaluation et le traitement des risques d’information impliqués dans l’acquisition de biens et de services auprès de fournisseurs.
- ISO 27037 : offre des directives pour l’identification, la collecte, l’acquisition et la préservation des preuves numériques.
- ISO 27038 : spécifie les caractéristiques des techniques pour la rédaction numérique.
- ISO 27039 : fournit un guide pour aider les entreprises à sélectionner, déployer et exploiter des systèmes de détection et de prévention d’intrusion.
- ISO 27040 : facilite des directives pour protéger la sécurité des systèmes de stockage, ainsi que pour la protection des données contenues dans ceux-ci.
- ISO 27041 : offre un guide et des directives pour garantir la pertinence et l’adéquation des méthodes d’enquête sur les incidents.
- ISO 27042 : définit les directives pour une analyse et une interprétation correctes des preuves numériques.
- ISO 27043 : fournit un guide des principes et des processus pour la collecte de preuves numériques et l’enquête sur les incidents.
- ISO 27050 : il s’agit d’une norme développée en quatre parties qui traite des informations stockées dans des dispositifs électroniques.
- ISO 27070 : définit des exigences de sécurité qui ont pour objectif d’établir des racines de confiance pour la fourniture d’environnements informatiques fiables.
- ISO 27099 : offre des exigences pour gérer la sécurité de l’information pour les fournisseurs de services de confiance d’infrastructure de clé publique (PKI).
- ISO 27100 : facilite une vue d’ensemble de la cybersécurité et définit des concepts pertinents qui y sont liés.
- ISO 27102 : décrit des directives de gestion pour lorsqu’on envisage l’acquisition d’assurances cybernétiques comme une option de traitement des risques.
- ISO 27103 : offre un guide sur l’exploitation des normes et des règles existantes dans un cadre de cybersécurité.
- ISO 27110 : basée sur les principes de flexibilité, de compatibilité et d’interopérabilité, cette norme fournit des directives pour standardiser les mesures de sécurité.
- ISO 27400 : fournit un guide basé sur des directives sur les risques, les principes et les contrôles pour la sécurité et la confidentialité des solutions de l’Internet des objets (IoT).
- ISO 27550 : offre des directives d’ingénierie de la confidentialité orientées vers l’aide aux organisations pour intégrer dans leurs processus du système les avancées en matière d’ingénierie de la confidentialité.
- ISO 27555 : facilite des directives pour le développement et la mise en œuvre de politiques et de procédures pour la suppression des informations d’identification personnelle (PII) dans les organisations.
- ISO 27570 : fournit une orientation sur la protection de la confidentialité dans le développement des écosystèmes des villes intelligentes.
- ISO 27701 : développée comme un guide d’extension aux exigences et aux contrôles de la norme ISO 27001, elle apporte aux organisations les exigences pour administrer, gérer les données et protéger la confidentialité des informations d’identification personnelle (PII).
- ISO 27799 : définit des directives pour la mise en œuvre de la norme ISO/IEC-27002 dans l’industrie de la santé.
Il convient de souligner, parmi l’ensemble mentionné, la norme ISO/IEC-27001 qui est considérée comme la principale norme de la famille ISO 27000 et où sont spécifiées les exigences nécessaires pour mettre en œuvre, maintenir et gérer un SGSI, dans le cadre du processus d’amélioration continue connu sous le nom de Cycle Deming ou PDCA, acronyme de Plan-Do-Check-Act, en relation avec les phases de Planifier, Faire, Vérifier et Agir. D’autre part, la norme ISO/IEC-27002 est un ensemble de 93 contrôles, regroupés en 4 domaines, qui ont pour objectif de faciliter les bonnes pratiques en matière de gestion du SGSI.
Comment aborder l’ISO 27001 à travers un logiciel ?
Chez GlobalSuite Solutions, nous disposons d’un logiciel de système de sécurité. Un outil qui permet la mise en œuvre, la gestion et le maintien de systèmes de management de la sécurité de l’information basés sur la norme ISO 27001. Un outil qui aide les entreprises et les équipes de travail dans la gestion intégrale de la norme et couvre son cycle complet, depuis le lancement et la planification du projet jusqu’à sa maintenance et son amélioration continue.
