Le cycle PDCA de gestion de l’ISO 27001

Face à la multiplication des cyberattaques, les organisations doivent mettre en place des mesures de cybersécurité efficaces, et l’adoption des normes ISO est devenue une réalité dans les entreprises. Les normes ISO sont élaborées et publiées par l’Organisation internationale de normalisation (ISO). Leur but principal est d’encadrer des processus précis dans des domaines comme la sécurité de l’information.

Parmi ces normes, la famille ISO 27000 est l’une des plus connues. Il s’agit d’une série de normes qui détaillent les lignes directrices et les exigences pour mettre en place un système de management de la sécurité de l’information (SMSI).

Au sein de cette famille, la norme principale, et la seule certifiable, est l’ISO 27001. Elle fixe les exigences pour établir, mettre en œuvre, tenir à jour et améliorer en continu un SMSI.

Sur le fond, les chapitres 4 à 10 de la norme peuvent se lire comme un cycle de Deming ou PDCA. Ce sont les suivants :

• Contexte de l’organisation
• Leadership
• Planification
• Support
• Fonctionnement
• Évaluation des performances
• Amélioration

Le cycle PDCA tient son nom des initiales de Plan-Do-Check-Act. Sa méthode repose sur l’amélioration continue, car un processus n’est jamais mis en place avec une efficacité et une précision de 100 %. Les quatre mots qui le composent correspondent à ses quatre phases.

Une nuance : l’ISO 27001 de 2005 présentait expressément le PDCA comme le modèle de mise en place du SMSI. Depuis la version de 2013, qui reprend la structure commune à toutes les normes ISO de systèmes de management, ce n’est plus une exigence. Ses chapitres continuent toutefois de s’inscrire dans le cycle, et c’est pourquoi on l’utilise encore pour organiser la mise en œuvre.

Le but principal de cette phase est d’établir le système de management de la sécurité de l’information. On y fixe concrètement les objectifs, procédures et politiques de sécurité de l’information, dans une optique d’amélioration de cette sécurité.

Il faut aussi définir le domaine d’application du système de management, ainsi que les rôles, les fonctions et les responsabilités de chacun dans le projet.

Quatre chapitres de l’ISO 27001 relèvent de cette première phase de planification :

• Contexte de l’organisation
• Leadership
• Planification
• Support

Le chapitre contexte permet de poser les premières bases du système de management : le contexte lui-même, c’est-à-dire tout ce qui entoure et influence l’organisation, les parties intéressées et le domaine d’application du système à mettre en place.

Le chapitre leadership demande à la direction de faire preuve de leadership et d’engagement dans la mise en place et le maintien du système de management. On y définit une politique de sécurité, que tous les acteurs concernés doivent connaître et appliquer, ainsi que les rôles et responsabilités de chacun.

Le chapitre suivant, planification, définit comment les risques de sécurité de l’information sont appréciés et traités (6.1), y compris le plan de traitement et la déclaration d’applicabilité. On y fixe aussi les objectifs de sécurité de l’information (6.2), qui doivent être cohérents avec la politique de sécurité, mesurables, communiqués et mis à jour, comme le précise la norme. La version de 2022 ajoute la planification des modifications du SMSI (6.3).

Enfin, cette phase couvre tout ce qui touche au support. Plusieurs points sont à prendre en compte. D’une part, il faut déterminer les ressources indispensables à la mise en place du système de management et s’engager à en assurer la disponibilité. D’autre part, il faut garantir la compétence et la sensibilisation, au moyen d’actions de formation à la sécurité. Il faut également prévoir des procédures de communication adaptées dans l’entreprise. Pour finir, l’organisation doit organiser la gestion de la documentation du système.

À ce stade, on met en œuvre le SMSI défini. On applique les procédures établies lors de la phase précédente et on met en place les mesures et opérations nécessaires pour gérer l’information de l’organisation de façon sûre et efficace.

Dans l’ISO 27001, cette phase du cycle correspond au chapitre 8, Fonctionnement. Comme indiqué plus haut, il s’agit de lancer et de mettre en œuvre le système de management défini.

Les points marquants de ce chapitre sont la réalisation des appréciations des risques à intervalles planifiés (8.2) et la mise en œuvre du plan de traitement des risques (8.3). L’inventaire des actifs, qui sert généralement de point de départ à l’analyse, est l’une des mesures de l’annexe A (5.9).

Dans cette phase, qui correspond à la lettre « C » du cycle PDCA, on évalue et on revoit l’efficacité du système de management de la sécurité de l’information planifié et mis en place lors des phases précédentes. On vérifie par exemple le respect de la politique de sécurité, des objectifs et des différentes procédures mises en œuvre.

Ces évaluations et revues ont intérêt à être menées régulièrement, afin de s’assurer que les procédures et actions engagées pour établir et mettre en œuvre le SMSI sont bien appliquées et fonctionnent.

Cette phase de la roue de Deming équivaut au chapitre 9 de l’ISO 27001, intitulé Évaluation des performances. La norme y demande de déterminer ce qui doit être surveillé et mesuré, ainsi que les méthodes permettant d’obtenir des résultats valables. Pour la surveillance, la mesure, l’analyse et l’évaluation du SMSI, l’organisation doit s’appuyer sur des données suffisamment fiables pour servir de référence.

On définit donc des métriques et des indicateurs pour mesurer l’efficacité du SMSI. On établit aussi les procédures d’audit interne et de revue de direction, qui ont lieu avant l’audit externe de certification.

Dans cette dernière phase du cycle, on maintient et on améliore le SMSI. Autrement dit, on engage des actions correctives pour améliorer les résultats obtenus et parvenir ainsi à une amélioration continue du système de management de la sécurité de l’information.

Cette dernière phase correspond au chapitre 10, Amélioration, de la norme. Ce chapitre comporte deux volets. D’un côté, la gestion des non-conformités détectées dans le système, que ce soit lors d’audits internes ou externes ou par des collaborateurs qui repèrent, dans leur travail, des défaillances ou des manquements.

Les actions préventives ne sont plus une exigence à part entière depuis la version de 2013 : ce rôle est désormais assuré par la gestion des risques du chapitre 6.

De l’autre, il faut mener un processus d’amélioration continue, c’est-à-dire un entretien permanent du SMSI visant à améliorer l’efficacité et l’efficience du système mis en place par l’organisation.

Chez GlobalSuite Solutions, notre équipe de conseil peut vous aider à mettre en place un SMSI fondé sur l’ISO 27001. Elle mène ce type de projets depuis plus de 10 ans, dans des entreprises de tous secteurs et de toutes activités.

Notre logiciel GlobalSuite® facilite l’automatisation et la gestion de la norme ISO 27001 pour optimiser votre SMSI. Sa souplesse lui permet de répondre aux exigences les plus complexes de façon simple et abordable, ce qui aide à obtenir la certification ISO 27001 et à renforcer la cybersécurité de l’entreprise.