Classification de l'information ISO 27001 : méthode

La classification de l'information est l'un des piliers du Système de Management de la Sécurité de l'Information (SMSI). En ISO 27001:2022, elle est encadrée par deux contrôles de l'Annexe A : A.5.12 — Classification de l'information et A.5.13 — Étiquetage de l'information. Ces contrôles répondent à une question simple mais fondamentale : toutes les informations n'ont pas la même valeur ni le même besoin de protection.

Sans classification formelle, les mesures de sécurité sont soit trop laxistes (données critiques mal protégées) soit trop contraignantes (procédures lourdes appliquées à des données publiques). La classification permet d'allouer les ressources de sécurité de façon proportionnée au niveau de risque réel.

Ce guide présente une méthode complète, applicable dès aujourd'hui, pour mettre en place un schéma de classification conforme à ISO 27001:2022.

Qu'est-ce que la classification de l'information en ISO 27001 ?

La classification de l'information est le processus par lequel une organisation attribue un niveau de sensibilité à chaque actif informationnel en fonction de sa valeur, de sa criticité et des conséquences potentielles d'une divulgation, modification ou perte non autorisée.

En ISO 27001:2022, ce processus s'inscrit dans la gestion des actifs (contrôles A.5.9 à A.5.14) :

• A.5.9 : Inventaire des actifs informationnels — identifier ce que l'on protège
• A.5.10 : Utilisation acceptable des actifs — règles d'usage
• A.5.11 : Restitution des actifs — procédures de retour en fin d'emploi/contrat
• A.5.12 : Classification de l'information — attribuer un niveau de sensibilité
• A.5.13 : Étiquetage de l'information — rendre la classification visible
• A.5.14 : Transferts d'information — encadrer les échanges selon le niveau

La classification est également le socle sur lequel reposent la politique de prévention des fuites de données (DLP), le contrôle d'accès et les mesures de masquage et anonymisation.

Les 4 niveaux de classification recommandés

ISO 27001 ne prescrit pas de niveaux spécifiques — c'est à l'organisation de définir ceux adaptés à son contexte. En pratique, une grille à 4 niveaux couvre la quasi-totalité des besoins des PME et ETI sans générer de complexité excessive.

Niveau 1 — Public

Définition : informations délibérément destinées au grand public, sans restriction d'accès ni de diffusion.

Exemples : plaquettes commerciales, contenus du site web public, communiqués de presse, offres d'emploi, documentation produit publique.

Règles de manipulation : aucune restriction particulière. Peut être partagé librement en interne et en externe.

Niveau 2 — Interne

Définition : informations à usage interne, non destinées au public mais dont la divulgation aurait un impact limité.

Exemples : organigrammes, procédures internes génériques, comptes-rendus de réunion ordinaires, plannings, notes de service, formation interne.

Règles de manipulation : accessible à tous les collaborateurs. Ne pas diffuser à l'extérieur sans autorisation. Stockage sur systèmes internes sécurisés. Destruction par déchiquetage.

Niveau 3 — Confidentiel

Définition : informations sensibles dont la divulgation non autorisée pourrait nuire significativement à l'organisation, à ses clients ou à ses partenaires.

Exemples : données personnelles clients (RGPD), données financières, contrats commerciaux, dossiers RH, plans stratégiques, code source, données de santé, résultats d'audit de sécurité.

Règles de manipulation : accès sur besoin d'en connaître uniquement. Chiffrement obligatoire pour le stockage et la transmission. Partage externe uniquement via canaux sécurisés et accord préalable. Journalisation des accès. Destruction certifiée.

Niveau 4 — Secret

Définition : informations hautement sensibles dont la divulgation pourrait avoir des conséquences graves : atteinte à la sécurité nationale, perte d'avantage concurrentiel majeur, mise en danger de personnes.

Exemples : secrets industriels majeurs, informations réglementées (Défense, IGS), clés cryptographiques maîtresses, données de vulnérabilité non divulguées, informations d'enquête judiciaire.

Règles de manipulation : liste blanche nominative des personnes autorisées. Double authentification. Chiffrement de bout en bout avec clés gérées par HSM. Aucune transmission sur réseaux non chiffrés. Traçabilité complète. Destruction par écrasement cryptographique certifié.

Règles d'étiquetage et de manipulation

L'étiquetage (A.5.13) consiste à rendre la classification visible et non ambiguë sur chaque actif. Sans étiquetage cohérent, les collaborateurs ne peuvent pas adapter leur comportement au niveau de sensibilité.

Documents papier et électroniques

Chaque document doit afficher son niveau de classification de façon visible :

• En-tête et pied de page : marquage centré (ex. : « CONFIDENTIEL — Usage interne uniquement »)
• Propriétés du fichier : étiquette de sensibilité dans les métadonnées (Microsoft Purview, Google Workspace labels)
• Filigrane (watermark) : pour les documents très sensibles, identifiant du destinataire pour tracer les fuites

Emails

L'objet de l'email doit préfixer le niveau quand nécessaire : [CONFIDENTIEL] ou [SECRET]. Les solutions DLP peuvent automatiquement chiffrer ou bloquer les emails contenant des données classifiées envoyés vers des domaines non autorisés.

Systèmes d'information et bases de données

Les applications doivent afficher le niveau de classification des données manipulées. Les bases de données contenant des données Confidentielles ou Secrètes doivent être marquées dans le registre des actifs et soumises aux contrôles d'accès correspondants.

Inventaire des actifs informationnels (A.5.9)

La classification ne peut exister sans un inventaire exhaustif des actifs informationnels. Cet inventaire est également requis par le contrôle A.5.9 et constitue l'entrée principale de l'analyse de risques.

Chaque entrée de l'inventaire doit comporter :

Le propriétaire de l'actif est un acteur clé : c'est lui (et non le RSSI) qui valide la classification initiale, autorise les accès exceptionnels et déclenche les révisions en cas de changement de contexte (cession d'activité, nouveau partenaire, incident).

Mise en œuvre pratique pas à pas

Mettre en place la classification de l'information dans une organisation qui ne l'a jamais pratiquée peut sembler fastidieux. Voici une approche en 5 étapes progressive et réaliste.

Étape 1 — Définir la politique de classification (semaines 1-2)

Rédiger un document d'une à deux pages définissant : les niveaux de classification, leurs critères, les règles de manipulation par niveau, les responsabilités des propriétaires. Faire valider par la direction générale et le comité de direction.

Étape 2 — Identifier et inventorier les actifs (semaines 3-6)

Mener des ateliers par département pour dresser l'inventaire initial. Se concentrer en premier sur les actifs liés aux données personnelles (RGPD), aux données financières et à la propriété intellectuelle. Utiliser un tableur Excel comme point de départ avant de migrer vers un outil ITSM (GLPI, Freshservice).

Étape 3 — Classifier chaque actif (semaines 7-10)

Chaque propriétaire classe ses actifs en utilisant une grille de critères simple : valeur pour l'organisation, impact d'une divulgation (faible / significatif / grave), exigences légales ou contractuelles. En cas de doute, monter d'un niveau (principe de précaution).

Étape 4 — Déployer l'étiquetage (semaines 11-14)

Configurer les outils (Microsoft Purview, Forcepoint, Netwrix) pour appliquer automatiquement les étiquettes. Créer les modèles de documents avec en-têtes/pieds de page appropriés. Former les équipes aux nouvelles pratiques.

Étape 5 — Former et sensibiliser (en continu)

Une classification sans sensibilisation est inefficace. Intégrer la classification à la formation annuelle de sécurité, au processus d'onboarding et aux procédures de gestion documentaire. Récompenser les comportements vertueux, traiter les écarts de façon proportionnée.

Outils et templates disponibles

Microsoft Purview (anciennement AIP) : intégré à Microsoft 365, permet de créer des étiquettes de sensibilité qui s'appliquent automatiquement aux fichiers Office, emails et SharePoint. Supporte le chiffrement, le watermarking et les restrictions d'accès. Solution idéale pour les organisations Microsoft.

Google Workspace — Etiquettes de sensibilité : disponible sur les licences Enterprise, offre des fonctionnalités similaires à Purview pour Drive, Gmail et Meet.

GLPI : outil ITSM open source permettant de gérer l'inventaire des actifs et d'y associer des niveaux de classification. Gratuit, déployable on-premise.

Tableur Excel/LibreOffice : pour les organisations en début de démarche, un tableau Excel bien structuré (Inventaire + Registre de classification) suffit pour la certification, à condition qu'il soit maintenu à jour.

Notre cabinet met à disposition un modèle Excel de registre d'actifs et de classification clé en main dans le cadre de nos missions d'accompagnement ISO 27001.

Classification et télétravail / cloud (A.5.23)

Le télétravail généralisé et l'adoption massive du cloud (SaaS, IaaS) rendent la classification plus complexe mais aussi plus nécessaire. Plusieurs défis spécifiques doivent être adressés.

Partage de fichiers cloud : un document Confidentiel partagé sur OneDrive ou Google Drive avec un lien public contourne tous les contrôles. La politique de classification doit explicitement interdire le partage public de documents Confidentiels et Secrets, et les outils DLP doivent appliquer cette règle techniquement.

Shadow IT : les collaborateurs en télétravail utilisent parfois des outils non approuvés (Dropbox personnel, WeTransfer) pour partager des fichiers volumineux. L'inventaire des actifs doit cartographier ces usages et la politique de services cloud ISO 27001 A.5.23 doit les encadrer.

Terminaux personnels (BYOD) : sur les appareils personnels, l'application des étiquettes de sensibilité et le contrôle DLP sont plus difficiles. La politique BYOD doit définir quels niveaux de classification sont accessibles depuis des appareils non gérés.

Visioconférence : les réunions Teams, Meet ou Zoom qui traitent d'informations Confidentielles doivent suivre des règles : enregistrement interdit sauf autorisation, participants vérifiés, accès aux présentations contrôlé.

Consultez également notre guide sur l'audit interne ISO 27001 pour vérifier la bonne application de votre schéma de classification.

Classification de l'information et conformité RGPD

La classification de l'information selon ISO 27001 et la protection des données personnelles au sens du RGPD sont deux démarches complémentaires. L'article 32 du RGPD impose aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées — et la classification ISO 27001 constitue précisément l'une de ces mesures.

Le RGPD distingue deux grandes catégories de données à caractère personnel (DCP) :

• Les données ordinaires : nom, adresse email, coordonnées professionnelles. Elles relèvent généralement du niveau Interne ou Confidentiel de votre grille de classification ISO 27001.
• Les données sensibles (Article 9) : données de santé, origine ethnique, opinions politiques, données biométriques. Elles exigent systématiquement le niveau Confidentiel ou Secret avec chiffrement obligatoire et accès en strict besoin d'en connaître.

Le DPO (Délégué à la Protection des Données) et le propriétaire d'actif informatif (concept ISO 27001, contrôle A.5.9) ont des rôles naturellement liés. Le propriétaire d'actif décide du niveau de classification ; le DPO s'assure que le traitement des données personnelles respecte les obligations RGPD correspondantes.

Votre politique de classification doit prévoir une mention explicite pour les données personnelles : tout actif contenant des DCP doit être classifié au minimum Confidentiel, avec un sous-marquage "Données personnelles" qui déclenche des procédures spécifiques (durée de conservation, droit à l'effacement, notification en cas de violation). Cette approche permet de rationaliser votre registre des traitements RGPD et votre inventaire d'actifs ISO 27001 en un seul référentiel.

Les violations de données doivent être notifiées à la CNIL sous 72 heures si elles présentent un risque pour les droits des personnes. Une classification rigoureuse facilite l'évaluation rapide de la gravité de l'incident : un fichier classifié Public fuité n'entraîne généralement pas de notification, contrairement à un fichier Secret contenant des données de santé.

Enfin, la classification contribue directement au Privacy by Design (Article 25 RGPD) : en définissant dès la conception d'un projet la nature des données manipulées et leur niveau de sensibilité, vous intégrez les mesures de protection appropriées avant le déploiement plutôt qu'après.

Outils de classification de l'information en pratique

La réussite d'un projet de classification repose autant sur les outils choisis que sur la politique elle-même.

Microsoft Purview Information Protection

Microsoft Purview Information Protection (anciennement Azure Information Protection) est la solution native pour les environnements Microsoft 365. Elle permet d'appliquer des étiquettes de sensibilité directement dans Word, Excel, PowerPoint, Outlook, Teams et SharePoint :

• Étiquettes visibles (entête, pied de page, filigrane) et invisibles (métadonnées chiffrées)
• Chiffrement automatique selon l'étiquette : seuls les utilisateurs autorisés peuvent ouvrir le fichier, même en dehors de l'organisation
• Intégration native avec Microsoft Purview DLP : blocage automatique du partage de fichiers Confidentiel vers des domaines externes non autorisés
• Classification automatique basée sur des modèles de contenu (numéros de CB, NIR, IBAN...)

Pour les pipelines de données et les environnements MLOps, voir notre guide sur la mise en conformité MLOps ISO 27001 et NIS 2.

Varonis Data Security Platform

Varonis est particulièrement adapté aux organisations avec un grand volume de partages réseau et aux besoins d'audit avancés :

• Découverte et classification automatique des données sensibles à l'échelle (PII, PHI, PCI)
• Cartographie des droits d'accès et détection des accès non conformes à la classification
• Alertes comportementales (accès massif à des fichiers Confidentiel signale une exfiltration potentielle)
• Rapports d'audit prêts pour l'auditeur ISO 27001

Tableau comparatif des principaux outils

Pour la journalisation des accès aux actifs classifiés, notre guide sur la politique de logging et monitoring SIEM ISO 27001 A.8.15-16 détaille les événements à auditer selon le niveau de classification.

Classification dans le cloud (SaaS, IaaS, PaaS)

Le contrôle A.5.23 de l'ISO 27001:2022 — "Sécurité de l'information pour l'utilisation des services cloud" — est spécifiquement conçu pour encadrer la classification des actifs hébergés chez des fournisseurs cloud. C'est l'un des 11 nouveaux contrôles introduits dans la version 2022.

Modèle de responsabilité partagée

AWS, Azure et GCP appliquent tous un modèle de responsabilité partagée : le fournisseur assure la sécurité "du" cloud (infrastructure physique, hyperviseur, réseau), vous êtes responsable de la sécurité "dans" le cloud (données, identités, configuration). La classification de vos actifs cloud est donc entièrement de votre responsabilité.

Règles pratiques par niveau de classification :

• Public : stockage S3/Blob public admis, pas de chiffrement obligatoire
• Interne : stockage privé obligatoire, chiffrement at-rest conseillé (SSE-S3, Azure SSE)
• Confidentiel : chiffrement at-rest et in-transit obligatoires, clés gérées par le client (BYOK/CMK), journalisation des accès activée (AWS CloudTrail, Azure Monitor), réplication géographique restreinte aux pays UE
• Secret : BYOK obligatoire avec HSM dédié (AWS CloudHSM, Azure Dedicated HSM), aucun accès fournisseur admis, audit continu des droits IAM

Pour chaque SaaS hébergeant des données classifiées, évaluez : la classification maximale des données stockées, la conformité RGPD du DPA, la certification ISO 27001 ou SOC 2 du fournisseur (contrôle A.5.19), et la portabilité des données en fin de contrat (contrôle A.5.20).

Formation et sensibilisation des équipes à la classification

La meilleure politique de classification ne vaut rien si les collaborateurs ne savent pas l'appliquer au quotidien. La formation est un contrôle ISO 27001 obligatoire (A.6.3) et l'un des principaux points d'échec constatés lors des audits de certification.

Programme de sensibilisation en 3 niveaux

• Onboarding (tous les nouveaux arrivants) : 30 minutes e-learning obligatoire présentant les 4 niveaux, les règles d'étiquetage, et 5 cas pratiques du métier
• Annuel (tous les collaborateurs) : rappel des règles et retour d'expérience sur un incident de mauvaise classification survenu dans l'année (anonymisé)
• Approfondi (propriétaires d'actifs, RSSI, DSI) : atelier 2h sur les cas limites, la gestion des exceptions, et l'évolution des niveaux selon les projets

Métriques de suivi pour l'audit interne

Pour démontrer l'efficacité de votre programme lors de l'audit de certification, suivez ces indicateurs :

• Pourcentage d'actifs classifiés dans le registre d'inventaire (objectif : 100 %)
• Pourcentage de collaborateurs ayant suivi la formation annuelle (objectif : supérieur à 95 %)
• Nombre d'incidents de mauvaise classification détectés par trimestre (tendance décroissante)
• Délai moyen de reclassification après détection d'une erreur (moins de 5 jours ouvrés)

Ces métriques alimentent directement la revue de direction ISO 27001 (clause 9.3) et prouvent l'amélioration continue de votre SMSI — exigence fondamentale pour maintenir la certification sur le long terme.

FAQ — Classification de l'information ISO 27001

Quels sont les niveaux de classification de l'information en ISO 27001 ?

ISO 27001 ne prescrit pas de niveaux spécifiques mais recommande de définir ceux adaptés à l'organisation. La pratique courante adopte 4 niveaux : Public, Interne, Confidentiel et Secret. Certaines organisations ajoutent un niveau intermédiaire entre Confidentiel et Secret pour les données très sensibles.

Quelle est la différence entre classification et étiquetage en ISO 27001 ?

La classification (A.5.12) est le processus d'attribution d'un niveau de sensibilité. L'étiquetage (A.5.13) est la mise en pratique via des marquages visibles. La classification décide du niveau, l'étiquetage le rend visible et actionnable par les utilisateurs.

Qui est responsable de la classification des informations dans un SMSI ISO 27001 ?

ISO 27001 exige que chaque actif informationnel ait un propriétaire désigné (A.5.9). Ce propriétaire est responsable de la classification initiale et de sa révision. C'est généralement le responsable métier, pas le RSSI.

Comment classifier les emails et documents partagés sur le cloud en ISO 27001 ?

Pour les emails, un préfixe dans l'objet ([CONFIDENTIEL]) et une signature automatique. Pour les documents cloud, des solutions comme Microsoft Purview ou les étiquettes Google Workspace appliquent des niveaux de sensibilité contrôlant les droits de partage et de téléchargement.

Faut-il reclassifier les informations existantes lors de la certification ISO 27001 ?

Oui, la certification exige un inventaire et une classification des actifs existants. En pratique, une approche progressive par vagues (données critiques d'abord) sur 6 à 12 mois est généralement acceptée par les auditeurs de certification.