ISO 27002 : 93 mesures de sécurité, attributs et mise en œuvre

La norme ISO 27002, dont la référence complète est ISO/IEC 27002:2022, est le catalogue international de référence des mesures de sécurité de l'information : elle décrit 93 mesures réparties en quatre thèmes, chacune accompagnée d'un objectif, de recommandations de mise en œuvre et de cinq attributs de classement. Elle ne délivre aucun certificat : elle sert de mode d'emploi détaillé à l'annexe A de l'ISO/IEC 27001, la norme d'exigences du système de management de la sécurité de l'information (SMSI). En 2026, alors que la période de transition vers l'ISO/IEC 27001:2022 est close depuis le 31 octobre 2025 et que les référentiels issus de la directive NIS2 se précisent, savoir lire et appliquer ce catalogue est devenu une compétence de base pour tout RSSI. Ce guide détaille la structure de la norme, les nouveautés de la version 2022, l'usage des attributs et une méthode pour déployer puis prouver chaque mesure. Pour le cadre global de certification, consultez notre guide complet de l'ISO 27001.

ISO 27002 : définition, statut et périmètre de la norme

Le texte publié par l'ISO et l'IEC en février 2022 s'intitule « Sécurité de l'information, cybersécurité et protection de la vie privée — Mesures de sécurité de l'information ». Préparé par le sous-comité ISO/IEC JTC 1/SC 27, il constitue la troisième édition et remplace la version de 2013. La mention « code de bonne pratique » a disparu du titre : le document se présente désormais comme un ensemble de référence de mesures génériques, utilisables par tout type d'organisation.

La fiche officielle de l'ISO/IEC 27002:2022 précise que la norme s'adresse à toute organisation, quels que soient sa taille et son secteur, et qu'elle ne se prête pas à la certification. Le texte anglais compte 152 pages. En France, la version homologuée NF EN ISO/IEC 27002 a été publiée par l'AFNOR en novembre 2022 et remplace l'édition française de 2017.

Le domaine d'application prévoit trois usages principaux. Le premier consiste à choisir et interpréter les mesures dans le cadre d'un SMSI selon l'ISO/IEC 27001. Le deuxième vise à déployer des mesures fondées sur des bonnes pratiques reconnues, même sans projet de certification. Le troisième sert à rédiger des recommandations de sécurité propres à l'organisation, par exemple une politique groupe ou un référentiel imposé aux filiales et aux fournisseurs.

La norme n'est ni un référentiel d'exigences, ni une méthode d'appréciation des risques, ni une liste obligatoire. Les recommandations sont formulées au conditionnel normatif « il convient de », ce qui laisse à chaque organisation le choix des moyens. L'identification des risques relève d'autres méthodes, comme l'ISO/IEC 27005 ou EBIOS Risk Manager, dont les résultats orientent ensuite la sélection des mesures.

ISO 27001 et ISO/IEC 27002 : exigences d'un côté, recommandations de l'autre

L'ISO/IEC 27001:2022 fixe les exigences du système de management dans ses chapitres 4 à 10 : contexte, leadership, planification, support, fonctionnement, évaluation des performances et amélioration. Son annexe A reprend les 93 mesures de l'ISO/IEC 27002, mais en une seule phrase chacune. L'ISO/IEC 27002 apporte ce qui manque à cette phrase : l'objectif poursuivi, des recommandations détaillées et les attributs de classement.

Le lien formel se trouve dans l'exigence 6.1.3 de l'ISO/IEC 27001. L'organisation détermine les mesures nécessaires au traitement de ses risques, les compare à l'annexe A pour vérifier qu'aucune mesure utile n'a été oubliée, puis rédige la déclaration d'applicabilité (DdA, ou SoA en anglais). Dans ce document, la déclaration d'applicabilité doit justifier chaque inclusion et chaque exclusion et indiquer l'état de mise en œuvre.

La FAQ NIS2 de l'ANSSI résume bien cette répartition des rôles : elle rappelle que l'ISO 27001 ne prescrit pas de mesures et s'appuie sur les bonnes pratiques de l'ISO 27002. L'entité fixe elle-même son niveau de sécurité et son périmètre, puis choisit les mesures. Pour structurer cette démarche, notre guide de mise en place d'un SMSI ISO 27001 version 2022 détaille chaque étape.

Ce qui a changé avec l'ISO/IEC 27002:2022

L'édition de 2013 comptait 114 mesures réparties en 14 chapitres et 35 objectifs de sécurité. La révision de 2022 a refondu cette architecture pour réduire les doublons, intégrer des pratiques devenues courantes comme le cloud ou le renseignement sur les menaces, et faciliter l'attribution des responsabilités. Le résultat est un catalogue plus compact, organisé selon la nature de la mesure plutôt que selon un découpage technique.

Deuxième changement structurant, chaque mesure possède désormais son propre objectif, appelé « purpose » en anglais, alors que la version 2013 rattachait plusieurs mesures à un objectif commun. Troisième nouveauté, chaque mesure est associée à cinq attributs aux valeurs normalisées. Enfin, les termes et définitions utiles figurent directement à l'article 3 de la norme au lieu de renvoyer au vocabulaire d'un autre document.

L'annexe B de la norme fournit la correspondance complète entre les identifiants 2013 et 2022. Elle est précieuse pour migrer une déclaration d'applicabilité, un outil de gestion des risques ou un plan de contrôle interne. La plupart des anciennes mesures ont été fusionnées ou reformulées ; leur contenu reste donc présent, mais sous un autre numéro et parfois dans un autre thème.

Pour les organisations certifiées, la conséquence est concrète. L'ISO/IEC 27001:2022, qui aligne son annexe A sur ce nouveau catalogue, a été publiée le 25 octobre 2022 et le Forum international de l'accréditation (IAF) avait fixé une transition de trois ans. Depuis le 31 octobre 2025, les certificats fondés sur la version 2013 ne sont plus valides : toute DdA auditée en 2026 doit s'appuyer sur les 93 mesures.

Les 4 thèmes et les 93 mesures du catalogue ISO 27002

Les mesures occupent les chapitres 5 à 8 de la norme. Le chapitre 5 rassemble 37 mesures organisationnelles, le chapitre 6 huit mesures applicables aux personnes, le chapitre 7 quatorze mesures physiques et le chapitre 8 trente-quatre mesures technologiques. Ce découpage répond à une question simple : la mesure repose-t-elle sur une décision d'organisation, sur des individus, sur des locaux et équipements, ou sur une technologie ?

Chaque thème couvre un ensemble cohérent de sujets. Le tableau de bord d'un SMSI gagne à suivre cette répartition, car elle correspond souvent à des propriétaires différents : direction et conformité, ressources humaines, services généraux, direction des systèmes d'information. Les principaux contenus sont les suivants :

• Mesures organisationnelles (5.1 à 5.37) : politiques, rôles, séparation des tâches, inventaire des actifs (5.9), classification, contrôle d'accès et gestion des identités (5.15 à 5.18), fournisseurs et cloud (5.19 à 5.23), incidents (5.24 à 5.28), continuité (5.29 et 5.30), obligations légales et données personnelles (5.31 à 5.34).
• Mesures applicables aux personnes (6.1 à 6.8) : vérification des candidats, conditions d'emploi, sensibilisation et formation, processus disciplinaire, départs, engagements de confidentialité, travail à distance (6.7) et signalement des événements (6.8).
• Mesures physiques (7.1 à 7.14) : périmètres et accès physiques, surveillance des locaux (7.4), bureau propre et écran verrouillé, supports de stockage, alimentation, câblage, maintenance et mise au rebut des équipements.
• Mesures technologiques (8.1 à 8.34) : terminaux, accès à privilèges, authentification, protection contre les logiciels malveillants, vulnérabilités, configurations, sauvegardes, journalisation, réseaux, cryptographie, développement sécurisé et gestion des changements.

L'inventaire des actifs illustre bien l'articulation entre thèmes : la mesure 5.9 est organisationnelle, mais elle conditionne la protection des terminaux (8.1), la gestion des vulnérabilités (8.8) et la sauvegarde (8.13). Notre modèle d'inventaire des actifs pour la mesure 5.9 propose une structure directement exploitable. Pour parcourir la liste intégrale des intitulés, utilisez la checklist des 93 contrôles de l'annexe A.

Anatomie d'une mesure : titre, attributs, objectif et recommandations

Toutes les mesures suivent le même gabarit, décrit à l'article 4 de la norme. On y trouve un titre court, un tableau d'attributs, la mesure de sécurité proprement dite, son objectif, des recommandations de mise en œuvre et, parfois, des informations complémentaires. Cette homogénéité facilite la lecture transversale et l'import dans un outil de gouvernance, risques et conformité (GRC).

La rubrique « mesure de sécurité » dit ce qu'il faut obtenir, en une ou deux phrases. L'objectif explique pourquoi, en reliant la mesure à un risque ou à une propriété de sécurité. Les recommandations décrivent comment procéder, souvent sous forme de listes de points à considérer. Les informations complémentaires renvoient à des normes spécialisées ou signalent des précautions juridiques et techniques.

Prenons la mesure 8.9 consacrée à la gestion des configurations. L'objectif consiste à garantir que matériels, logiciels, services et réseaux fonctionnent avec les paramètres de sécurité attendus et ne sont pas modifiés sans autorisation. Concrètement, cela suppose des configurations de référence durcies, un suivi des écarts et un processus de changement maîtrisé. La norme ne cite aucun outil : le choix entre scripts, gestion centralisée des postes ou infrastructure décrite par du code reste libre.

Les cinq attributs de l'ISO 27002 : filtrer le catalogue selon vos besoins

Les attributs sont des étiquettes normalisées qui permettent de trier les 93 mesures selon plusieurs points de vue. L'annexe A de la norme explique comment les utiliser pour créer des vues différentes du même catalogue. Chaque attribut possède une liste fermée de valeurs, notées avec un dièse, et une mesure peut porter plusieurs valeurs pour un même attribut :

• Type de mesure : préventive, détective ou corrective.
• Propriétés de sécurité de l'information : confidentialité, intégrité, disponibilité.
• Concepts de cybersécurité : identifier, protéger, détecter, répondre, récupérer.
• Capacités opérationnelles : quinze valeurs, dont gouvernance, gestion des actifs, sécurité des systèmes et réseaux, gestion des identités et des accès, gestion des menaces et vulnérabilités, continuité ou assurance de la sécurité.
• Domaines de sécurité : gouvernance et écosystème, protection, défense, résilience.

À titre d'exemple, la mesure 5.1 sur les politiques de sécurité de l'information est préventive, couvre la confidentialité, l'intégrité et la disponibilité, relève du concept « identifier », de la capacité « gouvernance » et des domaines « gouvernance et écosystème » et « résilience ». Une mesure de surveillance porte au contraire des valeurs détectives et le concept « détecter ».

Les concepts de cybersécurité reprennent les cinq fonctions historiques du NIST Cybersecurity Framework. La version 2.0 du cadre américain, publiée en 2024, a ajouté une sixième fonction consacrée à la gouvernance, que l'on retrouve côté ISO dans la capacité opérationnelle du même nom. Cette proximité facilite la production d'un tableau de correspondance pour un groupe qui doit rendre compte à la fois selon l'ISO et selon le NIST.

La norme autorise à ignorer certains attributs et à créer les siens : entité métier, exigence réglementaire, niveau de maturité, propriétaire. Le sous-comité SC 27 a d'ailleurs annoncé dans son journal de septembre 2026 la publication prochaine de l'ISO/IEC 27028, un guide dédié à l'usage des attributs de mesures, avec des exemples d'attributs personnalisés.

Mettre en œuvre les mesures ISO 27002 : méthode en six étapes

Appliquer la norme ne consiste pas à déployer 93 mesures de front. La démarche efficace part du périmètre et des risques, sélectionne les mesures utiles, les confie à des responsables identifiés puis vérifie leur efficacité. Le schéma suivant résume la boucle que nous recommandons, compatible avec le cycle d'amélioration continue exigé par l'ISO/IEC 27001.

1. Délimiter le périmètre et inventorier les actifs : sites, activités, systèmes et données couverts. Notre modèle de document de périmètre du SMSI aide à formaliser ce point.
2. Apprécier les risques avec une méthode reconnue, en identifiant scénarios, vraisemblance et impacts.
3. Sélectionner les mesures qui traitent ces risques, les comparer au catalogue et rédiger la déclaration d'applicabilité.
4. Désigner un responsable par mesure et planifier le déploiement selon la criticité des risques et les ressources disponibles.
5. Définir les preuves et les indicateurs qui démontreront que chaque mesure fonctionne réellement.
6. Auditer, revoir et améliorer lors des audits internes et de la revue de direction, puis relancer le cycle.

Sélection, rôles et communication : trois points de vigilance

La sélection des mesures est la phase la plus sensible du projet. Exclure une mesure est légitime si le risque correspondant n'existe pas dans le périmètre, par exemple le développement externalisé (8.30) pour une organisation qui ne fait développer aucun logiciel. En revanche, une exclusion justifiée par le seul coût ou la complexité sera contestée en audit. La justification doit renvoyer à l'appréciation des risques ou à une exigence légale ou contractuelle.

Le déploiement échoue souvent faute de clarté sur les rôles. Une mesure comme la gestion des vulnérabilités techniques (8.8) mobilise l'équipe d'exploitation, le SOC, les développeurs et parfois des fournisseurs. Une matrice RACI des rôles du SMSI évite les zones grises en distinguant qui réalise, qui valide, qui est consulté et qui est informé.

La communication fait aussi partie de la mise en œuvre. Les mesures applicables aux personnes, comme la sensibilisation (6.3) ou le signalement des événements (6.8), n'ont d'effet que si les collaborateurs savent quoi faire et à qui s'adresser. Un plan de communication du SMSI fixe les messages, les canaux et la fréquence pour chaque public.

Les 11 nouvelles mesures en pratique

Les onze mesures introduites en 2022 traduisent l'évolution des pratiques depuis 2013 : généralisation du cloud, industrialisation de la détection, exigences de protection des données et développement continu. Elles sont souvent les moins matures lors des audits de transition, car elles ne correspondaient à aucune ligne de l'ancienne déclaration d'applicabilité. Le tableau ci-dessous en donne une lecture opérationnelle.

Toutes ces mesures n'ont pas la même urgence. Dans la plupart des systèmes d'information, la gestion des configurations (8.9) et les activités de surveillance (8.16), couplées à la journalisation (8.15), apportent le gain de sécurité le plus rapide, car elles réduisent la surface d'attaque et raccourcissent le délai de détection. La prévention des fuites de données (8.12) doit en revanche être dimensionnée avec prudence pour éviter un dispositif bruyant et mal accepté.

La mesure 5.23 mérite une attention particulière, car elle concerne presque toutes les organisations. Elle impose de définir comment les services cloud sont choisis, configurés, surveillés et quittés, en tenant compte du partage des responsabilités avec le fournisseur. La nouvelle édition 2026 de l'ISO/IEC 27017, alignée sur le catalogue de 2022, détaille ces recommandations pour les clients et les fournisseurs de services en nuage.

Prouver l'efficacité des mesures : registre, indicateurs et audit

Une mesure décrite dans une politique mais jamais vérifiée n'apporte qu'une sécurité théorique. En audit de certification comme en contrôle réglementaire, une mesure sans preuve d'efficacité n'existe pas aux yeux d'un auditeur. Les preuves acceptées sont variées : documents approuvés, enregistrements datés, extraits de configuration, journaux, comptes rendus de tests et entretiens avec les personnes chargées de la mesure.

Le moyen le plus robuste consiste à tenir un registre des mesures, distinct de la déclaration d'applicabilité mais synchronisé avec elle. Chaque ligne y reprend l'identifiant de la mesure, ses attributs, son applicabilité, sa justification, son responsable, la preuve attendue, la date de la dernière vérification et un indicateur. Ce registre alimente ensuite les audits internes, la revue de direction et les réponses aux questionnaires des clients.

L'exemple suivant montre comment exploiter un tel registre au format CSV. Le script produit une vue « détection » à partir de l'attribut des concepts de cybersécurité, liste les mesures applicables dont la preuve n'est pas à jour et compte les mesures retenues par thème. Il s'agit d'un outil de pilotage interne, sans aucune action sur les systèmes.

import csv
from collections import Counter

ENTETE = "id;titre;theme;type_mesure;proprietes;concepts_cyber;capacites;domaines;applicable;justification;responsable;preuve;statut_preuve"

with open("registre_mesures.csv", newline="", encoding="utf-8") as fichier:
    mesures = list(csv.DictReader(fichier, delimiter=";"))

detection = [m for m in mesures if "#Detecter" in m["concepts_cyber"]]
for m in detection:
    print(m["id"], m["titre"], m["responsable"], m["statut_preuve"])

sans_preuve = [m["id"] for m in mesures
               if m["applicable"] == "oui" and m["statut_preuve"] != "a_jour"]
print("Mesures applicables sans preuve à jour :", ", ".join(sans_preuve))
print(Counter(m["theme"] for m in mesures if m["applicable"] == "oui"))

Les indicateurs doivent rester simples et liés à l'objectif de la mesure : taux de postes conformes à la configuration de référence pour 8.9, délai moyen de correction des vulnérabilités critiques pour 8.8, part des sauvegardes restaurées avec succès lors des tests pour 8.13. Avant un audit, notre checklist d'audit des 93 contrôles de l'annexe A permet de vérifier que chaque mesure applicable dispose d'une preuve récente.

ISO 27002, NIS2 et ReCyF : articuler norme et réglementation

La directive européenne NIS2 impose aux entités essentielles et importantes des mesures de gestion des risques listées à son article 21. Pour certains fournisseurs numériques, comme les services cloud, les centres de données ou les prestataires de services gérés, ces mesures sont détaillées au niveau européen par le règlement d'exécution (UE) 2024/2690 du 17 octobre 2024. Le contenu de ces textes recoupe largement le catalogue de l'ISO/IEC 27002.

L'ENISA a publié en juin 2025 un guide technique de mise en œuvre du règlement d'exécution NIS2. Il propose, pour chaque exigence, des conseils pratiques, des exemples de preuves et des correspondances avec des normes européennes et internationales. Pour une organisation déjà dotée d'un SMSI, ces correspondances servent de point de départ à l'analyse d'écarts.

En France, l'ANSSI a mis à disposition sur MesServicesCyber le Référentiel Cyber France (ReCyF), en version de document de travail, ainsi qu'un comparateur avec les référentiels ISO 2700X et l'annexe du règlement 2024/2690. L'agence souligne qu'une certification ISO 27001 ne vaut pas, à elle seule, conformité NIS2 : la norme reste un outil de méthode, pas une présomption de conformité.

La façon la plus économique d'articuler les deux mondes consiste à ajouter au registre un attribut personnalisé « exigence NIS2 » ou « objectif ReCyF ». Chaque mesure ISO/IEC 27002 est alors rattachée aux exigences qu'elle contribue à satisfaire, et les exigences sans mesure correspondante apparaissent immédiatement. Les sujets typiquement moins couverts par le catalogue ISO, comme la notification des incidents aux autorités dans des délais fixés, deviennent ainsi visibles.

Certification ISO 27002 : ce qui existe réellement

La recherche « iso 27002 certification » revient souvent, mais la réponse est sans ambiguïté : ISO/IEC 27002 ne se certifie pas. Un organisme ne peut pas être déclaré conforme à un texte de recommandations. Ce qui se certifie, c'est le SMSI selon l'ISO/IEC 27001, par un organisme de certification accrédité ; en France, l'accréditation de ces organismes relève du Cofrac.

Il existe en revanche des certifications de personnes. Des organismes comme PECB proposent par exemple des parcours ISO/IEC 27002 Foundation, Manager et Lead Manager, qui attestent de la capacité d'un professionnel à sélectionner, mettre en œuvre et piloter les mesures. Ces titres valident des compétences individuelles ; ils ne disent rien de la conformité de l'organisation qui emploie la personne certifiée.

Méfiez-vous des fournisseurs qui affichent un « certificat ISO 27002 ». Demandez systématiquement la norme de référence exacte, le périmètre couvert, le nom de l'organisme certificateur et son accréditation. Une attestation d'alignement sur les mesures de l'ISO/IEC 27002 peut avoir de la valeur si elle repose sur un audit indépendant, mais elle ne remplace pas un certificat ISO/IEC 27001 accrédité.

Erreurs fréquentes lors de l'application de la norme 27002

La première erreur consiste à traiter les 93 mesures comme une liste de contrôle universelle, sans lien avec l'appréciation des risques. Le résultat est connu : une déclaration d'applicabilité où tout est « applicable et en place », des preuves superficielles et des risques majeurs traités comme des sujets secondaires. La sélection doit rester guidée par les scénarios de risque réellement identifiés dans le périmètre.

La deuxième erreur est de recopier les recommandations de la norme dans les politiques internes. Outre le problème de droits d'auteur, puisque le texte de l'ISO/IEC 27002 est protégé et vendu sous licence, cette pratique produit des documents génériques que personne n'applique. Une politique utile décrit les choix propres à l'organisation : outils, seuils, fréquences, responsables et exceptions autorisées.

La troisième erreur concerne la migration depuis la version 2013. Beaucoup d'organisations ont renuméroté leurs mesures grâce à l'annexe B sans réexaminer leur contenu, si bien que les onze mesures nouvelles restent déclarées « en place » sans preuve réelle. Une migration sérieuse reprend l'objectif de chaque mesure fusionnée et vérifie que les moyens existants y répondent encore.

Retour terrain : Cas typique rencontré en mission — lors d'un audit de certification du SMSI, la déclaration d'applicabilité issue de la migration indique « en place » pour les nouvelles mesures sur la gestion des configurations, les activités de surveillance et l'usage des services en nuage, avec pour seule preuve la politique générale. Aucun référentiel de configuration, aucune trace de revue des alertes ni aucun inventaire des abonnements cloud ne peut être présenté. Correction retenue : un responsable par mesure, des preuves extraites des outils et un statut provisoire « en cours » jusqu'à leur production.

À lire aussi : la famille de normes ISO 27000 ; un certificateur accrédité Cofrac.

Questions fréquentes

Conclusion

L'ISO/IEC 27002:2022 est bien plus qu'une liste de 93 mesures : c'est un langage commun qui relie l'appréciation des risques, la déclaration d'applicabilité, les équipes techniques et les auditeurs. Bien utilisée, avec des attributs adaptés et des preuves vérifiables, elle permet aussi de répondre plus vite aux exigences de NIS2 et des clients. Pour replacer ces mesures dans l'ensemble de la démarche de certification, consultez notre guide complet de l'ISO 27001.