Amélioration continue (ISO 27001)

Définition

L'amélioration continue, exigée par la clause 10.2 de la norme ISO 27001, impose à l'organisation d'améliorer en permanence la pertinence, l'adéquation et l'efficacité de son système de management de la sécurité de l'information, en s'appuyant sur l'ensemble des sources d'information générées par les autres clauses de la norme : résultats de l'appréciation et du traitement des risques, constats des audits internes et externes, actions correctives engagées suite à des non-conformités, conclusions de la revue de direction, et indicateurs issus du dispositif de surveillance et de mesure. Cette exigence s'inscrit dans la logique du cycle PDCA, planifier, mettre en œuvre, vérifier, agir, qui structure historiquement l'ensemble des normes de systèmes de management ISO, garantissant que le système ne reste pas figé dans son état de conception initiale mais évolue de manière itérative pour tenir compte des enseignements tirés de son fonctionnement réel et de l'évolution du contexte de l'organisation, notamment des nouvelles menaces et des évolutions réglementaires. En pratique, cette amélioration continue se matérialise par un plan d'action consolidé, régulièrement revu par la direction, priorisant les évolutions à apporter au système de management selon leur impact potentiel sur le niveau de sécurité global et les ressources disponibles pour les mettre en œuvre, plutôt que par une accumulation désordonnée d'initiatives ponctuelles et non coordonnées entre elles.