Classification de l'information (ISO 27002)

Définition

La classification de l'information, contrôle prévu par la norme ISO 27002, désigne le processus par lequel une organisation attribue à chaque catégorie d'information un niveau de sensibilité déterminé, généralement selon une échelle allant de public à hautement confidentiel en passant par des niveaux intermédiaires comme interne ou confidentiel, en fonction de critères tels que les exigences légales applicables, la valeur de l'information pour l'organisation, sa criticité et son degré de sensibilité au regard d'une divulgation, d'une altération ou d'une indisponibilité non autorisée. Cette classification doit être révisée périodiquement pour tenir compte de l'évolution de la valeur, de la sensibilité et de la criticité de l'information concernée, une donnée pouvant par exemple perdre son caractère confidentiel après la publication officielle d'un résultat financier ou, à l'inverse, gagner en sensibilité à mesure qu'un projet stratégique avance vers sa concrétisation. Une fois la classification établie, l'organisation doit définir un ensemble de procédures adaptées pour le marquage et le traitement de l'information selon son niveau, couvrant les règles de stockage, de transmission, d'impression et de destruction propres à chaque niveau de classification retenu. Un schéma de classification trop complexe, comportant un nombre excessif de niveaux ou des critères d'attribution ambigus, se traduit fréquemment par une application incohérente par les collaborateurs, tandis qu'un schéma trop simpliste peine à distinguer efficacement les informations réellement critiques du reste du patrimoine informationnel de l'organisation.