Communication (ISO 27001)

Définition

La communication, exigence posée par la clause 7.4 de la norme ISO 27001, impose à l'organisation de déterminer les besoins de communication interne et externe pertinents pour son système de management de la sécurité de l'information, en précisant systématiquement sur quoi communiquer, quand communiquer, avec qui communiquer, comment communiquer, et qui doit communiquer. Cette exigence, volontairement structurée sous forme de questions plutôt que de prescriptions rigides, laisse à chaque organisation le soin de définir un plan de communication adapté à son contexte, couvrant par exemple la communication de la politique de sécurité de l'information à l'ensemble du personnel, la remontée d'incidents identifiés par les collaborateurs vers les équipes compétentes, la communication vers les clients ou partenaires en cas d'incident affectant leurs données, ou encore la communication réglementaire obligatoire vers les autorités compétentes en cas de violation de données ou d'incident significatif. Une communication mal maîtrisée constitue souvent un facteur aggravant lors de la gestion d'un incident de sécurité, notamment lorsque l'information ne remonte pas suffisamment vite vers les personnes en capacité de décider d'une action corrective, ou lorsque la communication externe vers les parties prenantes concernées, clients, régulateurs ou grand public, est mal coordonnée et génère une perte de confiance supplémentaire au-delà de l'impact technique initial de l'incident lui-même.