Contexte de l'organisme (ISO 27001)

Définition

Le contexte de l'organisme, exigence posée par la clause 4 de la norme ISO 27001, impose à toute organisation mettant en place un système de management de la sécurité de l'information de déterminer les enjeux externes et internes pertinents pour sa finalité et susceptibles d'influencer sa capacité à atteindre les résultats attendus de ce système. Cette analyse préalable, souvent négligée au profit d'une entrée directe dans l'appréciation des risques, constitue pourtant le socle sur lequel repose la pertinence de l'ensemble de la démarche : elle conduit l'organisation à examiner des facteurs externes comme le cadre réglementaire applicable, le paysage concurrentiel, les évolutions technologiques du secteur ou les menaces cyber propres à son domaine d'activité, ainsi que des facteurs internes comme sa culture, sa structure organisationnelle, ses ressources disponibles et ses engagements contractuels existants. La clause 4 exige également de déterminer le domaine d'application du système de management, c'est-à-dire son périmètre précis en termes d'activités, de sites et d'actifs couverts, en tenant compte des interfaces et des dépendances avec des activités réalisées par des tiers. Un contexte mal caractérisé conduit fréquemment à un système de management de la sécurité de l'information mal calibré, soit trop restreint pour couvrir les risques réels de l'organisation, soit disproportionné par rapport à ses moyens effectifs de mise en œuvre et de maintien dans la durée.