Contrôles liés aux personnes (ISO 27002)

Définition

Les contrôles liés aux personnes constituent l'un des quatre thèmes structurant la norme ISO 27002 dans sa version 2022, regroupant l'ensemble des mesures de sécurité centrées sur le facteur humain, reconnu comme l'un des vecteurs de risque les plus significatifs en matière de sécurité de l'information, qu'il s'agisse d'erreurs involontaires, de négligences ou d'actes malveillants commis par des personnes ayant accès aux ressources de l'organisation. Ce thème couvre notamment la sélection et la vérification des antécédents lors du recrutement, les termes et conditions du contrat de travail relatifs à la sécurité de l'information, la sensibilisation, l'éducation et la formation à la sécurité de l'information, le processus disciplinaire applicable en cas de manquement constaté, les responsabilités après la cessation ou le changement d'emploi, notamment la révocation rapide des accès, les accords de confidentialité ou de non-divulgation, le travail à distance, ainsi que le signalement des événements de sécurité de l'information par le personnel. Ce regroupement thématique reconnaît explicitement que la sécurité technique la plus sophistiquée reste vulnérable si elle n'est pas accompagnée de mesures adaptées visant les comportements humains, une part importante des incidents de sécurité constatés trouvant leur origine dans une erreur humaine ou une manipulation sociale exploitant la confiance ou la méconnaissance d'un collaborateur plutôt qu'une faille purement technique du système d'information.