Contrôles organisationnels (ISO 27002)

Définition

Les contrôles organisationnels constituent l'un des quatre thèmes structurant les mesures de sécurité décrites par la norme ISO 27002 dans sa version 2022, regroupant l'ensemble des contrôles relatifs à la gouvernance, aux politiques et aux processus organisationnels de l'organisation en matière de sécurité de l'information, indépendamment de toute mise en œuvre technique ou physique spécifique. Ce thème, le plus fourni des quatre en nombre de contrôles, couvre des sujets variés comme les politiques de sécurité de l'information, l'organisation des rôles et responsabilités, la gestion des relations avec les fournisseurs et sous-traitants, la classification et le traitement de l'information, la gestion des incidents de sécurité, le renseignement sur les menaces, la sécurité dans les relations avec les autorités et les groupes spécialisés, ainsi que la gestion de la continuité d'activité liée à la sécurité de l'information. Cette classification par thèmes, introduite dans la révision 2022 de la norme en remplacement de l'ancienne structure en quatorze domaines, vise à faciliter la lecture et l'appropriation de la norme en regroupant les contrôles selon leur nature intrinsèque plutôt que selon un découpage historique parfois artificiel. Lors de la sélection des contrôles applicables consignée dans la déclaration d'applicabilité, les contrôles organisationnels représentent souvent le socle sur lequel reposent la cohérence et l'efficacité des contrôles relevant des trois autres thèmes, à savoir les contrôles liés aux personnes, les contrôles physiques et les contrôles technologiques.