ISMS/SMSI

Définition

L'ISMS (Information Security Management System), ou SMSI (Système de Management de la Sécurité de l'Information) en français, est un cadre de gouvernance structuré définissant l'ensemble des politiques, processus, procédures et contrôles organisationnels et techniques permettant à une organisation de gérer méthodiquement la sécurité de ses informations sensibles, constituant le cœur conceptuel de la norme internationale ISO/IEC 27001, seule norme certifiable de la famille 27000. Le SMSI repose sur une approche systémique fondée sur le cycle Plan-Do-Check-Act : la phase de planification établit le périmètre organisationnel couvert, réalise l'analyse de risque conformément à l'ISO 27005 et sélectionne les mesures de sécurité pertinentes issues de l'Annexe A, formalisées dans une déclaration d'applicabilité justifiant chaque choix d'inclusion ou d'exclusion ; la phase de mise en œuvre déploie opérationnellement ces contrôles à travers l'organisation ; la phase de vérification s'appuie sur des audits internes et des indicateurs de performance pour évaluer l'efficacité réelle des mesures déployées ; et la phase d'amélioration corrige les écarts identifiés et fait évoluer le système en continu. Contrairement à une approche ponctuelle de sécurisation technique, le SMSI institutionnalise la sécurité comme processus de gouvernance permanent impliquant la direction, documenté et auditable, condition indispensable à l'obtention et au maintien de la certification ISO 27001 par un organisme accrédité indépendant.