ISO 27001

Définition

ISO 27001 est la norme internationale de référence pour le management de la sécurité de l'information, définissant les exigences permettant d'établir, de mettre en œuvre, de maintenir et d'améliorer continuellement un Système de Management de la Sécurité de l'Information (SMSI) au sein d'une organisation. Elle repose sur une approche par les risques, exigeant l'identification et l'évaluation systématique des risques pesant sur les actifs informationnels, suivie de la sélection de mesures de sécurité appropriées, détaillées dans l'annexe A qui compte 93 mesures organisées en quatre thèmes dans la révision 2022 : organisationnelles, humaines, physiques et technologiques. La certification, délivrée par un organisme accrédité indépendant à l'issue d'un audit, atteste de la conformité du SMSI et doit être renouvelée périodiquement via des audits de surveillance annuels et un audit de recertification triennal. Le cycle PDCA (Plan-Do-Check-Act) structure l'amélioration continue exigée par la norme, impliquant revue de direction, audits internes et traitement des non-conformités constatées. En pratique, ISO 27001 constitue souvent un prérequis contractuel pour les prestataires de services numériques, et sa mise en œuvre facilite la démonstration de conformité vis-à-vis de réglementations comme NIS2 ou le RGPD, bien qu'elle ne s'y substitue pas juridiquement. Sa portée internationale en fait le référentiel de gouvernance sécurité le plus largement reconnu dans le monde.