Objectifs de sécurité de l'information (ISO 27001)

Définition

Les objectifs de sécurité de l'information, exigés par la clause 6.2 de la norme ISO 27001, sont les cibles concrètes et mesurables que l'organisation établit aux fonctions et niveaux pertinents de son organisation, en cohérence avec la politique de sécurité de l'information et découlant directement de l'appréciation des risques réalisée. La norme précise que ces objectifs doivent, dans la mesure du possible, être mesurables, tenir compte des exigences de sécurité de l'information applicables ainsi que des résultats de l'appréciation et du traitement des risques, être communiqués et mis à jour selon les besoins, et faire l'objet d'une surveillance permettant de vérifier leur atteinte effective. Pour chaque objectif retenu, l'organisation doit déterminer ce qui sera fait, quelles ressources seront nécessaires, qui en sera responsable, quand il sera atteint, et comment les résultats seront évalués, dans une logique de planification opérationnelle proche de celle habituellement utilisée pour tout objectif de management. Cette exigence permet de transformer une politique de sécurité souvent générale et déclarative en engagements concrets et vérifiables lors des audits, comme la réduction d'un pourcentage donné du nombre d'incidents de sécurité constatés sur une période, l'atteinte d'un taux cible de correction des vulnérabilités critiques dans un délai fixé, ou la couverture complète d'un programme de sensibilisation auprès de l'ensemble du personnel de l'organisation.