Planification et maîtrise opérationnelles (ISO 27001)

Définition

La planification et la maîtrise opérationnelles, exigées par la clause 8.1 de la norme ISO 27001, imposent à l'organisation de planifier, mettre en œuvre et maîtriser les processus nécessaires pour satisfaire les exigences de sécurité de l'information et pour mettre en œuvre les actions déterminées lors de la planification, notamment celles issues du traitement des risques identifiés. Cette clause exige que l'organisation établisse des critères pour ces processus, mette en œuvre la maîtrise de ces processus conformément aux critères définis, et conserve des informations documentées dans la mesure nécessaire pour avoir l'assurance que les processus ont été réalisés comme prévu, permettant ainsi de démontrer la mise en œuvre effective des mesures décidées et non simplement leur planification théorique. Elle impose également de maîtriser les changements planifiés, d'examiner les conséquences des changements non intentionnels et de prendre des mesures pour atténuer tout effet néfaste, ainsi que de s'assurer que les processus externalisés sont déterminés et maîtrisés, ce qui établit un lien direct avec la gestion des risques liés aux prestataires et sous-traitants. Cette clause constitue en quelque sorte le pont opérationnel entre la planification stratégique du système de management, réalisée au niveau des clauses 4 à 6, et l'exécution concrète des mesures de sécurité au quotidien dans l'organisation.