Renseignement sur les menaces (ISO 27002)

Définition

Le renseignement sur les menaces, ou threat intelligence, est un contrôle introduit dans la version 2022 de la norme ISO 27002, imposant à l'organisation de collecter et d'analyser des informations relatives aux menaces de sécurité de l'information pertinentes pour son contexte spécifique, afin de produire un renseignement exploitable permettant d'anticiper et de mieux prioriser les mesures de protection à mettre en œuvre. Cette démarche distingue généralement trois niveaux d'analyse complémentaires : le renseignement stratégique, portant sur des tendances générales utiles à la prise de décision de la direction, comme l'évolution des groupes de rançongiciels ciblant un secteur d'activité donné, le renseignement tactique, portant sur les techniques, tactiques et procédures employées par les attaquants, utile pour orienter les priorités de détection des équipes de sécurité opérationnelle, et le renseignement technique ou opérationnel, portant sur des indicateurs de compromission concrets, comme des adresses IP malveillantes ou des signatures de logiciels malveillants, directement exploitables dans les outils de détection déployés par l'organisation. Les sources de ce renseignement peuvent être internes, issues de l'analyse des incidents propres à l'organisation, ou externes, provenant de flux commerciaux spécialisés, de communautés de partage sectorielles ou des publications d'organismes comme le CERT-FR. L'intégration effective de ce renseignement dans les processus opérationnels de détection et de réponse constitue la principale difficulté pratique de mise en œuvre de ce contrôle.