Ressources du SMSI (ISO 27001)

Définition

Les ressources du système de management de la sécurité de l'information, exigées par la clause 7.1 de la norme ISO 27001, imposent à l'organisation de déterminer et de fournir les ressources nécessaires à l'établissement, la mise en œuvre, la tenue à jour et l'amélioration continue du système de management, qu'il s'agisse de ressources humaines, budgétaires, techniques ou infrastructurelles. Cette exigence, formulée de manière volontairement générale par la norme, se concrétise en pratique par l'allocation d'un budget dédié à la sécurité de l'information, le recrutement ou la désignation de personnel disposant du temps et des compétences suffisants pour piloter et opérer le système de management, l'acquisition d'outils techniques permettant de mettre en œuvre les contrôles retenus dans la déclaration d'applicabilité, ainsi que l'accès à une expertise externe lorsque les compétences internes s'avèrent insuffisantes pour certains aspects spécifiques, comme la réalisation de tests d'intrusion ou d'audits techniques approfondis. L'insuffisance de ressources allouées constitue l'une des causes les plus fréquentes d'échec ou de fragilisation d'un système de management de la sécurité de l'information, se traduisant concrètement par des contrôles définis mais non réellement mis en œuvre, une documentation obsolète faute de temps pour la maintenir à jour, ou une incapacité à traiter les non-conformités identifiées dans des délais raisonnables, ce qui expose l'organisation à un risque accru lors des audits de certification ou de surveillance.