Rôles et responsabilités organisationnels (ISO 27001)

Définition

Les rôles et responsabilités organisationnels, exigence posée par la clause 5.3 de la norme ISO 27001, imposent à la direction de l'organisation de veiller à ce que les responsabilités et autorités relatives à la sécurité de l'information soient attribuées et communiquées de manière claire au sein de l'organisation, afin d'éviter toute ambiguïté sur qui est responsable de quoi dans le fonctionnement du système de management. Cette exigence couvre en particulier deux responsabilités jugées essentielles par la norme : s'assurer que le système de management de la sécurité de l'information est conforme aux exigences de la norme ISO 27001, et rendre compte à la direction des performances du système de management. Dans la pratique, ces responsabilités sont fréquemment confiées à un responsable de la sécurité des systèmes d'information, ou RSSI, éventuellement épaulé par un comité de pilotage ou un comité des risques, mais la norme n'impose pas de structure organisationnelle unique et laisse à chaque organisation le soin de définir un modèle adapté à sa taille et à sa complexité. La formalisation de ces rôles se traduit généralement par une matrice de responsabilités, souvent construite selon le modèle RACI, précisant pour chaque activité du système de management qui est responsable de sa réalisation, qui rend des comptes, qui doit être consulté et qui doit être informé, réduisant ainsi le risque de zones grises préjudiciables à l'efficacité globale du dispositif.