Sensibilisation (ISO 27001)

Définition

La sensibilisation, exigence posée par la clause 7.3 de la norme ISO 27001, impose que les personnes effectuant un travail sous le contrôle de l'organisation aient connaissance de la politique de sécurité de l'information, de leur contribution à l'efficacité du système de management, y compris les avantages d'une performance améliorée en matière de sécurité de l'information, et des implications d'une non-conformité aux exigences du système de management. Contrairement à la clause 7.2 relative à la compétence, qui vise des savoir-faire techniques ou managériaux spécifiques à certains rôles, la sensibilisation s'adresse à l'ensemble du personnel de l'organisation, indépendamment de son niveau hiérarchique ou de son degré d'implication technique dans les sujets de sécurité de l'information, dans une logique de culture partagée à minima par tous les collaborateurs ayant accès aux ressources informationnelles de l'organisation. En pratique, cette exigence se traduit par des programmes de sensibilisation réguliers, souvent annuels ou lors de l'intégration de nouveaux collaborateurs, portant sur des sujets comme la reconnaissance des tentatives d'hameçonnage, les bonnes pratiques de gestion des mots de passe, la conduite à tenir en cas de suspicion d'incident, ou les règles de classification et de manipulation de l'information sensible. Les auditeurs vérifient généralement l'effectivité de cette sensibilisation au-delà de la simple existence d'un support de formation, par exemple via des entretiens avec des collaborateurs choisis au hasard lors de l'audit.