SMSI (Système de Management de la Sécurité de l'Information)

Définition

Le SMSI, Système de Management de la Sécurité de l'Information, est l'ensemble structuré de politiques, procédures, processus et contrôles qu'une organisation met en place pour gérer la sécurité de son patrimoine informationnel de manière systématique et pilotée dans la durée, plutôt qu'au travers de mesures ponctuelles et déconnectées les unes des autres. Il constitue le cœur conceptuel de la norme ISO 27001, qui en définit précisément les exigences de mise en œuvre selon le cycle d'amélioration continue Plan-Do-Check-Act : planification incluant l'analyse de risques et la définition d'objectifs de sécurité mesurables, mise en œuvre effective des contrôles retenus dans la Déclaration d'Applicabilité, vérification via des audits internes et des indicateurs de performance suivis dans le temps, et action corrective ajustant le dispositif en fonction des résultats observés et de l'évolution du contexte de risque. Le périmètre du SMSI, qui peut couvrir l'intégralité de l'organisation ou un sous-ensemble défini de processus et de systèmes, doit être clairement délimité et documenté dès la phase de conception, ce périmètre conditionnant directement l'étendue de la certification obtenue le cas échéant. Un SMSI efficace implique un engagement actif de la direction, une gouvernance clairement définie avec des responsabilités attribuées, et une culture de sécurité diffusée à l'ensemble des collaborateurs concernés par le périmètre couvert.