SMSI

La sécurité organisationnelle : le SMSI

Siord

— 7 min de lecture
Partager
La sécurité organisationnelle : le SMSI

On entend de plus en plus parler de l'importance de la « sécurité » au sein des organisations, mais la plupart de ces organisations ne comprennent pas forcément ce que ça implique de mettre en place cette démarche. Car il ne suffit pas d'installer un EPP et de balancer des logs dans un SIEM pour pouvoir prétendre qu'on est « paré contre les cyberattaques ».

La sécurité est une démarche globale d'une organisation, qui se répercute à tous les niveaux et qui nécessite un engagement de tous ses membres dans une démarche de structuration permettant de piloter la sécurité de l'information de manière méthodique et durable.

Définition

Le SMSI, ou système de management de la sécurité de l'information, désigne l'ensemble des politiques, procédures, processus et ressources qu'une organisation met en place pour gérer et protéger son système d'information. Il ne s'agit pas d'un simple outil technique, mais bien d'un engagement global et stratégique du management.

L'objectif de ce SMSI est de garantir trois propriétés fondamentales de l'information, souvent résumées par l'acronyme DIC :

  • Confidentialité : seules les personnes autorisées doivent avoir accès à l'information. → Si la confidentialité de votre mot de passe est compromise, n'importe qui pourrait se connecter à votre compte pour faire ce qu'il souhaite : c'est une atteinte à la sécurité.
  • Disponibilité : l'information doit être accessible aux personnes autorisées à tout moment. → Si le système d'authentification est indisponible au moment où vous souhaitez accéder à un service, la plateforme devient inutilisable : c'est une atteinte à la sécurité.
  • Intégrité : l'information ne peut être modifiée que par les personnes autorisées. → Si l'intégrité de votre mot de passe est compromise, la personne qui l'a compromise peut le changer et faire ce qu'elle veut de votre compte : c'est une atteinte à la sécurité.

Ces trois propriétés peuvent être complétées par une quatrième : la traçabilité, qui permet de savoir qui a fait quoi, où et comment. Ce critère est un peu particulier, car il est lui-même conditionné par le DIC : la traçabilité doit elle aussi être confidentielle, disponible et intègre.

Un cadre normatif

La norme ISO/IEC 27001

La mise en place d'un SMSI s'appuie généralement sur la norme internationale ISO/IEC 27001, référence mondiale en matière de sécurité de l'information. Cette norme définit les exigences pour établir, mettre en œuvre, maintenir et améliorer un SMSI. Elle s'accompagne de la norme ISO/IEC 27002, qui propose un ensemble de mesures de sécurité à appliquer en fonction des risques identifiés au sein de son périmètre.

L'ISO/IEC 27001 ne dicte pas une liste rigide de mesures techniques à appliquer. Elle impose une démarche de gestion des risques : chaque organisation identifie ses propres menaces et vulnérabilités, puis choisit les mesures adaptées à son contexte. Concrètement, cela implique que chaque organisation est responsable de comprendre les limites de son périmètre, de définir la criticité des informations en fonction de son activité, d'évaluer les risques pouvant porter atteinte à ces informations, et de décider des actions à mettre en place pour les en protéger.

La certification

Une organisation peut choisir de faire valider le fonctionnement de son SMSI en le faisant certifier par un organisme accrédité. Cette démarche implique un audit externe qui vérifie la conformité du système aux exigences de la norme.

L'auditeur peut alors relever des non-conformités : des écarts entre ce qu'exige la norme (ou ce que l'organisation a elle-même défini dans sa documentation) et ce qui est réellement constaté sur le terrain. Ces écarts sont classés en deux catégories :

  • Non-conformité mineure — un écart isolé et ponctuel, qui n'a pas d'impact significatif sur la capacité du SMSI à atteindre ses objectifs. Par exemple : un enregistrement de formation manquant pour un collaborateur, une procédure globalement appliquée mais non respectée dans un cas particulier, ou un document dont la révision n'a pas été mise à jour dans les délais prévus. Si elle n'est pas traitée, elle peut être requalifiée en non-conformité majeure.
  • Non-conformité majeure — un écart plus grave, qui remet en cause l'efficacité globale du SMSI ou correspond à l'absence totale de satisfaction d'une exigence de la norme. Par exemple : absence d'analyse de risques, ou un processus clé (gestion des incidents, gestion des accès) totalement inexistant ou non appliqué. Si elle n'est pas traitée, elle peut entraîner une suspension ou un retrait de la certification.

Qui plus est, la certification ISO 27001 n'est jamais acquise une fois pour toutes : elle s'inscrit dans un cycle de trois ans, rythmé par plusieurs audits, au terme duquel un nouveau certificat est délivré.

À noter qu'elle n'est bien sûr pas obligatoire pour bénéficier des apports d'un SMSI, mais elle apporte une reconnaissance officielle et un gage de confiance vis-à-vis des clients et des partenaires.

Une boucle d'amélioration continue

Tout l'intérêt de la mise en place d'un SMSI repose sur le fait qu'il ne suffit pas d'évaluer les risques à un instant T et de définir les mesures en conséquence, mais bien de suivre l'évolution des menaces et de redéfinir en permanence les mesures de sécurité appliquées. Pour cela, le SMSI repose sur le cycle PDCA, popularisé par Deming.

1. Plan (Planifier)

Cette phase consiste à définir le périmètre du SMSI, à identifier les actifs informationnels à protéger (données clients, brevets, infrastructures...) et à réaliser une analyse de risques sur ce qui a été identifié. On évalue pour chaque risque sa vraisemblance et sa gravité potentielle, afin de prioriser les actions.

2. Do (Mettre en œuvre)

Sur la base de l'analyse de risques, l'organisation déploie les mesures de sécurité retenues : chiffrement des données, gestion des accès, sauvegardes, formation du personnel, plan de continuité d'activité... Cette phase inclut la rédaction de la documentation (politiques, procédures) et la sensibilisation des équipes.

3. Check (Vérifier)

Ici, il s'agit de contrôler l'efficacité des mesures mises en place, via des audits internes, des indicateurs de performance et des revues régulières. Cette phase permet de détecter les écarts entre ce qui était prévu et ce qui est réellement appliqué.

4. Act (Agir et améliorer)

Enfin, les résultats des vérifications alimentent un plan d'amélioration continue : correction des non-conformités, mise à jour de l'analyse de risques, ajustement des mesures. Le cycle recommence ensuite, ce qui garantit que le SMSI évolue avec les menaces et l'organisation.

Les composantes essentielles d'un SMSI

Un SMSI bien construit repose sur plusieurs piliers, qui permettent au système d'avoir un cadre structurel et d'être suivi de manière organisée.

Le périmètre du SMSI

Avant toute chose, l'organisation doit délimiter précisément le périmètre de son SMSI : quelles entités, quels sites, quels processus métier, quels systèmes d'information et quelles données sont couverts. Ce périmètre peut correspondre à l'ensemble de l'organisation ou se limiter à une direction, un site ou une activité spécifique. Il doit être clairement documenté, car c'est sur cette base que portera l'ensemble de la démarche et, le cas échéant, la certification.

La politique de sécurité de l'information

La politique de sécurité du système d'information (PSSI) est le document de référence, validé par la direction, qui fixe les grandes orientations : engagement de la direction, objectifs de sécurité, principes généraux applicables à tous. Elle doit être communiquée à l'ensemble des collaborateurs et aux parties intéressées concernées (prestataires, partenaires), puis révisée périodiquement pour rester cohérente avec l'évolution de l'organisation et des menaces.

L'analyse et le traitement des risques

Le SMSI se base sur une gestion par le risque. L'organisation doit donc établir une cartographie des risques. Pour cela, elle :

  • identifie les actifs à protéger, ainsi que les menaces et vulnérabilités qui leur sont associées ;
  • évalue chaque risque selon sa vraisemblance et sa gravité potentielle ;
  • décide d'un traitement : réduire le risque par des mesures de sécurité, l'éviter, le transférer (assurance, sous-traitance) ou l'accepter formellement.

Ce travail permet de rédiger la déclaration d'applicabilité, qui liste l'ensemble des mesures de sécurité, précise lesquelles sont retenues ou exclues, et justifie chaque choix. C'est un document central lors des audits, car il fait le lien entre l'analyse de risques et les mesures effectivement mises en œuvre.

La documentation du SMSI

La norme exige un socle documentaire qui permet de définir les actions mises en œuvre : politique de sécurité, périmètre, méthodologie et résultats de l'analyse de risques, etc.

Cette documentation est un support primordial pour l'amélioration continue, car elle constitue la base de référence pour comprendre ce qui fonctionne et ce qui est à améliorer. Elle doit donc être maîtrisée, versionnée, revue régulièrement et accessible aux bonnes personnes.

Les rôles et responsabilités

Malgré tout ce qu'on a dit jusqu'à présent, la mise en place d'un SMSI repose avant tout sur l'engagement de chaque collaborateur de l'organisation à appliquer les principes de sécurité. Le SMSI ne peut donc fonctionner sans une organisation humaine claire, avec :

  • la direction, qui porte l'engagement stratégique et alloue les ressources ;
  • un responsable de la sécurité des systèmes d'information (RSSI), qui pilote le système au quotidien ;
  • des propriétaires de risques ou d'actifs, responsables de la gestion des risques qui les concernent ;
  • l'ensemble des collaborateurs, qui appliquent les mesures dans leurs activités quotidiennes.

Le pilotage et l'amélioration continue

Enfin, pour pouvoir prétendre faire de l'amélioration continue, le SMSI doit intégrer un dispositif de pilotage qui permet de vérifier son efficacité dans le temps : audits internes réguliers, indicateurs de performance, et revue de direction périodique, au cours de laquelle les dirigeants examinent les résultats du système et décident des actions à mener.

Conclusion

La sécurité, c'est bien plus que mettre en place deux ou trois outils compliqués qui empêcheraient miraculeusement des attaques ou d'autres problèmes pouvant survenir.

La sécurité, c'est un changement de paradigme au sein de l'entreprise, qui implique tout le monde, à tous les niveaux ; qui demande un engagement sincère de la direction, un budget, et surtout une compréhension réelle de ce que fait l'organisation, de ce qui est important pour elle à protéger, et de ce qu'implique la mise en place de mesures de sécurité.

Chaque organisation, quelle que soit sa taille, doit être capable de prendre en compte ces aspects — à différents niveaux, bien évidemment — si elle veut pouvoir prétendre faire de la sécurité.

Sources :

Lire la suite