SMSI : comprendre le système de management de la sécurité de l'information

Un SMSI (système de management de la sécurité de l'information) est l'ensemble organisé des politiques, des rôles, des processus et des mesures qui permettent à une organisation de protéger ses informations dans la durée, en partant de ses risques. Ses exigences sont fixées par la norme ISO/IEC 27001, la seule de la famille ISO 27000 qui permet une certification. Ce guide explique ce qu'est un SMSI, comment le mettre en place étape par étape, quels documents il exige et comment se passe la certification.

Un système de management, pas un projet technique

Le mot important est management. Un SMSI ne se résume ni à un pare-feu, ni à un logiciel, ni à un classeur de procédures : c'est une façon d'organiser la sécurité pour qu'elle soit décidée, appliquée, vérifiée et améliorée en permanence. Il répond à trois questions simples : qu'est-ce qui doit être protégé et contre quoi ? Qui fait quoi pour le protéger ? Comment sait-on que cela fonctionne ?

Son objectif est de préserver la confidentialité, l'intégrité et la disponibilité de l'information, en appliquant un processus de gestion des risques, et de donner confiance aux parties intéressées (clients, autorités, partenaires) que ces risques sont maîtrisés. C'est ainsi qu'ISO/IEC 27001 présente sa finalité.

SMSI ou SGSI ?

Les deux sigles désignent la même chose : la traduction de l'anglais ISMS (information security management system). SMSI est la forme retenue par la version française de la norme et la plus employée en France ; SGSI (système de gestion de la sécurité de l'information) se rencontre parfois, surtout dans des documents plus anciens ou publiés hors de France.

Ce qu'un SMSI n'est pas

• Pas une PSSI. La politique de sécurité des systèmes d'information fixe les règles ; le SMSI est le dispositif qui les fait vivre.
• Pas une certification. On peut avoir un SMSI sans le faire certifier ; la certification atteste seulement qu'il répond aux exigences de la norme.
• Pas un chantier ponctuel. Un SMSI qui n'est plus revu ni audité cesse d'en être un.

La version en vigueur est ISO/IEC 27001:2022, publiée en octobre 2022 et complétée par un amendement de 2024 qui demande de déterminer si le changement climatique est un enjeu pertinent pour l'organisation. Les certificats délivrés selon l'ancienne version de 2013 devaient être transférés vers la version 2022 avant le 31 octobre 2025, selon le calendrier fixé par l'IAF (document MD 26). En 2026, un SMSI certifié l'est donc selon la version 2022.

Comme toutes les normes de système de management récentes, ISO 27001 suit une structure commune (la « structure harmonisée ») : les clauses 1 à 3 sont introductives, et les exigences se trouvent dans les clauses 4 à 10.

La norme s'appuie sur d'autres textes de la même famille : ISO/IEC 27002:2022 détaille les mesures de sécurité, ISO/IEC 27005:2022 guide la gestion des risques (voir notre article sur la norme ISO 27005), et ISO/IEC 27006-1 encadre les organismes qui certifient.

Pour comprendre comment les clauses s'enchaînent, on utilise la roue de Deming, ou cycle PDCA : Plan, Do, Check, Act, soit planifier, déployer, contrôler, améliorer. La version 2005 de la norme le présentait explicitement ; depuis 2013, ISO 27001 ne l'impose plus, mais la logique reste la même et c'est encore la meilleure grille de lecture d'un SMSI. Cliquez sur chaque phase :

L'annexe A d'ISO 27001:2022 est un catalogue de 93 mesures de sécurité, regroupées en quatre thèmes (contre 114 mesures en 14 chapitres dans la version 2013). Onze mesures sont nouvelles et reflètent l'évolution des menaces et des usages : renseignement sur les menaces, sécurité des services en nuage, prévention des fuites de données, codage sécurisé…

Point essentiel, souvent mal compris : l'annexe A n'est pas une liste à appliquer en bloc. Les mesures sont choisies à partir de l'appréciation des risques ; l'annexe A sert ensuite de liste de contrôle pour vérifier qu'aucune mesure nécessaire n'a été oubliée. Le résultat est consigné dans la déclaration d'applicabilité (DdA, ou Statement of Applicability), qui indique pour chaque mesure si elle est retenue, pourquoi, et si elle est mise en œuvre. Les exclusions doivent être justifiées : c'est l'un des premiers documents que lit un auditeur.

Mettre en place un SMSI suit un ordre logique, qui découle des clauses de la norme. Voici un parcours en dix étapes, avec pour chacune la clause concernée, le livrable attendu et le piège le plus fréquent :

Combien de temps faut-il ? Tout dépend du périmètre, de la maturité de départ et des moyens. Une chose est sûre : un SMSI doit avoir fonctionné un minimum avant l'audit de certification, car l'auditeur vérifiera que des audits internes, des mesures et une revue de direction ont réellement eu lieu. Compter plusieurs mois est réaliste, souvent davantage pour une grande organisation.

Qui fait quoi ? La norme ne fixe pas d'organigramme, mais exige que les rôles soient attribués et communiqués (clause 5.3). En pratique, on retrouve presque toujours une direction qui s'engage et arbitre, un responsable du SMSI (souvent le RSSI) qui anime le système, des propriétaires de risques qui valident le traitement et acceptent les risques résiduels, des pilotes de mesures dans les équipes informatiques et métier, et des auditeurs internes indépendants des activités qu'ils contrôlent. Le DPO est associé dès que des données personnelles sont dans le périmètre.

Le cœur du travail se situe aux étapes 5 et 6 : l'analyse de risques. ISO 27001 n'impose aucune méthode, pourvu qu'elle donne des résultats cohérents, valides et comparables. En France, beaucoup d'organisations utilisent EBIOS Risk Manager, la méthode de l'ANSSI, que l'on peut conduire dans un logiciel EBIOS RM, ou ISO/IEC 27005.

ISO 27001 parle d'« informations documentées » : certaines doivent être tenues à jour (des documents), d'autres conservées (des enregistrements, c'est-à-dire des preuves). Voici celles que la norme exige explicitement :

À cela s'ajoutent les documents qu'appellent les mesures retenues dans l'annexe A : politiques thématiques, inventaire des actifs, procédures d'exploitation, plan de continuité… Le bon réflexe : documenter ce qui est nécessaire pour que le SMSI fonctionne et puisse être prouvé, pas davantage.

La certification est délivrée par un organisme de certification accrédité ; en France, l'accréditation est délivrée par le Cofrac. Le déroulé est le suivant :

• Audit initial en deux étapes : une première étape vérifie la conception du SMSI et sa documentation, la seconde vérifie sur le terrain que le système est effectivement appliqué.
• Certificat valable trois ans, si les éventuelles non-conformités majeures sont levées.
• Audits de surveillance chaque année pendant le cycle, puis un audit de renouvellement.

La certification reste volontaire, mais elle est parfois exigée. C'est le cas pour la certification HDS des hébergeurs de données de santé, dont le référentiel s'appuie sur ISO 27001. Elle est aussi très souvent demandée par les clients, dans les appels d'offres ou les questionnaires de sécurité fournisseurs.

Au-delà du certificat, un SMSI bien conduit apporte des bénéfices concrets :

• Des priorités claires. Les mesures découlent des risques réels de l'organisation, pas d'une liste générique ni de la dernière alerte lue dans la presse.
• Une direction impliquée. La revue de direction oblige à présenter régulièrement l'état de la sécurité et à arbitrer, ce qui facilite l'obtention de moyens.
• Des preuves disponibles. Les enregistrements exigés par la norme sont ceux que demandent aussi les clients, les assureurs et les autorités.
• Un socle pour les autres exigences. NIS 2, DORA, HDS ou les exigences contractuelles de vos clients s'appuient sur les mêmes mesures : le travail fait pour le SMSI se réutilise.
• Un avantage commercial. La certification ISO 27001 est un langage commun reconnu à l'international, qui raccourcit les questionnaires de sécurité et rassure dans les appels d'offres.