ISO 27002 : le guide des mesures de sécurité, et sa différence avec ISO 27001

Son titre complet est « Sécurité de l'information, cybersécurité et protection de la vie privée : mesures de sécurité de l'information ». La troisième édition a été publiée par l'ISO et la CEI en février 2022, quelques mois avant ISO 27001:2022 ; la version française homologuée, NF EN ISO/IEC 27002, a paru en mars 2023.

L'ISO la décrit comme un ensemble de bonnes pratiques et d'objectifs de mesures, qui aide à construire, faire fonctionner et améliorer un système de management de la sécurité de l'information (SMSI). Elle couvre des domaines comme le contrôle d'accès, la cryptographie, la sécurité liée aux ressources humaines ou la réponse aux incidents. L'ISO précise aussi qu'on ne peut pas être certifié selon ISO 27002.

La relation est simple : ISO 27001 exige de traiter les risques et de comparer les mesures retenues avec son annexe A ; ISO 27002 explique, pour chacune de ces mesures, à quoi elle sert et comment la mettre en place. Les deux textes partagent la même liste et la même numérotation.

Après les chapitres d'introduction, les mesures sont regroupées dans quatre chapitres qui correspondent aux quatre thèmes de l'annexe A : mesures organisationnelles (chapitre 5), liées aux personnes (chapitre 6), physiques (chapitre 7) et technologiques (chapitre 8). Pour chaque mesure, la norme indique son objectif et des recommandations de mise en œuvre, souvent assorties d'informations complémentaires.

Ces recommandations ne sont pas des obligations. Une organisation peut mettre en œuvre une mesure autrement, si elle atteint l'objectif et peut le démontrer. C'est pour cela que l'auditeur s'intéresse moins à la conformité mot à mot au texte de l'ISO 27002 qu'à l'efficacité de la mesure au regard du risque traité.

Nouveauté de 2022, chaque mesure reçoit des attributs, qui servent à la trier et à construire des vues adaptées à son public :

Les attributs ne changent pas les exigences : ils sont un outil de lecture. Une organisation peut aussi créer ses propres attributs, par exemple le propriétaire de la mesure ou le référentiel réglementaire auquel elle répond.

ISO 27002 est un excellent support pour rédiger les politiques thématiques et les procédures d'un SMSI, et pour bâtir une PSSI. Le risque est de l'utiliser comme un questionnaire générique, sans lien avec les risques de l'organisation. Le bon ordre reste celui d'ISO 27001 : appréciation des risques, choix des traitements, choix des mesures, puis ISO 27002 pour concevoir chacune d'elles.

Elle sert aussi de langage commun avec d'autres référentiels. Le référentiel SecNumCloud de l'Agence nationale de la sécurité des systèmes d'information (ANSSI), par exemple, est fondé sur l'annexe A d'ISO 27001 (voir le chapitre ISO 27001, SOC 2 et SecNumCloud).