Cyberattaques, fuites de données, erreurs humaines, accès non autorisés, indisponibilité des systèmes : la sécurité de l’information est devenue un enjeu qui dépasse largement les équipes informatiques. Une entreprise peut disposer d’outils de cybersécurité performants tout en restant vulnérable si les droits d’accès sont mal gérés, si les responsabilités ne sont pas clairement définies ou si les collaborateurs ne connaissent pas les procédures à appliquer. C’est précisément dans cette logique qu’intervient ISO/IEC 27001.

Cette norme internationale fournit un cadre permettant aux organisations de mettre en place un Système de management de la sécurité de l’information (SMSI). Elle ne concerne donc pas uniquement les grandes entreprises technologiques ou les spécialistes de la cybersécurité. Banques, administrations, opérateurs télécoms, sociétés de services, PME, entreprises industrielles ou organisations manipulant des données sensibles peuvent être concernées. Mais pour quelles entreprises ISO 27001 est-elle réellement pertinente ? Quels métiers doivent maîtriser ses principes ? Et quelles compétences faut-il développer pour participer à sa mise en œuvre ?

Qu’est-ce que la norme ISO 27001 ?

ISO/IEC 27001 est une norme internationale consacrée au management de la sécurité de l’information. Son objectif est d’aider une organisation à protéger ses informations en mettant en place une approche structurée de gestion des risques. Elle repose notamment sur trois dimensions fondamentales de la sécurité de l’information :

• la confidentialité : seules les personnes autorisées doivent pouvoir accéder à une information ;
• l’intégrité : les informations doivent rester exactes et ne pas être modifiées de manière non autorisée ;
• la disponibilité : les informations et systèmes nécessaires doivent rester accessibles lorsque l’organisation en a besoin.

ISO 27001 ne se limite donc pas à l’installation d’antivirus, de pare-feu ou d’autres solutions techniques. Elle demande à l’organisation de réfléchir à la manière dont elle identifie ses risques, définit ses responsabilités, met en place ses contrôles et améliore continuellement son dispositif de sécurité de l’information.

Qu’est-ce qu’un SMSI ?

Le Système de management de la sécurité de l’information, généralement désigné par l’acronyme SMSI, constitue le cœur de la démarche ISO 27001. Il permet d’organiser la sécurité de l’information à l’échelle de l’entreprise. Un SMSI peut notamment intégrer :

• les politiques de sécurité ;
• l’analyse des risques ;
• la gestion des accès ;
• les procédures internes ;
• la gestion des incidents ;
• la sécurité des fournisseurs ;
• la sensibilisation des collaborateurs ;
• le suivi des mesures de sécurité ;
• les audits ;
• l’amélioration continue.

L’idée fondamentale est simple : la sécurité de l’information doit être gérée comme un véritable processus d’entreprise, et non uniquement comme une problématique technique confiée au service informatique.

ISO 27001 est-elle réservée aux grandes entreprises ?

Non.

La pertinence d’ISO 27001 dépend moins de la taille de l’organisation que de la nature de ses activités, de ses informations et de ses risques. Une PME de 50 collaborateurs gérant des informations particulièrement sensibles peut avoir un besoin de sécurité de l’information plus important qu’une entreprise beaucoup plus grande dont les activités sont moins exposées.

La question pertinente n’est donc pas : « Sommes-nous suffisamment grands pour ISO 27001 ? »

Mais plutôt : « Quelle importance nos informations ont-elles pour notre activité et quelles seraient les conséquences si elles étaient compromises ? »

1. Les entreprises qui manipulent des données sensibles

Certaines organisations traitent quotidiennement des informations dont la divulgation, la modification ou la perte pourrait avoir des conséquences importantes. Il peut s’agir de :

• données personnelles ;
• informations financières ;
• dossiers clients ;
• données RH ;
• contrats ;
• informations stratégiques ;
• propriété intellectuelle ;
• données techniques.

Pour ces entreprises, structurer la sécurité de l’information devient particulièrement important. ISO 27001 permet notamment d’adopter une approche basée sur les risques afin de déterminer les mesures adaptées à la sensibilité des informations.

2. Les banques, assurances et institutions financières

Le secteur financier dépend fortement de la disponibilité, de l’intégrité et de la confidentialité de ses systèmes d’information. Banques, assurances, fintechs, établissements de microfinance et autres institutions financières gèrent notamment :

• des données clients ;
• des transactions ;
• des informations financières ;
• des systèmes de paiement ;
• des informations d’authentification.

Une interruption ou compromission de ces systèmes peut avoir des conséquences opérationnelles, financières et réputationnelles importantes. Les principes d’ISO 27001 peuvent donc contribuer à structurer la gouvernance de la sécurité de l’information dans ces organisations.

3. Les entreprises technologiques et fournisseurs de services numériques

Les entreprises proposant des services informatiques sont également particulièrement concernées. Cela inclut notamment :

• éditeurs de logiciels ;
• entreprises SaaS ;
• hébergeurs ;
• sociétés de conseil informatique ;
• fournisseurs cloud ;
• prestataires d’infogérance ;
• entreprises de développement logiciel.

Ces organisations peuvent héberger ou traiter les données de plusieurs clients. Leur niveau de sécurité devient alors directement lié à la confiance accordée par leurs partenaires. Une démarche ISO 27001 peut également devenir un élément important lors des appels d’offres ou des processus de sélection de fournisseurs.

4. Les opérateurs télécoms

Les télécommunications reposent sur des infrastructures critiques et d’importants volumes d’informations. Les opérateurs doivent notamment gérer :

• les accès aux systèmes ;
• la disponibilité des infrastructures ;
• les données des utilisateurs ;
• les incidents de sécurité ;
• les risques liés aux fournisseurs ;
• la continuité des activités.

ISO 27001 peut fournir un cadre structurant pour organiser ces différentes dimensions de la sécurité de l’information.

5. Les administrations et institutions publiques

La sécurité de l’information ne concerne évidemment pas uniquement le secteur privé. Les administrations et institutions publiques traitent des données relatives aux citoyens, aux finances publiques, aux ressources humaines et au fonctionnement de l’État. La transformation numérique des services publics augmente parallèlement la dépendance aux systèmes d’information. La mise en place d’une démarche structurée de sécurité permet notamment de mieux identifier les risques, clarifier les responsabilités et renforcer les pratiques internes.

6. Les entreprises industrielles et minières

À première vue, ISO 27001 peut sembler davantage destinée aux entreprises du numérique. Pourtant, les organisations industrielles dépendent elles aussi de plus en plus de leurs systèmes d’information. Elles doivent protéger :

• leurs données de production ;
• leurs informations techniques ;
• leurs systèmes industriels ;
• leurs plans ;
• leur propriété intellectuelle ;
• leurs données fournisseurs ;
• certaines infrastructures critiques.

Dans les secteurs minier, énergétique ou industriel, une compromission informatique peut également avoir des conséquences opérationnelles importantes. La sécurité de l’information doit donc être intégrée à la gestion globale des risques.

7. Les entreprises travaillant avec de grands clients internationaux

Une entreprise peut également s’intéresser à ISO 27001 en raison des exigences de ses clients ou partenaires. Lorsqu’une organisation confie certaines informations à un fournisseur, elle doit pouvoir évaluer la manière dont celui-ci les protège. La sécurité peut alors devenir un critère dans :

• les appels d’offres ;
• les questionnaires fournisseurs ;
• les contrats ;
• les audits ;
• les partenariats internationaux.

Pour certaines entreprises, structurer leur SMSI ou obtenir une certification ISO/IEC 27001 peut donc faciliter la démonstration de leurs pratiques de sécurité auprès de leurs partenaires.

ISO 27001 : quels métiers sont concernés ?

Une autre idée reçue consiste à penser qu’ISO 27001 concerne uniquement les responsables cybersécurité. En réalité, plusieurs fonctions peuvent intervenir dans la construction, la mise en œuvre ou le maintien d’un SMSI.

1. Responsable de la sécurité des systèmes d’information (RSSI)

Le RSSI fait naturellement partie des profils les plus concernés. Selon l’organisation, il peut participer à :

• la définition de la politique de sécurité ;
• l’identification des risques ;
• la mise en place des contrôles ;
• la gestion des incidents ;
• la sensibilisation des équipes ;
• le suivi des indicateurs ;
• l’amélioration du SMSI.

Une bonne compréhension d’ISO 27001 lui permet de relier les mesures techniques à une démarche globale de management des risques.

2. Responsable informatique et DSI

Le Directeur des systèmes d’information (DSI) et les responsables IT sont également directement concernés. Ils doivent s’assurer que les infrastructures, applications et processus informatiques répondent aux exigences de sécurité définies par l’organisation. Ils peuvent notamment intervenir sur :

• les accès ;
• les sauvegardes ;
• les infrastructures ;
• la continuité ;
• la sécurité des systèmes ;
• la gestion des changements ;
• la supervision des prestataires.

ISO 27001 leur permet de replacer ces actions dans une vision plus large de gouvernance.

3. Auditeurs internes et auditeurs des systèmes d’information

Un SMSI doit être régulièrement évalué.

Les auditeurs internes, auditeurs IT et professionnels du contrôle peuvent donc avoir besoin de comprendre ISO 27001 afin d’évaluer :

• l’application des procédures ;
• l’efficacité des contrôles ;
• la conformité du SMSI ;
• les écarts ;
• les actions correctives.

La formation à ISO 27001 est particulièrement pertinente pour les professionnels souhaitant intervenir dans l’audit des systèmes de management de la sécurité de l’information.

4. Risk Managers et responsables conformité

ISO 27001 repose fortement sur une logique de gestion des risques. Les Risk Managers, responsables conformité et professionnels de la gouvernance peuvent donc être impliqués dans :

• l’identification des risques ;
• leur évaluation ;
• la définition des traitements ;
• le suivi des plans d’action ;
• la documentation ;
• la coordination avec les équipes IT et métiers.

Cette transversalité est importante : la cybersécurité ne doit pas fonctionner indépendamment de la gestion globale des risques de l’entreprise.

5. Administrateurs systèmes et réseaux

Les administrateurs systèmes et réseaux interviennent davantage dans l’application opérationnelle de certaines mesures. Ils peuvent être responsables de :

• la gestion des comptes ;
• la configuration des systèmes ;
• la segmentation réseau ;
• les sauvegardes ;
• les mises à jour ;
• la supervision ;
• la gestion de certaines vulnérabilités.

Comprendre ISO 27001 leur permet de savoir pourquoi certaines mesures techniques existent et à quels risques elles répondent.

6. Professionnels IAM et gestion des accès

La gestion des identités et des accès constitue un élément important de la sécurité de l’information. Les professionnels de l’Identity and Access Management (IAM) travaillent notamment sur :

• l’attribution des droits ;
• la gestion des comptes ;
• les authentifications ;
• les privilèges ;
• les arrivées et départs des collaborateurs ;
• la revue des accès.

Leur travail contribue directement à limiter les accès non autorisés aux informations.

7. Chefs de projet

Les chefs de projet peuvent eux aussi être concernés. Un projet de migration cloud, de déploiement d’un ERP ou de développement d’une nouvelle application peut introduire de nouveaux risques. Intégrer les exigences de sécurité dès la conception permet d’éviter de traiter ces problématiques uniquement à la fin du projet. Les chefs de projet doivent donc être capables de collaborer avec les équipes sécurité et de comprendre les principales exigences applicables.

8. Ressources humaines

Les RH peuvent sembler éloignées d’ISO 27001. Pourtant, elles interviennent à plusieurs moments importants. Elles gèrent notamment :

• l’arrivée des collaborateurs ;
• les changements de poste ;
• les départs ;
• la sensibilisation ;
• certaines données personnelles et confidentielles.

Lorsqu’un collaborateur quitte l’entreprise, par exemple, la coordination entre les RH et l’IT est essentielle pour gérer correctement la suppression ou la modification des accès. La sécurité de l’information est donc une responsabilité collective.

9. Direction générale et managers

La direction joue un rôle essentiel dans un système de management. Elle doit notamment donner une orientation, attribuer les responsabilités et fournir les ressources nécessaires. Les managers contribuent ensuite à faire appliquer les bonnes pratiques au sein de leurs équipes. ISO 27001 ne peut donc pas être durablement mise en œuvre si elle reste uniquement « le projet du service informatique ».

ISO 27001 Foundation, Lead Implementer ou Lead Auditor : quelle formation choisir ?

Toutes les personnes concernées n’ont pas besoin du même niveau de maîtrise.

ISO 27001 Foundation

Un parcours Foundation convient aux professionnels souhaitant comprendre les fondamentaux de la norme et le fonctionnement d’un SMSI. Il peut être pertinent pour :

• professionnels IT ;
• managers ;
• consultants ;
• responsables qualité ;
• collaborateurs impliqués dans un projet ISO 27001.

ISO 27001 Lead Implementer

Le parcours Lead Implementer est davantage orienté vers les personnes amenées à participer activement à la mise en place ou au pilotage d’un SMSI. Il peut notamment intéresser :

• RSSI ;
• responsables sécurité ;
• consultants ;
• responsables conformité ;
• chefs de projet ISO 27001.

ISO 27001 Lead Auditor

Le parcours Lead Auditor s’adresse davantage aux professionnels souhaitant développer des compétences d’audit autour d’un SMSI. Il est particulièrement pertinent pour :

• auditeurs ;
• consultants ;
• responsables conformité ;
• professionnels du contrôle ;
• spécialistes de la sécurité souhaitant développer une compétence d’audit.

Il faut toutefois distinguer la formation ou certification individuelle d’un professionnel de la certification ISO/IEC 27001 d’une organisation. Ce sont deux démarches différentes.

Une entreprise doit-elle obligatoirement se faire certifier ISO 27001 ?

Adopter les principes d’ISO 27001 et obtenir une certification ne sont pas exactement la même chose. Une organisation peut commencer par utiliser la norme pour structurer ses pratiques de sécurité, améliorer son analyse des risques ou construire son SMSI. La certification par un organisme compétent constitue une étape supplémentaire permettant de faire évaluer le système de management par un tiers. Le choix dépend notamment :

• des objectifs de l’organisation ;
• des exigences des clients ;
• des contraintes contractuelles ;
• des appels d’offres ;
• de la maturité du SMSI ;
• de la stratégie de sécurité.

Une entreprise peut donc commencer à développer ses compétences et structurer ses processus avant même de décider si une certification organisationnelle est nécessaire.

ISO 27001 et cybersécurité : quelle différence ?

La cybersécurité couvre un ensemble très large de pratiques visant à protéger les systèmes, réseaux, applications et données contre les menaces numériques. ISO 27001 apporte quant à elle un cadre de management de la sécurité de l’information. La différence est importante. Une entreprise peut disposer :

• d’un SOC ;
• d’un pare-feu ;
• d’un antivirus ;
• d’une solution IAM ;
• d’outils de détection ;

sans pour autant posséder un système cohérent permettant de gérer l’ensemble de ses risques de sécurité de l’information. ISO 27001 aide à organiser cette gouvernance.

ISO 27001 et intelligence artificielle : de nouveaux enjeux de sécurité

L’utilisation croissante de l’intelligence artificielle générative crée également de nouvelles questions. Que se passe-t-il lorsqu’un collaborateur copie un document confidentiel dans un outil d’IA ? Quels outils sont autorisés ? Quelles informations peuvent être utilisées ? Comment gérer les accès aux solutions d’IA ? Ces problématiques montrent pourquoi la sécurité de l’information ne peut pas se limiter à des solutions techniques. Les entreprises doivent associer :

• politiques internes ;
• gestion des risques ;
• contrôle des accès ;
• sensibilisation ;
• gouvernance des données ;
• formation des collaborateurs.

Les principes d’un SMSI peuvent ainsi contribuer à structurer la gestion de nouveaux usages numériques.

Quelles compétences développer autour d’ISO 27001 ?

Une formation pertinente ne devrait pas se limiter à mémoriser les exigences de la norme. Les professionnels doivent apprendre à appliquer les concepts à leur environnement. Parmi les compétences importantes figurent :

• compréhension du SMSI ;
• identification des actifs informationnels ;
• analyse et traitement des risques ;
• définition des politiques ;
• gestion des accès ;
• gestion des incidents ;
• documentation ;
• suivi des indicateurs ;
• audit interne ;
• amélioration continue.

Pour les entreprises, l’idéal est donc de relier la formation aux problématiques réellement rencontrées par les participants.

ISO 27001 en Guinée, au Sénégal et en Côte d’Ivoire : quels enjeux pour les entreprises ?

En Guinée, au Sénégal et en Côte d’Ivoire, la digitalisation croissante des entreprises, administrations et institutions augmente mécaniquement leur dépendance aux systèmes d’information. Le développement du cloud, des services numériques, de la data, des paiements digitaux et désormais de l’intelligence artificielle multiplie également les informations à protéger. ISO 27001 peut être particulièrement pertinente pour les organisations évoluant dans :

• la banque et la finance ;
• les télécommunications ;
• les technologies ;
• les mines et l’énergie ;
• les services ;
• le secteur public ;
• les infrastructures ;
• les activités travaillant avec des partenaires internationaux.

Toutes ces organisations n’ont pas nécessairement vocation à rechercher immédiatement une certification. En revanche, elles ont intérêt à développer une culture structurée de la sécurité de l’information et les compétences nécessaires pour identifier et gérer leurs risques.

Afri-Learning accompagne les entreprises dans le développement des compétences ISO 27001

Mettre en place une démarche de sécurité de l’information nécessite des compétences à plusieurs niveaux : gouvernance, gestion des risques, cybersécurité, audit et sensibilisation. Afri-Learning accompagne les entreprises, administrations et institutions en Guinée, au Sénégal et en Côte d’Ivoire dans le développement des compétences liées à ISO 27001 et à la sécurité de l’information. Selon les besoins des organisations et les profils concernés, les parcours de formation peuvent notamment porter sur :

• ISO 27001 ;
• management de la sécurité de l’information ;
• gestion des risques ;
• audit ;
• cybersécurité ;
• IAM et gestion des accès ;
• sensibilisation à la cybersécurité ;
• gouvernance des systèmes d’information.

L’objectif est de permettre aux participants de comprendre les exigences et surtout de savoir les relier aux situations rencontrées dans leur environnement professionnel.

ISO 27001 n’est ni réservée aux grandes entreprises ni uniquement destinée aux professionnels de la cybersécurité. Elle peut concerner toute organisation pour laquelle la confidentialité, l’intégrité ou la disponibilité de l’information représente un enjeu important. RSSI, DSI, auditeurs, Risk Managers, responsables conformité, administrateurs systèmes, chefs de projet, RH et dirigeants peuvent ainsi être concernés à différents niveaux. Pour l’entreprise, l’enjeu consiste surtout à transformer la sécurité de l’information en une démarche structurée, pilotée et continuellement améliorée. Afri-Learning accompagne les entreprises, administrations et institutions en Guinée, au Sénégal et en Côte d’Ivoire dans le développement de ces compétences.

FAQ

À quelles entreprises s’adresse ISO 27001 ?
ISO 27001 peut s’adresser aux organisations de toutes tailles qui souhaitent structurer la protection de leurs informations. Elle est particulièrement pertinente lorsque l’entreprise traite des données sensibles, dépend fortement de ses systèmes d’information ou doit démontrer son niveau de sécurité à ses clients et partenaires.

ISO 27001 est-elle uniquement destinée aux entreprises informatiques ?
Non. Les banques, assurances, télécommunications, administrations, entreprises industrielles, minières, sociétés de services et de nombreuses autres organisations peuvent être concernées dès lors que la sécurité de leurs informations représente un enjeu important.

Quels métiers sont concernés par ISO 27001 ?
Les RSSI, DSI, responsables IT, auditeurs, responsables conformité, Risk Managers, administrateurs systèmes et réseaux, spécialistes IAM et consultants sont particulièrement concernés. Les chefs de projet, RH, managers et dirigeants peuvent également intervenir dans le fonctionnement d’un SMSI.

Quelle différence entre ISO 27001 Foundation, Lead Implementer et Lead Auditor ?
Foundation permet principalement d’acquérir les fondamentaux d’ISO 27001. Lead Implementer est davantage orienté vers la mise en œuvre et le pilotage d’un SMSI, tandis que Lead Auditor développe les compétences nécessaires à l’évaluation et à l’audit d’un système de management de la sécurité de l’information.

Une entreprise doit-elle être certifiée ISO 27001 pour utiliser la norme ?
Non. Une organisation peut utiliser ISO 27001 comme cadre pour structurer son management de la sécurité de l’information sans rechercher immédiatement une certification. La certification organisationnelle constitue une démarche distincte impliquant l’évaluation du SMSI par un organisme de certification.