L'ISO/CEI 27002 est une norme internationale concernant la sécurité de l'information. Elle a été publiée conjointement en 2005 par l'Organisation internationale de normalisation (ISO) et la Commission Electrotechnique Internationale (CEI), révisée en 2013 puis en 2022, dont le titre en français est Sécurité de l'information, cybersécurité et protection de la vie privée — Mesures de sécurité de l'information. Elle fait partie de la suite de normes ISO/CEI 27000.
Description L'ISO/CEI 27002 est un ensemble de 93 mesures dites « best practices » (bonnes pratiques en français), destinées à être utilisées par tous les responsables de la mise en place ou du maintien d'un Système de Management de la Sécurité de l'Information (SMSI). La sécurité de l'information est définie au sein de la norme comme la « préservation de la confidentialité, de l'intégrité et de la disponibilité de l'information ».
Elle n'a pas de caractère obligatoire pour les entreprises. Son respect peut toutefois être mentionné dans un contrat : un prestataire de services pourrait s'engager à implémenter certaines des mesures de sécurité par exemple. Elle ne fait pas non plus l'objet d'une certification, contrairement à ISO/CEI 27001 avec laquelle il ne faut pas confondre l'ISO/CEI 27002.
L'ISO/CEI 27002 ne fixe pas un niveau de sécurité à atteindre et n'impose pas que toutes les mesures de sécurité soit implémentées obligatoirement. Une entreprise peut tout à fait choisir librement d'implémenter seulement une partie des mesures en fonction des résultats de son analyse de risques par exemple.
Historique En 1995, la British Standards Institution (BSI) publie la norme BS 7799. Elle contient des mesures pouvant être prises en matière de sécurité de l'information. En 1998, la BSI y ajoute une seconde partie spécifiant les exigences pour mettre en place un Système de Management de la Sécurité de l'Information (SMSI). La nouvelle norme est nommée BS 7799-2 tandis que la norme BS 7799 de 1995, sans l'ajout, est désormais désignée par la référence BS 7799-1. En 2000, l'Organisation internationale de normalisation (ISO) adopte officiellement la norme BS 7799-1 sous la référence ISO 17799 à la suite de son succès dans le monde. Elle en profite pour l'enrichir de quelques mesures de sécurité supplémentaires. En 2005, l'ISO publie une révision de l'ISO/CEI 17799 légèrement remaniée et enrichit de quelques mesures de sécurités. En 2007, l'ISO renomme l'ISO/CEI 17799 en ISO/CEI 27002 dans un souci de cohérence avec l'ISO/CEI 27001 publiée précédemment. En 2015, l'ISO publie la norme ISO/CEI 27017 qui rajoute des mesures de sécurité concernant les environnements basés sur le cloud. Lesquels n'étaient pas vraiment pris en compte dans l'ISO/CEI 27002.
Depuis sa publication en 2005, l'ISO/CEI 27002 a connu 2 révisions : ISO/CEI 27002:2005ISO/CEI 27002:2013ISO/CEI 27002:202211 chapitres 14 chapitres4 chapitres133 mesures de sécurité114 mesures de sécurité93 mesures de sécurité
Liens avec l'ISO/CEI 27001 Bien que l'ISO/CEI 27002 puisse être utilisée seule comme point de référence pour les contrôles en matière de sécurité de l'information, elle a initialement vocation à fournir des mesures de sécurité pouvant être implémentées dans un SMSI conforme à la norme ISO/CEI 27001. Toutes les mesures de l’ISO/CEI 27002 sont notamment également présentes dans l’annexe A de l’ISO/CEI 27001. Cependant alors qu’il y a seulement quelques phrases dans l’Annexe A pour les décrire, il y a en moyenne une page dans l’ISO/CEI 27002 pour chaque mesure. L'implémenteur d'un SMSI ISO/CEI 27001 a l'obligation pour chacune de ces mesures de sécurité de les implémenter ou alors d'indiquer avec cohérence pourquoi elles ne s'appliquent pas.
Structure de la norme
Structure pour l'ISO/CEI 27002:2022 La norme commence avec 4 chapitres introductifs :
Domaine d'application Référence normatives Termes, définitions et abréviations Structure du présent document
Puis il y a 4 chapitres principaux :
Mesures de sécurité organisationnelles Mesures de sécurité applicables aux personnes Mesures de sécurité physique Mesures de sécurité technologiques
Et enfin il y a 2 annexes :
Utilisation des attributs Correspondance de l’ISO/CEI 27002:2022 avec l'ISO/CEI 27002:2013
Structure pour l'ISO/CEI 27002:2013 La norme commence avec 5 chapitres introductifs :
Introduction Domaine d'application Références normatives Termes et définitions Structure de la présente norme
Puis il y a 14 chapitres principaux :
Politiques de sécurité de l'information Organisation de la sécurité de l'information La sécurité des ressources humaines Gestion des actifs Contrôle d'accès Cryptographie Sécurité physique et environnementale Sécurité liée à l'exploitation Sécurité des communications Acquisition, développement et maintenance des systèmes d'information Relations avec les fournisseurs Gestion des incidents liés à la sécurité de l'information Aspects de la sécurité de l'information dans la gestion de la continuité de l'activité Conformité
Contenu de l'ISO/CEI 27002:2013
Chapitre : Champ d'application
La norme donne des recommandations pour la gestion de la sécurité des informations pour ceux qui sont chargés de concevoir, mettre en œuvre ou maintenir la sécurité.
Chapitre : Termes et définitions
« Sécurité de l'information » est explicitement définie comme la «préservation de la confidentialité, l'intégrité et la disponibilité de l'information». Ceux-ci et d'autres termes connexes sont définis plus loin.
Chapitre : Structure de la présente norme
Cette page explique que la norme contient des objectifs de contrôle.
Chapitre : Évaluation des risques et de traitement
ISO/CEI 27002 couvre le sujet de la gestion des risques. Elle donne des directives générales sur la sélection et l'utilisation de méthodes appropriées pour analyser les risques pour la sécurité des informations ; elle ne prescrit pas une méthode spécifique, puisque celle-ci doit être appropriée selon le contexte.
Chapitre : Politiques de sécurité de l'information Il existe deux mesures de sécurité. Elles concernent la composition des politiques de sécurité et leurs revues périodique. Il s’agit de résumer les points des articles quatre et cinq de la norme ISO/CEI 27001. Ensuite l’ISO/CEI 27002 conseille d’aborder chaque domaine relatif à la sécurité. Évoquer chaque chapitre de la norme.
Chapitre : Organisation de la sécurité de l'information Il n’existe aucun lien particulier entre les différentes mesures de sécurité abordées dans ce chapitre. Elles sont toutes organisationnelles. Répartition des rôles et responsabilités : une mesure conseille de répartir clairement les rôles et responsabilités en matière de sécurité. Il est également possible, selon la norme, d’identifier les responsables pour les principaux actifs. Séparation des tâches : la norme recommande la séparation des tâches dans le but de prévenir les risques de fraude et/ou de modifications illicites. Cette recommandation est très répandue dans le domaine financier. Relations avec les autorités : un grand nombre d’organismes sont tenus d’avoir des relations avec les autorités. Ces relations doivent être formalisées et entretenues. Les autorités avec lesquelles il faut être en contact varient en fonction de l’activité de l’organisme. Relations avec les groupes de travail spécialisés : il est conseillé de participer à des forums professionnels abordant les questions de sécurité. Cela permet d’échanger les expériences et d’améliorer le niveau général de sécurité. Gestion de projet : il est recommandé par la norme d’intégrer la sécurité dans la gestion de projet. Le conseil donné est d’apprécier les risques puis d’intégrer des points sécurité à tous. Mobilité et télétravail : cette mesure aborde les questions de la mobilité malgré son aspect technique. Cette mesure a pris de l’importance avec le développement des parcs mobiles (smartphones, tablettes).
Chapitre : La sécurité des ressources humaines Il existe un certain nombre de mesures de sécurité à prendre auprès du personnel avant son embauche, pendant sa présence dans l’organisme, puis à son départ : Avant l’embauche : il est souhaitable de préciser des critères de sélection avant l’embauche en matière de compétence générales et compétences en sécurité nécessaire pour chaque poste. La norme conseille, de plus, de formaliser dans les contrats de travail les engagements du futur salarié en matière de sécurité. Pendant la durée du contrat : la direction doit faire en sorte que tout le monde adopte un comportement adéquat par rapport à la sécurité de l’information. Publication d’une charte destinée aux utilisateurs, Concevoir et formaliser un processus disciplinaire afin de recadrer le personnel. Au départ du personnel : la norme conseille de clarifier autant que possible les règles de sécurité qui seront applicables au salarié, même quand il aura quitté l’entreprise.
Chapitre : Gestion des actifs
Ce chapitre aborde les actifs d’information au sens large du terme comme les supports physiques. Responsabilités relatives aux actifs : la norme recommande de dresser un inventaire des actifs d’information (éléments important en matière d’information). Elle conseille ensuite de préciser, pour chaque actif, quelle est son utilisation nominale. Classification de l’information : cette partie recommande de classifier l’information. Cela met en évidence les actifs les plus sensibles, dans le but de mieux les protéger. Manipulation des supports : cette mesure rappelle qu’il est prudent de bien penser les procédures de manipulation des supports amovibles. La norme rappelle qu’il convient de prévoir une procédure de destruction ou d’effacement des données lorsque les supports amovibles sont en fin de vie.
Chapitre : Contrôle d’accès
L’objectif de cette catégorie est de contrôler l’accès aux informations des installations de traitement, d’information et des processus commerciaux.
Chapitre : Cryptographie Il existe deux mesures de sécurité : Politique de chiffrement : cette mesure conseille de chiffrer les informations en fonction de leur sensibilité et chiffrer les échanges lorsque les liaisons ne sont pas considérées comme sûres. Gestion des clés : les conséquences liées à la divulgation des clés ou à la perte de celles-ci sont telles qu’il convient de les protéger de façon adéquate. Les procédures doivent être correctement formalisées.
Chapitre : Sécurité physique et environnementale Mesure de sécurité des salles machines et des autres locaux de l’organisme : Les salles machines doivent être conçues dans les règles de l’art, Contrôle d’accès physique doit interdire l’accès à toute personne non habilitée, Protections contre les désastres naturels, contre les attaques malveillantes ainsi que contre les accidents. Sécurité des équipements : Les services généraux doivent être exploités conformément aux spécifications du fabricant. Le câblage réseau doit être posé de telle sorte qu’il soit difficile d’intercepter les flux, Le matériel doit être maintenu régulièrement afin de prévenir des pannes et de prévoir des procédures appropriées en vue de la mise au rebut, en fin de vie, Les équipements laissés sans surveillance doivent être protégés et les postes de travail doivent être automatiquement verrouillés.
Chapitre : Sécurité liée à l’exploitation
Ce chapitre aborde de très nombreux domaines dont voici les plus importants : Documentation des procédures d’exploitation : la norme recommande de documenter les procédures d’exploitation ainsi que les conduites à tenir en cas d’erreur.