Systèmes de Management de la Sécurité de l'Information (SMSI)

Un système de management de la sécurité de l'information, ou SMSI (ISMS en anglais), est l'ensemble des politiques, processus, rôles et mesures par lequel une organisation décide quelles informations doivent être protégées, contre quoi et comment, puis vérifie que ces décisions tiennent. Le mot à retenir est management. Un SMSI n'est pas un produit que l'on installe, mais une manière de conduire la sécurité des données comme une responsabilité permanente, avec des responsables, des enregistrements et des revues régulières.

La référence internationale est la famille ISO/IEC 27000. La norme ISO/IEC 27001 fixe les exigences qu'un SMSI doit satisfaire et c'est elle qui sert à certifier les organisations, tandis que l'ISO/IEC 27002 est un catalogue de mesures de sécurité accompagné de conseils de mise en œuvre. Le but est de protéger la confidentialité, l'intégrité et la disponibilité de l'information sous toutes ses formes : fichiers, bases de données, papier, et même conversations.

Parce que le SMSI repose sur les risques, deux entreprises peuvent satisfaire la même norme avec des ensembles de mesures très différents. La norme ne réclame pas une liste de courses figée, mais la preuve que les risques ont été identifiés, traités en connaissance de cause et réexaminés.

Un SMSI fonctionne comme une boucle, souvent décrite par le modèle Plan-Do-Check-Act, et non comme un projet ponctuel. Tout commence par savoir ce que l'on possède : un inventaire des actifs informatiques à jour et un schéma de classification des données opérationnel montrent où les mesures valent leur coût. L'ordre habituel du cycle est le suivant :

1. 1

   Définir le périmètre

   Précisez les entités, sites, systèmes et données couverts par le SMSI, ainsi que les parties intéressées : clients, autorités de contrôle, collaborateurs.

2. 2

   Apprécier et traiter les risques

   Identifiez les actifs et les menaces, évaluez les risques et décidez pour chacun de le réduire, de l'éviter, de le partager ou de l'accepter. Chaque risque a un propriétaire et une décision consignée.

3. 3

   Choisir et exploiter les mesures

   Retenez des mesures adaptées aux risques, consignez le choix et ses raisons dans la déclaration d'applicabilité, puis intégrez les mesures à l'exploitation quotidienne.

4. 4

   Mesurer et auditer

   Suivez l'efficacité des mesures, menez des audits internes et des revues de direction, afin que les dirigeants voient des résultats et pas seulement des politiques.

5. 5

   Améliorer

   Corrigez les non-conformités, tirez les leçons des incidents et reportez les constats dans la prochaine appréciation des risques.

La norme demande des informations documentées, mais les documents seuls ne font pas un SMSI. La plupart des éléments ci-dessous servent à démontrer que le cycle de management tourne réellement :

Un SMSI a besoin de preuves que les mesures existent et que leurs modifications sont traçables. Dans Anexet Inventory, la fiche d'un poste de travail liste les programmes installés avec leur version et leur date d'installation, la matière première d'un inventaire d'actifs. Dans la console d'administration, l'onglet Journal consigne qui a modifié quel profil ou quelle règle, et quand.

1 / 2

• 
• 

Une surprise fréquente pour ceux qui mettent en place un SMSI pour la première fois est la faible part qui revient à l'équipe sécurité. La norme attend l'implication de la direction, et les propriétaires de risques doivent être ceux qui possèdent réellement le processus métier. En pratique, les rôles se répartissent ainsi :

L'ISO/IEC 27001 est souvent confondue avec le SMSI lui-même. Le SMSI est ce que l'organisation exploite, la norme est l'étalon, et la certification est un audit indépendant de ce système dans un périmètre déclaré. Un certificat dit donc que le système, dans son périmètre, répond à la norme. Il ne dit pas que toute l'entreprise est sûre ni qu'une violation est impossible.

D'autres référentiels existent à côté. Le NIST Cybersecurity Framework et la NIST SP 800-53 apportent des structures et des catalogues de mesures, SOC 2 est un rapport d'attestation d'un auditeur selon des critères pour les prestataires de services, et des textes comme le RGPD et la directive européenne NIS2 exigent des mesures de sécurité appropriées sans imposer de SMSI. Un SMSI opérationnel rend ce chevauchement moins coûteux, car un seul processus de risques et un seul corpus de preuves servent plusieurs exigences via la gestion de la conformité. Il aide à démontrer la diligence, mais ne vaut pas à lui seul conformité juridique.

La plupart des programmes de SMSI s'enlisent pour des raisons d'organisation, pas de technique. Une séquence typique consiste à acheter un outil, par exemple un système DLP, avant que quiconque ait listé ce qu'il faut protéger, puis à rédiger les documents ensuite. Les schémas se répètent :

• Un périmètre si étroit que le certificat couvre peu de ce qui compte pour les clients
• Un registre des risques copié d'un modèle, sans vrais propriétaires
• Une déclaration d'applicabilité pleine de « sans objet » sans justification
• Des politiques écrites une fois, jamais lues et jamais testées
• Des constats d'audit clos sur le papier sans traiter la cause

Commencez petit et concret : choisissez un périmètre qui compte pour les clients, listez ses actifs d'information et leurs propriétaires, puis évaluez les quelques risques qui feraient le plus mal. Les mesures viennent ensuite, par ordre de risque et non dans l'ordre de la table des matières de la norme.

Laissez les systèmes produire eux-mêmes les preuves, par exemple des rapports de sécurité planifiés et des journaux de modifications, au lieu de rassembler des captures d'écran la semaine précédant l'audit. Un SMSI peu coûteux à maintenir est celui qui passe le cap de la deuxième année.