Les contrôles organisationnels établissent le cadre de gouvernance et les processus de gestion de la sécurité de l'information.
Politiques de sécurité de l'information
Fournir une orientation et un soutien de la direction pour la sécurité de l'information conformément aux exigences métier et aux lois et réglementations pertinentes
PréventifIdentifier
Exigence
L'organisation doit établir, documenter, approuver, communiquer et maintenir des politiques de sécurité de l'information appropriées.
Mise en œuvre
- Définir la politique de sécurité de l'information au niveau de l'organisation
- Obtenir l'approbation de la direction
- Publier et communiquer la politique à tous les employés et parties externes pertinentes
- Réviser la politique à intervalles planifiés ou en cas de changements significatifs
Preuves attendues
- Politique de sécurité de l'information signée et datée par la direction
- Preuve de diffusion (intranet, accusés de lecture, support de formation)
- Compte rendu du comité ayant approuvé la version en vigueur
- Historique des révisions avec la date de la dernière revue
Questions d'audit
- Qui a approuvé cette politique, et à quelle date ?
- Comment un nouvel arrivant en prend-il connaissance ?
- Qu'est-ce qui déclenche une révision en dehors de l'échéance annuelle ?
- Quelles politiques spécifiques déclinent cette politique cadre ?
Pièges fréquents
- Politique de 40 pages que personne n'a lue — préférez 5 à 10 pages réellement appliquées
- Approuvée par le RSSI seul : la norme attend l'engagement de la direction
- Dernière révision il y a trois ans alors que le périmètre a changé
- Aucune trace de diffusion : impossible de démontrer la communication
Repères de maturité
- Niveau 1
- Un document existe mais n'est ni approuvé ni diffusé.
- Niveau 3
- Politique approuvée par la direction, diffusée, révisée annuellement, déclinée en politiques thématiques.
- Niveau 5
- Révisions déclenchées par les changements de contexte et de risque ; compréhension mesurée auprès du personnel.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Gouvernance
- Domaines
- Gouvernance et écosystème
Correspondances
ISO 27001:2013
5.1.15.1.2
Rôles et responsabilités en matière de sécurité de l'information
Assurer que les responsabilités en matière de sécurité de l'information sont définies et attribuées
PréventifIdentifier
Exigence
Tous les rôles et responsabilités en matière de sécurité de l'information doivent être définis et communiqués.
Mise en œuvre
- Définir et documenter les rôles de sécurité (RSSI, DPO, etc.)
- Établir les responsabilités pour chaque rôle
- Communiquer les rôles à toute l'organisation
- Garantir que les responsabilités sont comprises et acceptées
Preuves attendues
- Organigramme de sécurité avec noms et suppléants
- Lettres de mission ou fiches de poste mentionnant les responsabilités sécurité
- Matrice RACI des processus de sécurité
- Comptes rendus du comité de pilotage sécurité
Questions d'audit
- Qui décide en cas d'arbitrage entre sécurité et disponibilité d'un service ?
- Qui remplace le RSSI pendant ses congés ?
- Ces responsabilités figurent-elles dans les objectifs annuels des intéressés ?
Pièges fréquents
- Rôles décrits dans une politique mais absents des fiches de poste
- RSSI rattaché à la DSI qu'il doit contrôler — conflit d'intérêts à relever
- Aucun suppléant désigné pour les rôles critiques
Repères de maturité
- Niveau 1
- Les responsabilités sont implicites.
- Niveau 3
- Rôles documentés, attribués nominativement, portés par les fiches de poste.
- Niveau 5
- Responsabilités évaluées dans le cycle de performance ; revue annuelle de l'adéquation des rôles.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Gouvernance
- Domaines
- Gouvernance et écosystème
Correspondances
Séparation des tâches
Réduire les opportunités de modification ou d'utilisation abusive non autorisées des actifs
PréventifIdentifier
Exigence
Les tâches et responsabilités conflictuelles doivent être séparées pour réduire les risques de modification ou d'utilisation abusive non autorisées.
Mise en œuvre
- Identifier les tâches et responsabilités conflictuelles
- Séparer les tâches incompatibles (ex: développement et production)
- Mettre en place des contrôles compensatoires si la séparation n'est pas possible
- Réviser régulièrement les attributions de tâches
Preuves attendues
- Liste des tâches identifiées comme incompatibles
- Matrice de séparation des tâches appliquée aux habilitations
- Contrôles compensatoires documentés là où la séparation est impossible
- Revue périodique des cumuls de droits
Questions d'audit
- La même personne peut-elle créer un fournisseur et valider son paiement ?
- Qui peut déployer en production, et qui a écrit le code déployé ?
- Comment gérez-vous la séparation dans une équipe de trois personnes ?
Pièges fréquents
- Séparation écrite mais contredite par les droits réellement portés dans l'AD
- Comptes d'administration partagés qui annulent toute séparation
- Petites structures : absence de contrôle compensatoire formalisé (revue a posteriori, double validation)
Repères de maturité
- Niveau 1
- Aucune analyse des incompatibilités.
- Niveau 3
- Tâches incompatibles identifiées, séparation appliquée techniquement, compensations documentées.
- Niveau 5
- Détection automatique des cumuls interdits lors de l'attribution des droits.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Gouvernance, Gestion des identités et des accès
- Domaines
- Gouvernance et écosystème
Correspondances
Responsabilités de la direction
Exiger que la direction soutienne et démontre son engagement envers la sécurité de l'information
PréventifIdentifier
Exigence
La direction doit exiger de tout le personnel qu'il applique la sécurité de l'information conformément à la politique établie.
Mise en œuvre
- Communication régulière de la direction sur l'importance de la sécurité
- Allocation de ressources suffisantes
- Participation active aux revues de sécurité
- Sponsoring des initiatives de sécurité
Preuves attendues
- Engagement écrit de la direction
- Preuve d'allocation de ressources (budget sécurité, effectifs)
- Comptes rendus de revue de direction traitant de la sécurité
- Communications de la direction sur le sujet
Questions d'audit
- Quand la direction a-t-elle abordé la sécurité pour la dernière fois, et sur quoi a-t-elle décidé ?
- Quel budget est alloué et comment a-t-il évolué ?
- Comment la direction s'assure-t-elle que les règles sont appliquées ?
Pièges fréquents
- Engagement de façade sans décision ni ressource associée
- Revue de direction limitée à une présentation d'indicateurs, sans arbitrage
- Point d'attention NIS2 : l'article 20 de la directive engage la responsabilité personnelle des dirigeants — l'absence de trace d'implication est un risque juridique, pas seulement normatif
Repères de maturité
- Niveau 1
- La sécurité est déléguée sans suivi.
- Niveau 3
- Revue de direction périodique avec décisions tracées et ressources allouées.
- Niveau 5
- La direction pilote sur des indicateurs de risque et arbitre les écarts.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Gouvernance
- Domaines
- Gouvernance et écosystème
Correspondances
Contact avec les autorités
Maintenir des contacts appropriés avec les autorités compétentes
PréventifCorrectifIdentifierRépondreRétablir
Exigence
L'organisation doit établir et maintenir des contacts avec les autorités compétentes.
Mise en œuvre
- Identifier les autorités pertinentes (ANSSI, CCB, CNIL, etc.)
- Établir des points de contact
- Définir les procédures de contact en cas d'incident
- Maintenir les coordonnées à jour
Preuves attendues
- Liste des autorités pertinentes avec contacts nommés (CCB, CSIRT.be, APD, police fédérale)
- Procédure précisant qui contacte qui, quand et sous quel délai
- Traces de contacts réels ou d'exercices
Questions d'audit
- Qui appelle le CCB en cas d'incident significatif, et avec quelles informations ?
- Ces contacts ont-ils été vérifiés cette année ?
- Comment contactez-vous les autorités si votre messagerie est indisponible ?
Pièges fréquents
- Liste de contacts obsolète, jamais testée
- Confusion entre la notification NIS2 au CCB (24 h / 72 h / 1 mois) et la notification RGPD à l'APD (72 h) : les deux peuvent s'appliquer, avec des destinataires et des contenus différents
- Aucun canal de secours prévu
Repères de maturité
- Niveau 1
- Contacts non identifiés.
- Niveau 3
- Contacts nommés, procédure de notification documentée, délais réglementaires intégrés.
- Niveau 5
- Contacts vérifiés périodiquement et exercés lors des simulations de crise.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Répondre, Rétablir
- Capacités opérationnelles
- Gouvernance
- Domaines
- Défense, Résilience
Correspondances
Contact avec des groupes d'intérêt spéciaux
Maintenir des contacts appropriés avec des groupes d'intérêt spéciaux et des forums spécialisés en sécurité
PréventifCorrectifIdentifierRépondreRétablir
Exigence
L'organisation doit établir et maintenir des contacts avec des groupes d'intérêt spéciaux.
Mise en œuvre
- Participer à des forums de sécurité (CERT, ISAC, etc.)
- Adhérer à des associations professionnelles
- Partager les bonnes pratiques
- Recevoir des alertes de sécurité
Preuves attendues
- Liste des groupes et forums suivis (CCB Safeonweb, ISAC sectoriel, CERT, éditeurs)
- Preuve d'adhésion ou d'abonnement
- Exemples d'informations reçues ayant donné lieu à une action
Questions d'audit
- D'où vient votre information sur les vulnérabilités qui vous concernent ?
- Citez une alerte reçue cette année et ce que vous en avez fait.
Pièges fréquents
- Abonnement à des flux que personne ne lit
- Aucun lien entre la veille et le processus de gestion des vulnérabilités
Repères de maturité
- Niveau 1
- Veille informelle et personnelle.
- Niveau 3
- Sources identifiées, suivies, reliées au traitement des vulnérabilités.
- Niveau 5
- Participation active à un ISAC sectoriel ; partage réciproque d'information.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Répondre, Rétablir
- Capacités opérationnelles
- Gouvernance
- Domaines
- Défense
Correspondances
Threat intelligence
Collecter et analyser des informations sur les menaces pour la sécurité de l'information
PréventifDétectifCorrectifIdentifierDétecterRépondreNouveau en 2022
Exigence
Les informations relatives aux menaces de sécurité de l'information doivent être collectées et analysées.
Mise en œuvre
- S'abonner à des flux de threat intelligence
- Analyser les tendances de menaces
- Adapter les mesures de sécurité en conséquence
- Partager les informations pertinentes
Preuves attendues
- Sources de renseignement sur la menace (stratégique, tactique, opérationnel)
- Analyses produites et leur destinataire
- Traces d'intégration dans les règles de détection ou le plan de traitement des risques
Questions d'audit
- Quelles menaces visent spécifiquement votre secteur ?
- Comment un indicateur de compromission reçu se retrouve-t-il dans vos outils ?
- Qui exploite cette information, et à quelle fréquence ?
Pièges fréquents
- Contrôle nouveau en 2022 : souvent absent de la déclaration d'applicabilité reprise de 2013
- Achat d'un flux de renseignement sans capacité de l'exploiter
- Renseignement collecté mais jamais transformé en règle de détection
Repères de maturité
- Niveau 1
- Aucune veille sur la menace.
- Niveau 3
- Sources définies, analyse périodique, alimentation de la détection et de l'analyse de risques.
- Niveau 5
- Renseignement contextualisé au secteur et au système d'information, mesuré sur sa contribution à la détection.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Détectif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Détecter, Répondre
- Capacités opérationnelles
- Gestion des menaces et vulnérabilités
- Domaines
- Défense, Résilience
Correspondances
Sécurité de l'information dans la gestion de projet
Intégrer la sécurité de l'information dans la gestion de projet
PréventifIdentifierProtéger
Exigence
La sécurité de l'information doit être intégrée dans la gestion de projet.
Mise en œuvre
- Inclure la sécurité dans toutes les phases du projet
- Évaluer les risques de sécurité des projets
- Allouer des ressources sécurité aux projets
- Effectuer des revues de sécurité
Preuves attendues
- Procédure de gestion de projet incluant des jalons sécurité
- Analyse de risques d'un projet récent
- Critères d'acceptation sécurité d'une mise en production
Questions d'audit
- Montrez-moi le dernier projet livré : où la sécurité est-elle intervenue ?
- Qui peut bloquer une mise en production pour motif de sécurité ?
- Les projets métier menés hors DSI passent-ils par le même filtre ?
Pièges fréquents
- Sécurité consultée en fin de projet, quand plus rien n'est modifiable
- Projets d'infrastructure couverts, projets métier et SaaS oubliés
- Aucune trace d'arbitrage sur les risques acceptés en fin de projet
Repères de maturité
- Niveau 1
- La sécurité intervient au cas par cas.
- Niveau 3
- Jalons sécurité obligatoires dans la méthode projet, avec critères d'acceptation.
- Niveau 5
- Exigences de sécurité dérivées automatiquement du niveau de risque du projet.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Gouvernance
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
ISO 27001:2013
6.1.514.1.1
Inventaire des actifs
Identifier les actifs et définir les responsabilités de protection appropriées
PréventifIdentifier
Exigence
Les actifs associés à l'information et aux installations de traitement de l'information doivent être identifiés.
Mise en œuvre
- Établir et maintenir un inventaire des actifs
- Identifier les propriétaires d'actifs
- Classifier les actifs selon leur criticité
- Réviser régulièrement l'inventaire
Preuves attendues
- Inventaire des actifs (CMDB ou équivalent) avec propriétaire par actif
- Date de dernière mise à jour et méthode de réconciliation
- Couverture : postes, serveurs, mobiles, SaaS, OT le cas échéant
Questions d'audit
- Comment un nouveau serveur entre-t-il dans l'inventaire ?
- Combien d'actifs découverts sur le réseau ne figurent pas dans l'inventaire ?
- Qui est le propriétaire de l'application X, et le sait-il ?
Pièges fréquents
- Inventaire tenu manuellement dans un tableur, périmé dès sa création
- Le SaaS et le télétravail échappent à l'inventaire
- Propriétaire déclaré au niveau d'une direction et non d'une personne
Repères de maturité
- Niveau 1
- Inventaire partiel et manuel.
- Niveau 3
- Inventaire tenu à jour, propriétaire nommé, réconcilié avec la découverte réseau.
- Niveau 5
- Inventaire alimenté automatiquement, écarts traités comme des incidents.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Gouvernance, Gestion des actifs
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
ISO 27001:2013
8.1.18.1.2
Utilisation acceptable de l'information et des actifs
Identifier, documenter et mettre en œuvre des règles d'utilisation acceptable de l'information et des actifs
PréventifProtéger
Exigence
Des règles d'utilisation acceptable de l'information et des actifs doivent être identifiées, documentées et mises en œuvre.
Mise en œuvre
- Définir la charte d'utilisation des SI
- Communiquer les règles à tous les utilisateurs
- Obtenir l'acceptation formelle
- Surveiller le respect des règles
Preuves attendues
- Charte d'utilisation acceptable signée par les utilisateurs
- Règles par type d'actif (poste, mobile,support amovible, cloud personnel)
- Preuve de signature ou d'acceptation à l'embauche
Questions d'audit
- Un salarié peut-il déposer un document de travail sur son Drive personnel ?
- Comment la charte est-elle portée à la connaissance des prestataires ?
- Que se passe-t-il en cas de manquement constaté ?
Pièges fréquents
- Charte signée à l'embauche et jamais revue malgré l'arrivée du télétravail et du SaaS
- Règles non opposables faute d'information préalable du personnel
- Prestataires et intérimaires hors du périmètre
Repères de maturité
- Niveau 1
- Règles implicites.
- Niveau 3
- Charte formalisée, acceptée, couvrant le télétravail et le cloud, opposable.
- Niveau 5
- Règles techniquement appliquées et écarts détectés, pas seulement écrits.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gouvernance, Gestion des actifs, Protection de l'information
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
ISO 27001:2013
8.1.38.2.3
Restitution des actifs
S'assurer que les employés et les parties externes restituent tous les actifs en leur possession à la fin de leur emploi
PréventifProtéger
Exigence
Tout le personnel et les utilisateurs externes doivent restituer tous les actifs de l'organisation en leur possession.
Mise en œuvre
- Procédure de restitution lors du départ
- Liste de contrôle des actifs à restituer
- Révocation des accès
- Récupération des badges, équipements, etc.
Preuves attendues
- Procédure de départ avec liste des actifs à restituer
- Formulaires de restitution signés pour les départs récents
- Réconciliation entre l'inventaire et les restitutions
Questions d'audit
- Prenons le dernier départ : quels actifs ont été restitués et quand ?
- Comment récupérez-vous le matériel d'un télétravailleur à distance ?
- Que faites-vous des données de l'intéressé sur ses appareils personnels ?
Pièges fréquents
- Restitution du matériel effectuée, mais accès SaaS et certificats laissés actifs
- Aucune trace écrite : impossible de démontrer la restitution
- Départs de prestataires non couverts par la procédure
Repères de maturité
- Niveau 1
- Restitution informelle.
- Niveau 3
- Procédure appliquée et tracée pour tous les départs, salariés et prestataires.
- Niveau 5
- Restitution et révocation des accès déclenchées par le processus RH, avec contrôle de complétude.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gestion des actifs
- Domaines
- Protection
Correspondances
Classification de l'information
S'assurer que l'information reçoit un niveau de protection approprié
PréventifIdentifier
Exigence
L'information doit être classifiée selon les besoins de sécurité de l'organisation.
Mise en œuvre
- Définir un schéma de classification (Public, Interne, Confidentiel, Secret)
- Classifier tous les actifs informationnels
- Étiqueter l'information classifiée
- Appliquer les contrôles selon la classification
Preuves attendues
- Schéma de classification (nombre de niveaux et critères)
- Exemples d'actifs classifiés dans chaque niveau
- Règles de manipulation associées à chaque niveau
Questions d'audit
- Combien de niveaux, et qui décide du niveau d'un document ?
- Quelle différence concrète de traitement entre deux niveaux voisins ?
- Comment classifiez-vous une base de données contenant des données mixtes ?
Pièges fréquents
- Cinq niveaux dont trois ne sont jamais utilisés — deux ou trois niveaux appliqués valent mieux
- Classification définie sans règles de manipulation : elle ne change rien
- Aucun lien avec le registre RGPD alors que les données personnelles sont concernées
Repères de maturité
- Niveau 1
- Pas de classification.
- Niveau 3
- Schéma simple appliqué, règles de manipulation par niveau, propriétaires formés.
- Niveau 5
- Classification portée par l'outillage (étiquetage, DLP) et vérifiée.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Protection de l'information
- Domaines
- Protection, Défense
Correspondances
Étiquetage de l'information
Développer et mettre en œuvre un ensemble de procédures d'étiquetage de l'information
PréventifProtéger
Exigence
Un ensemble approprié de procédures d'étiquetage de l'information doit être développé et mis en œuvre.
Mise en œuvre
- Définir les règles d'étiquetage
- Appliquer les étiquettes (métadonnées, en-têtes, etc.)
- Former les utilisateurs
- Vérifier le respect de l'étiquetage
Preuves attendues
- Règles d'étiquetage par support (document, courriel, base, support physique)
- Exemples d'actifs réellement étiquetés
- Configuration de l'outil d'étiquetage le cas échéant
Questions d'audit
- Montrez-moi un document classifié « confidentiel » : où l'étiquette apparaît-elle ?
- Comment étiquetez-vous un courriel sortant ?
- Que se passe-t-il si un document n'est pas étiqueté ?
Pièges fréquents
- Étiquetage prévu mais laissé à la bonne volonté des utilisateurs
- Étiquette visible à l'écran mais absente à l'impression ou à l'export
- Aucune valeur par défaut : les documents non étiquetés échappent aux règles
Repères de maturité
- Niveau 1
- Étiquetage inexistant ou anecdotique.
- Niveau 3
- Règles définies par support et appliquées sur les actifs classifiés.
- Niveau 5
- Étiquetage outillé, valeur par défaut imposée, exploité par les contrôles techniques.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Protection de l'information
- Domaines
- Protection, Défense
Correspondances
Transfert d'information
Maintenir la sécurité de l'information transférée au sein de l'organisation et avec toute entité externe
PréventifProtéger
Exigence
Des règles, procédures ou accords de transfert d'information doivent être en place.
Mise en œuvre
- Politiques de transfert sécurisé
- Utilisation de canaux chiffrés
- Accords de transfert avec les tiers
- Traçabilité des transferts
Preuves attendues
- Procédure de transfert par canal (courriel, SFTP, clé USB, portail)
- Accords de transfert avec les tiers récurrents
- Preuve de chiffrement des transferts sensibles
Questions d'audit
- Comment envoyez-vous un fichier de 200 Mo contenant des données personnelles à un partenaire ?
- Quels canaux sont interdits, et comment l'interdiction est-elle appliquée ?
- Qui autorise un nouveau canal de transfert ?
Pièges fréquents
- Règle écrite interdisant le transfert non chiffré, contredite par l'usage quotidien de pièces jointes
- WeTransfer et équivalents utilisés sans encadrement
- Accords de transfert absents pour les tiers pourtant récurrents
Repères de maturité
- Niveau 1
- Chacun transfère comme il peut.
- Niveau 3
- Canaux autorisés définis, chiffrement imposé pour les données classifiées, accords signés avec les tiers.
- Niveau 5
- Canaux non autorisés techniquement bloqués ; transferts sensibles journalisés.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gestion des actifs, Protection de l'information
- Domaines
- Protection
Correspondances
ISO 27001:2013
13.2.113.2.213.2.3
Contrôle d'accès
Gérer les droits d'accès logique et physique aux actifs
PréventifProtéger
Exigence
Des règles de contrôle d'accès doivent être établies, documentées et révisées.
Mise en œuvre
- Politique de contrôle d'accès
- Principe du moindre privilège
- Revues régulières des droits
- Processus de demande et révocation
Preuves attendues
- Politique de contrôle d'accès
- Règles d'attribution par profil métier
- Trace d'une revue d'accès récente avec ses conclusions
Questions d'audit
- Sur quelle base attribuez-vous les droits : rôle, demande, ou copie d'un collègue ?
- À quelle fréquence revoyez-vous les droits, et par qui sont-ils validés ?
- Comment traitez-vous un changement de poste interne ?
Pièges fréquents
- Attribution par recopie des droits d'un collègue, qui propage les cumuls
- Mobilité interne : les anciens droits ne sont pas retirés
- Revue d'accès signée sans examen réel — demandez les écarts constatés, l'absence d'écart sur des centaines de comptes est suspecte
Repères de maturité
- Niveau 1
- Droits attribués à la demande, sans modèle.
- Niveau 3
- Modèle de droits par rôle, validation par le propriétaire, revue périodique documentée.
- Niveau 5
- Droits dérivés du référentiel RH ; écarts détectés en continu.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gestion des identités et des accès
- Domaines
- Protection
Correspondances
ISO 27001:2013
9.1.19.1.2
Gestion des identités
Gérer le cycle de vie complet des identités
PréventifProtéger
Exigence
Le cycle de vie complet des identités doit être géré.
Mise en œuvre
- Processus de création d'identités
- Gestion des modifications
- Désactivation et suppression
- Révisions périodiques
Preuves attendues
- Procédure de création, modification et suppression d'identité
- Règles de nommage et d'unicité des identifiants
- Liste des comptes génériques et partagés avec leur justification
Questions d'audit
- Un identifiant peut-il être réattribué à une autre personne ?
- Combien de comptes génériques existent, et qui en est responsable ?
- Comment une identité est-elle créée pour un prestataire ?
Pièges fréquents
- Comptes de service créés au fil de l'eau, sans propriétaire ni date d'expiration
- Comptes partagés qui rendent la traçabilité impossible
- Identités de prestataires créées sans date de fin
Repères de maturité
- Niveau 1
- Création manuelle sans cadre.
- Niveau 3
- Cycle de vie des identités documenté, comptes génériques inventoriés et justifiés.
- Niveau 5
- Cycle de vie automatisé et réconcilié avec les sources autoritaires.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gestion des identités et des accès
- Domaines
- Protection
Correspondances
Informations d'authentification
Gérer l'allocation et la gestion des informations d'authentification
PréventifProtéger
Exigence
L'allocation et la gestion des informations d'authentification doivent être contrôlées.
Mise en œuvre
- Politique de mots de passe robuste
- Authentification multi-facteurs (MFA)
- Gestion sécurisée des secrets
- Renouvellement régulier
Preuves attendues
- Politique de mots de passe et de secrets
- Configuration réelle de la politique dans l'annuaire
- Procédure de remise et de réinitialisation des secrets
- Coffre-fort de secrets le cas échéant
Questions d'audit
- Comment un nouvel arrivant reçoit-il son premier mot de passe ?
- Où sont stockés les secrets d'applications et de scripts ?
- Que se passe-t-il si un secret partagé fuite ?
Pièges fréquents
- Politique documentée qui ne correspond pas à la configuration réellement appliquée : vérifiez l'annuaire, pas le document
- Secrets d'application en clair dans le code ou les fichiers de configuration
- Renouvellement forcé tous les 30 jours, qui pousse à des mots de passe faibles et prévisibles
Repères de maturité
- Niveau 1
- Mots de passe gérés par les utilisateurs seuls.
- Niveau 3
- Politique appliquée techniquement, secrets applicatifs dans un coffre, procédure de réinitialisation vérifiée.
- Niveau 5
- Secrets à rotation automatique ; authentification sans mot de passe là où c'est possible.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gestion des identités et des accès
- Domaines
- Protection
Correspondances
ISO 27001:2013
9.2.49.3.19.4.3
Droits d'accès
Provisionner, réviser, modifier et retirer les droits d'accès aux actifs
PréventifProtéger
Exigence
Les droits d'accès aux actifs doivent être provisionnés, révisés, modifiés et retirés.
Mise en œuvre
- Workflow de demande d'accès
- Approbation par les managers
- Provisioning automatisé
- Revues trimestrielles des accès
Preuves attendues
- Procédure d'attribution et de retrait des droits
- Preuve de retrait pour les derniers départs
- Revue des droits à privilèges
- Validation par le propriétaire de l'actif
Questions d'audit
- Combien de temps s'écoule entre un départ et le retrait effectif des accès ?
- Prenons trois départs récents : montrez-moi la trace du retrait.
- Qui valide l'attribution d'un droit d'administration ?
Pièges fréquents
- Délai de retrait non mesuré — c'est le contrôle le plus souvent pris en défaut
- Comptes désactivés mais accès SaaS et VPN encore actifs
- Retrait effectué sans trace exploitable
Repères de maturité
- Niveau 1
- Retrait à la demande, sans délai cible.
- Niveau 3
- Attribution validée, retrait déclenché par le processus RH, délai mesuré.
- Niveau 5
- Retrait immédiat et automatique sur tous les systèmes, y compris SaaS, avec contrôle de complétude.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger
- Capacités opérationnelles
- Gestion des identités et des accès
- Domaines
- Protection
Correspondances
ISO 27001:2013
9.2.29.2.59.2.6
Sécurité de l'information dans les relations avec les fournisseurs
Maintenir un niveau convenu de sécurité de l'information dans les relations avec les fournisseurs
PréventifIdentifierProtéger
Exigence
Des processus et procédures doivent être définis et mis en œuvre pour maintenir la sécurité.
Mise en œuvre
- Politique de sécurité fournisseurs
- Évaluation avant contractualisation
- Clauses de sécurité dans les contrats
- Audits réguliers des fournisseurs
Preuves attendues
- Politique de sécurité des relations fournisseurs
- Inventaire des fournisseurs avec criticité
- Exigences de sécurité par niveau de criticité
Questions d'audit
- Combien de fournisseurs ont un accès à votre système d'information ?
- Comment classez-vous un fournisseur comme critique ?
- Qui valide l'entrée en relation d'un fournisseur qui traitera vos données ?
Pièges fréquents
- Inventaire limité aux fournisseurs informatiques : les prestataires métier avec accès sont oubliés
- Criticité fondée sur le montant du contrat plutôt que sur l'accès aux données
- Point NIS2 : la mesure 4 de l'article 30 porte précisément sur ce sujet et fait partie des points examinés en inspection
Repères de maturité
- Niveau 1
- Aucune approche structurée des fournisseurs.
- Niveau 3
- Inventaire avec criticité, exigences graduées, validation avant entrée en relation.
- Niveau 5
- Risque fournisseur intégré à la gestion des risques d'entreprise et réévalué périodiquement.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Sécurité des relations fournisseurs
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
Traiter la sécurité de l'information dans les accords avec les fournisseurs
Établir et convenir des exigences de sécurité de l'information avec chaque fournisseur
PréventifIdentifierProtéger
Exigence
Les exigences pertinentes de sécurité de l'information doivent être établies et convenues.
Mise en œuvre
- Définir les exigences de sécurité
- Inclure dans les contrats et SLA
- Droits d'audit
- Gestion des incidents impliquant des fournisseurs
Preuves attendues
- Clauses de sécurité types selon la criticité
- Contrats signés avec leurs annexes sécurité
- Droit d'audit et engagements de notification d'incident
Questions d'audit
- Montrez-moi l'annexe sécurité du contrat avec votre hébergeur.
- Sous quel délai un fournisseur doit-il vous notifier un incident ?
- Avez-vous un droit d'audit, et l'avez-vous déjà exercé ?
Pièges fréquents
- Clauses présentes dans les nouveaux contrats, absentes des contrats historiques jamais renégociés
- Délai de notification d'incident du fournisseur supérieur à votre propre délai réglementaire de 24 h
- Droit d'audit prévu mais jamais exercé
Repères de maturité
- Niveau 1
- Contrats sans clause de sécurité.
- Niveau 3
- Clauses types appliquées selon la criticité, délais de notification alignés sur NIS2.
- Niveau 5
- Conformité contractuelle vérifiée dans la durée, droit d'audit exercé sur les fournisseurs critiques.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Sécurité des relations fournisseurs
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC
Gérer les risques de sécurité de l'information associés à la chaîne d'approvisionnement TIC
PréventifIdentifierProtéger
Exigence
Des processus et procédures doivent être définis et mis en œuvre pour gérer les risques.
Mise en œuvre
- Évaluation des risques de la chaîne TIC
- Exigences de sécurité pour les sous-traitants
- Surveillance continue
- Plans de contingence
Preuves attendues
- Exigences imposées aux fournisseurs concernant leurs propres sous-traitants
- Cartographie des dépendances de second rang pour les services critiques
- Exigences sur la provenance et l'intégrité des composants
Questions d'audit
- Qui héberge réellement le service que vous consommez ?
- Vos fournisseurs critiques vous informent-ils d'un changement de sous-traitant ?
- Comment vérifiez-vous l'intégrité des composants logiciels reçus ?
Pièges fréquents
- Vision limitée au fournisseur direct, alors que la dépendance réelle est deux rangs plus loin
- Aucune clause imposant l'information en cas de changement de sous-traitant
- Nomenclature logicielle (SBOM) jamais demandée
Repères de maturité
- Niveau 1
- Chaîne d'approvisionnement non examinée.
- Niveau 3
- Dépendances de second rang connues pour les services critiques, exigences répercutées contractuellement.
- Niveau 5
- Intégrité des composants vérifiée ; nomenclature logicielle exploitée lors des alertes.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Sécurité des relations fournisseurs
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
Surveillance, revue et gestion du changement des services fournisseurs
Surveiller, réviser, évaluer et gérer le changement dans les services fournisseurs
PréventifDétectifIdentifierProtéger
Exigence
L'organisation doit surveiller, réviser et gérer régulièrement le changement.
Mise en œuvre
- KPI et SLA de sécurité
- Revues périodiques de performance
- Gestion des changements chez les fournisseurs
- Audits de conformité
Preuves attendues
- Comptes rendus de revues de service avec volet sécurité
- Indicateurs de sécurité suivis par fournisseur
- Rapports d'audit ou certifications reçus et analysés
- Procédure de gestion des changements côté fournisseur
Questions d'audit
- Quand avez-vous revu la performance sécurité de votre fournisseur critique ?
- Que faites-vous du rapport SOC 2 ou du certificat ISO qu'il vous transmet — qui le lit ?
- Comment êtes-vous informé d'un changement majeur de son côté ?
Pièges fréquents
- Certificat du fournisseur classé sans lecture : vérifiez le périmètre, il exclut souvent le service consommé
- Revues commerciales sans volet sécurité
- Aucune réaction organisée aux réserves d'un rapport d'audit
Repères de maturité
- Niveau 1
- Aucun suivi après la signature.
- Niveau 3
- Revues périodiques avec indicateurs sécurité, analyse des rapports reçus, suivi des changements.
- Niveau 5
- Surveillance continue, écarts traités comme des risques et escaladés.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Détectif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Sécurité des relations fournisseurs, Assurance de la sécurité
- Domaines
- Gouvernance et écosystème, Protection, Défense
Correspondances
ISO 27001:2013
15.2.115.2.2
Sécurité de l'information pour l'utilisation de services cloud
Gérer la sécurité de l'information lors de l'utilisation de services cloud
PréventifIdentifierProtégerNouveau en 2022
Exigence
Les processus d'acquisition, d'utilisation, de gestion et de sortie de services cloud doivent respecter les exigences.
Mise en œuvre
- Évaluation de sécurité des fournisseurs cloud
- Modèle de responsabilité partagée
- Chiffrement des données cloud
- Plan de sortie (exit strategy)
Preuves attendues
- Inventaire des services cloud utilisés, y compris ceux souscrits hors DSI
- Analyse du modèle de responsabilité partagée par service
- Configuration de sécurité des principaux services
- Clauses de réversibilité et de localisation des données
Questions d'audit
- Combien de services SaaS sont utilisés dans l'entreprise, et combien sont connus de la DSI ?
- Qui est responsable du chiffrement des données dans votre IaaS : vous ou le fournisseur ?
- Que se passe-t-il si vous devez quitter ce service ?
Pièges fréquents
- Contrôle nouveau en 2022, souvent absent de la déclaration d'applicabilité reprise de 2013
- Informatique fantôme : des services souscrits par les métiers, hors inventaire
- Modèle de responsabilité partagée mal compris — la configuration de sécurité reste à votre charge
- Aucune stratégie de réversibilité
Repères de maturité
- Niveau 1
- Cloud utilisé sans cadre.
- Niveau 3
- Inventaire complet, responsabilités clarifiées par service, configurations durcies et vérifiées.
- Niveau 5
- Posture cloud surveillée en continu, réversibilité testée.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Sécurité des relations fournisseurs
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
Planification et préparation de la gestion des incidents de sécurité de l'information
Planifier et préparer la gestion des incidents de sécurité
CorrectifRépondreRétablir
Exigence
L'organisation doit planifier et préparer la gestion des incidents.
Mise en œuvre
- Politique de gestion des incidents
- Équipe de réponse aux incidents (CSIRT)
- Procédures de réponse
- Outils de détection et analyse
Preuves attendues
- Plan de réponse à incident avec rôles et suppléants
- Échelle de qualification des incidents
- Coordonnées de la cellule de crise
- Trace du dernier exercice
Questions d'audit
- Qui décide qu'un événement devient un incident significatif ?
- Quand avez-vous exercé ce plan pour la dernière fois, et qu'en est-il ressorti ?
- Comment le plan est-il accessible si le système d'information est indisponible ?
Pièges fréquents
- Plan stocké uniquement sur le partage réseau qu'un rançongiciel vient de chiffrer
- Critères de qualification absents : impossible de décider objectivement de notifier le CCB
- Aucun exercice depuis la rédaction du plan
Repères de maturité
- Niveau 1
- Réaction improvisée.
- Niveau 3
- Plan documenté, rôles attribués, critères de qualification définis, exercice annuel.
- Niveau 5
- Plan éprouvé sur des scénarios réalistes, révisé après chaque incident et chaque exercice.
Attributs ISO 27002:2022
- Type de mesure
- Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Répondre, Rétablir
- Capacités opérationnelles
- Gouvernance, Gestion des événements de sécurité
- Domaines
- Défense
Correspondances
Évaluation et décision sur les événements de sécurité de l'information
Évaluer les événements de sécurité et décider s'ils doivent être classés comme incidents
DétectifDétecterRépondre
Exigence
L'organisation doit évaluer les événements de sécurité.
Mise en œuvre
- Critères de classification des incidents
- Processus d'escalade
- Catégorisation et priorisation
- Documentation des décisions
Preuves attendues
- Critères de qualification événement / incident
- Registre des événements avec décision motivée
- Rôle et disponibilité des personnes habilitées à qualifier
Questions d'audit
- Sur les alertes du mois dernier, combien sont devenues des incidents et pourquoi ?
- Qui qualifie un événement la nuit et le week-end ?
- Comment évitez-vous de passer à côté d'un incident noyé dans le bruit ?
Pièges fréquents
- Qualification laissée au niveau 1 sans critères écrits
- Absence de couverture hors heures ouvrées, alors que les attaques s'y concentrent
- Registre des événements non conservé, donc pas de mesure du taux de faux positifs
Repères de maturité
- Niveau 1
- Qualification au cas par cas.
- Niveau 3
- Critères écrits, registre tenu, couverture hors heures définie.
- Niveau 5
- Qualification assistée et mesurée, seuils ajustés sur l'historique.
Attributs ISO 27002:2022
- Type de mesure
- Détectif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Détecter, Répondre
- Capacités opérationnelles
- Gestion des événements de sécurité
- Domaines
- Défense
Correspondances
Réponse aux incidents de sécurité de l'information
Répondre aux incidents de sécurité conformément aux procédures documentées
CorrectifRépondreRétablir
Exigence
Les incidents de sécurité doivent être traités conformément aux procédures.
Mise en œuvre
- Activation de la réponse
- Containment et éradication
- Investigation forensique
- Communication et notification
Preuves attendues
- Procédures de réponse par type d'incident
- Journal des actions du dernier incident significatif
- Critères de clôture
- Trace des décisions de confinement
Questions d'audit
- Racontez-moi le dernier incident : qui a fait quoi, à quelle heure ?
- Qui autorise à déconnecter un système de production ?
- À quel moment déclarez-vous un incident clos ?
Pièges fréquents
- Actions réalisées sans journal horodaté, ce qui empêche la reconstitution
- Personne n'ose isoler un système faute de mandat clair
- Clôture prononcée sans vérification de l'éradication
Repères de maturité
- Niveau 1
- Réponse improvisée et non tracée.
- Niveau 3
- Procédures par type d'incident, journal des actions, mandat de confinement explicite.
- Niveau 5
- Réponse partiellement automatisée sur les scénarios courants, temps de réponse mesuré.
Attributs ISO 27002:2022
- Type de mesure
- Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Répondre, Rétablir
- Capacités opérationnelles
- Gestion des événements de sécurité
- Domaines
- Défense
Correspondances
Tirer les leçons des incidents de sécurité de l'information
Utiliser les connaissances acquises des incidents pour renforcer les contrôles
PréventifIdentifierProtéger
Exigence
Les connaissances acquises doivent être utilisées pour réduire la probabilité ou l'impact d'incidents futurs.
Mise en œuvre
- Analyse post-incident (post-mortem)
- Identification des causes racines
- Actions correctives et préventives
- Mise à jour des procédures
Preuves attendues
- Comptes rendus d'analyse post-incident
- Plan d'action issu du dernier incident et son avancement
- Traces de modifications apportées aux mesures à la suite d'un incident
Questions d'audit
- Quel incident a conduit à modifier une procédure cette année ?
- Qui suit les actions issues des post-mortem ?
- Combien d'actions sont encore ouvertes ?
Pièges fréquents
- Post-mortem rédigé mais sans action suivie
- Analyse qui s'arrête à la cause technique sans examiner la cause organisationnelle
- Recherche de responsabilité individuelle qui décourage la déclaration
Repères de maturité
- Niveau 1
- Aucun retour d'expérience.
- Niveau 3
- Post-mortem systématique pour les incidents significatifs, actions suivies jusqu'à clôture.
- Niveau 5
- Tendances analysées sur l'historique ; mesures ajustées sur la base des causes récurrentes.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Gestion des événements de sécurité
- Domaines
- Défense
Correspondances
Collecte de preuves
Établir et appliquer des procédures de collecte de preuves
CorrectifDétecterRépondre
Exigence
L'organisation doit établir et appliquer des procédures pour l'identification, la collecte, l'acquisition et la préservation de preuves.
Mise en œuvre
- Procédures forensiques
- Chaîne de custody
- Outils d'investigation
- Conservation des preuves
Preuves attendues
- Procédure de collecte et de conservation des preuves
- Chaîne de responsabilité documentée
- Outils et compétences disponibles, en interne ou par contrat
- Exemple de collecte réalisée
Questions d'audit
- Qui collecte les preuves, et avec quelle méthode ?
- Comment garantissez-vous l'intégrité d'une image disque ?
- Avez-vous un contrat d'intervention avec un spécialiste ?
Pièges fréquents
- Redémarrage du poste compromis avant toute collecte : la mémoire vive est perdue
- Aucune chaîne de responsabilité, ce qui rend les preuves inexploitables en justice
- Journaux d'une durée de rétention inférieure au délai de détection habituel
Repères de maturité
- Niveau 1
- Aucune capacité de collecte.
- Niveau 3
- Procédure définie, intégrité et chaîne de responsabilité assurées, appui externe contractualisé.
- Niveau 5
- Collecte exercée, preuves conservées selon une politique de rétention alignée sur les besoins légaux.
Attributs ISO 27002:2022
- Type de mesure
- Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Détecter, Répondre
- Capacités opérationnelles
- Gestion des événements de sécurité
- Domaines
- Défense
Correspondances
Sécurité de l'information pendant les perturbations
Planifier comment maintenir la sécurité de l'information à un niveau approprié pendant les perturbations
PréventifCorrectifProtégerRépondreRétablir
Exigence
L'organisation doit planifier comment maintenir la sécurité pendant les perturbations.
Mise en œuvre
- Intégration sécurité dans le BCP
- Procédures de sécurité en mode dégradé
- Priorisation des contrôles critiques
- Tests de continuité incluant la sécurité
Preuves attendues
- Analyse d'impact sur l'activité avec RTO et RPO par processus
- Plan de continuité et plan de reprise
- Résultats du dernier test
- Dispositions de sécurité maintenues en mode dégradé
Questions d'audit
- Quel est le RTO du processus le plus critique, et d'où vient ce chiffre ?
- Quand avez-vous testé la reprise, et le RTO a-t-il été tenu ?
- En mode dégradé, quelles mesures de sécurité sautent ?
Pièges fréquents
- RTO fixé par la DSI sans arbitrage métier
- Plan testé sur un service non critique pour ne pas prendre de risque
- Mode dégradé qui suspend l'authentification forte ou la journalisation
Repères de maturité
- Niveau 1
- Continuité non préparée.
- Niveau 3
- BIA validée par les métiers, plans documentés, test annuel avec constat d'écart.
- Niveau 5
- Tests réalistes incluant les fournisseurs, RTO et RPO mesurés et tenus.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger, Répondre, Rétablir
- Capacités opérationnelles
- Continuité
- Domaines
- Protection, Résilience
Correspondances
ISO 27001:2013
17.1.117.1.217.1.3
Préparation des TIC pour la continuité d'activité
Préparer les TIC pour la continuité d'activité
CorrectifRépondreNouveau en 2022
Exigence
La préparation des TIC doit être planifiée, mise en œuvre, maintenue et testée.
Mise en œuvre
- Redondance des systèmes critiques
- Sauvegardes et restauration
- Sites de secours
- Tests de failover
Preuves attendues
- Analyse de la contribution des TIC aux objectifs de continuité
- Architecture de reprise (redondance, bascule, restauration)
- Résultats de test de bascule
Questions d'audit
- Votre infrastructure permet-elle de tenir le RTO annoncé ?
- La bascule a-t-elle été testée en conditions réelles ?
- Qui décide de basculer, et sur quel critère ?
Pièges fréquents
- Contrôle nouveau en 2022, fréquemment absent de la déclaration d'applicabilité
- Redondance sur le même site ou le même fournisseur, donc exposée au même sinistre
- Bascule jamais testée en charge
Repères de maturité
- Niveau 1
- Aucune préparation technique à la reprise.
- Niveau 3
- Architecture dimensionnée sur le RTO, bascule testée.
- Niveau 5
- Bascule exercée régulièrement, y compris en charge, avec mesure du délai réel.
Attributs ISO 27002:2022
- Type de mesure
- Correctif
- Propriétés
- Disponibilité
- Concepts CSF
- Répondre
- Capacités opérationnelles
- Continuité
- Domaines
- Résilience
Correspondances
Exigences légales, statutaires, réglementaires et contractuelles
Identifier et respecter les obligations légales, statutaires, réglementaires et contractuelles
PréventifIdentifier
Exigence
Les exigences légales doivent être identifiées, documentées et maintenues à jour.
Mise en œuvre
- Veille réglementaire (RGPD, NIS2, DORA, etc.)
- Registre des exigences applicables
- Évaluation de conformité
- Mise en conformité
Preuves attendues
- Registre des exigences légales, réglementaires et contractuelles applicables
- Responsable désigné pour la veille
- Analyse d'applicabilité NIS2 et trace d'enregistrement au CCB le cas échéant
Questions d'audit
- Êtes-vous entité essentielle ou importante au sens de la loi du 26 avril 2024, et sur quel fondement ?
- Qui suit l'évolution réglementaire, et à quelle fréquence ?
- Quelles exigences contractuelles clients s'ajoutent à la réglementation ?
Pièges fréquents
- Registre limité au RGPD alors que NIS2, DORA ou des exigences sectorielles s'appliquent
- Auto-qualification NIS2 jamais formalisée ni datée
- Veille assurée par une personne sans suppléant
Repères de maturité
- Niveau 1
- Exigences connues de façon informelle.
- Niveau 3
- Registre tenu, responsable désigné, applicabilité NIS2 formalisée et datée.
- Niveau 5
- Veille outillée, impact des évolutions évalué et porté au plan d'action.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Légal et conformité
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
ISO 27001:2013
18.1.118.1.5
Droits de propriété intellectuelle
Mettre en œuvre des procédures appropriées pour protéger les droits de propriété intellectuelle
PréventifIdentifier
Exigence
Des procédures appropriées doivent être mises en œuvre pour protéger les droits de propriété intellectuelle.
Mise en œuvre
- Politique d'utilisation des logiciels
- Gestion des licences
- Protection du code source propriétaire
- Respect des droits d'auteur
Preuves attendues
- Procédure de gestion des licences
- Inventaire des logiciels avec titres de licence
- Règles sur l'usage de composants libres
Questions d'audit
- Comment savez-vous que les logiciels installés sont licenciés ?
- Quelles licences libres sont autorisées dans vos développements ?
- Que se passe-t-il si un développeur intègre un composant sous licence copyleft ?
Pièges fréquents
- Inventaire logiciel absent, donc conformité des licences indémontrable
- Composants libres intégrés sans examen de compatibilité de licence
- Aucune nomenclature logicielle produite
Repères de maturité
- Niveau 1
- Licences non suivies.
- Niveau 3
- Inventaire logiciel rapproché des licences, règles sur les composants libres.
- Niveau 5
- Conformité vérifiée automatiquement dans la chaîne de construction.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier
- Capacités opérationnelles
- Légal et conformité
- Domaines
- Gouvernance et écosystème, Protection
Correspondances
Protection des enregistrements
Protéger les enregistrements contre la perte, la destruction, la falsification et l'accès non autorisé
PréventifIdentifierProtéger
Exigence
Les enregistrements doivent être protégés conformément aux exigences légales, réglementaires, contractuelles et métier.
Mise en œuvre
- Classification des enregistrements
- Rétention et archivage
- Protection contre l'altération
- Destruction sécurisée
Preuves attendues
- Politique de conservation par type d'enregistrement
- Mesures de protection contre la modification et la perte
- Preuve de destruction à l'échéance
Questions d'audit
- Combien de temps conservez-vous les journaux de sécurité, et pourquoi cette durée ?
- Comment garantissez-vous qu'un enregistrement comptable n'a pas été modifié ?
- Que faites-vous des enregistrements arrivés à échéance ?
Pièges fréquents
- Durées de conservation choisies par défaut, sans fondement légal
- Conservation illimitée, qui contredit la minimisation exigée par le RGPD
- Journaux conservés moins longtemps que le délai moyen de détection d'une intrusion
Repères de maturité
- Niveau 1
- Conservation non pilotée.
- Niveau 3
- Politique par type d'enregistrement, fondée juridiquement, protection et destruction appliquées.
- Niveau 5
- Cycle de vie outillé et vérifié, durées revues avec le juridique.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Légal et conformité, Gestion des actifs, Protection de l'information
- Domaines
- Défense, Protection
Correspondances
Confidentialité et protection des informations personnelles identifiables
Assurer la confidentialité et la protection des PII conformément aux exigences légales
PréventifIdentifierProtéger
Exigence
L'organisation doit identifier et respecter les exigences relatives à la préservation de la confidentialité et à la protection des PII.
Mise en œuvre
- Conformité RGPD
- Privacy by design
- Registre des traitements
- Droits des personnes concernées
Preuves attendues
- Registre des traitements
- Analyses d'impact relatives à la protection des données réalisées
- Procédure de gestion des demandes d'exercice des droits
- Désignation du DPO le cas échéant
Questions d'audit
- Votre registre des traitements est-il à jour des traitements créés cette année ?
- Comment traitez-vous une demande d'accès dans le délai d'un mois ?
- Comment articulez-vous la notification NIS2 au CCB et la notification RGPD à l'APD ?
Pièges fréquents
- Registre figé depuis 2018
- Analyses d'impact absentes sur des traitements pourtant à risque élevé
- Confusion des délais : 72 h vers l'APD, 24 h d'alerte précoce vers le CCB — les deux régimes coexistent
Repères de maturité
- Niveau 1
- Conformité RGPD partielle et non documentée.
- Niveau 3
- Registre à jour, analyses d'impact menées, procédure de droits appliquée, articulation NIS2/RGPD écrite.
- Niveau 5
- Protection des données intégrée dès la conception et vérifiée en continu.
Attributs ISO 27002:2022
- Type de mesure
- Préventif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Protection de l'information, Légal et conformité
- Domaines
- Protection
Correspondances
Revue indépendante de la sécurité de l'information
Effectuer une revue indépendante de l'approche de l'organisation pour gérer la sécurité
PréventifCorrectifIdentifierProtéger
Exigence
L'approche de l'organisation pour gérer la sécurité de l'information doit être revue de manière indépendante.
Mise en œuvre
- Audits internes programmés
- Audits externes (certification)
- Revue par la direction
- Actions d'amélioration
Preuves attendues
- Programme d'audit interne sur plusieurs années
- Rapports d'audit avec constats
- Plan d'action et suivi des non-conformités
- Preuve d'indépendance de l'auditeur
Questions d'audit
- Qui réalise vos audits internes, et en quoi est-il indépendant du domaine audité ?
- Quelles non-conformités majeures ont été levées cette année ?
- Comment le programme d'audit est-il construit — au hasard ou sur le risque ?
Pièges fréquents
- Audit réalisé par le responsable du domaine audité
- Programme qui couvre chaque année les mêmes contrôles faciles
- Constats sans plan d'action daté ni responsable
- Point NIS2 : la mesure 6 de l'article 30 porte sur l'évaluation de l'efficacité — c'est un point examiné en inspection
Repères de maturité
- Niveau 1
- Pas d'audit interne.
- Niveau 3
- Programme pluriannuel fondé sur le risque, auditeurs indépendants, non-conformités suivies.
- Niveau 5
- Efficacité des mesures mesurée, pas seulement leur existence ; résultats exploités en revue de direction.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Assurance de la sécurité
- Domaines
- Gouvernance et écosystème
Correspondances
Conformité aux politiques, règles et normes de sécurité de l'information
Vérifier régulièrement la conformité aux politiques, règles et normes de sécurité
PréventifCorrectifIdentifierProtéger
Exigence
La conformité doit être régulièrement vérifiée.
Mise en œuvre
- Contrôles de conformité automatisés
- Revues manuelles périodiques
- Rapports de conformité
- Actions correctives
Preuves attendues
- Contrôles de conformité aux politiques réalisés par les responsables
- Rapports de contrôle technique de conformité (configurations, durcissement)
- Traitement des écarts constatés
Questions d'audit
- Comment un responsable vérifie-t-il que ses équipes appliquent les règles ?
- Quels contrôles techniques automatiques vérifient la conformité des configurations ?
- Que devient un écart constaté ?
Pièges fréquents
- Contrôle déclaratif sans vérification
- Écarts constatés et jamais corrigés, qui finissent par être acceptés par lassitude
- Aucune distinction entre écart toléré et exception formellement approuvée
Repères de maturité
- Niveau 1
- Conformité supposée.
- Niveau 3
- Contrôles périodiques par les responsables, contrôles techniques automatisés, écarts traités.
- Niveau 5
- Conformité mesurée en continu, exceptions formellement approuvées et limitées dans le temps.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Identifier, Protéger
- Capacités opérationnelles
- Légal et conformité, Assurance de la sécurité
- Domaines
- Gouvernance et écosystème
Correspondances
ISO 27001:2013
18.2.218.2.3
Procédures opérationnelles documentées
Documenter et maintenir à jour les procédures opérationnelles des installations de traitement
PréventifCorrectifProtégerRépondreRétablir
Exigence
Les procédures opérationnelles pour les installations de traitement de l'information doivent être documentées.
Mise en œuvre
- Documentation des procédures
- Mise à jour régulière
- Accessibilité aux personnes autorisées
- Formation aux procédures
Preuves attendues
- Procédures d'exploitation documentées pour les activités critiques
- Preuve d'accessibilité aux opérateurs concernés
- Historique de mise à jour
Questions d'audit
- Un nouvel exploitant peut-il réaliser une restauration en suivant la procédure seule ?
- Où sont ces procédures si le système d'information est indisponible ?
- Qui les met à jour après un changement d'architecture ?
Pièges fréquents
- Procédures dans la tête d'une personne — testez en demandant à un tiers de l'exécuter
- Documentation stockée uniquement en ligne, inaccessible en cas de sinistre
- Procédures périmées après une migration
Repères de maturité
- Niveau 1
- Savoir-faire non documenté.
- Niveau 3
- Procédures écrites, accessibles hors ligne, revues après changement.
- Niveau 5
- Procédures testées par des tiers, versionnées, liées au processus de changement.
Attributs ISO 27002:2022
- Type de mesure
- Préventif, Correctif
- Propriétés
- Confidentialité, Intégrité, Disponibilité
- Concepts CSF
- Protéger, Répondre, Rétablir
- Capacités opérationnelles
- Gestion des actifs, Sécurité physique, Configuration sécurisée, Gestion des menaces et vulnérabilités, Continuité, Gestion des événements de sécurité
- Domaines
- Gouvernance et écosystème, Protection, Défense
Correspondances