ISO 27001 : définition et historique de cette norme

ISO 27001 : définition

ISO 27001 (ou ISO/IEC 27001) est la norme de management de la sécurité de l’information faisant partie de la famille des normes ISO/IEC 27000, dont elle est la plus connue. Concrètement, elle fixe les exigences relatives aux SMSI (Systèmes de Management de la Sécurité des Informations) pour tous les types d’organisation, qu’il s’agisse de management de la sécurité des informations confiées par les tiers, des données du personnel, des documents de propriété intellectuelle ou des données financières.

Norme ISO 27001 : historique et objectif

Reprenant les bases de la BS 7799-2, la norme ISO 27001 a été publiée pour la première fois en novembre 2005, et révisée en 2013. Posant les bases du management de la sécurité de l’information dans une organisation, elle intègre également les principes du management de la norme ISO 9001 et du PDCA (Plan, Do, Check et Act) de l’amélioration continue. Parce que ses exigences sont d’ordre générique, la norme ISO 27001 peut s’appliquer à tous les types d’organisation, quelle que soit sa taille ou sa nature (commerciale ou non).

L’objectif de la norme ISO 27001 est donc de gérer les risques en protégeant la confidentialité et la disponibilité des informations dans une organisation. Elle œuvre à mettre en place les bonnes pratiques en matière de protection des données par des mesures aussi bien organisationnelles que techniques. Par ailleurs, la norme ISO 27001 n'impose pas une méthode spécifique d’appréciation des risques mais des critères de reproductibilité. Ainsi, les organisations ont le choix entre adapter l'ISO 27005 à leurs besoins, ou opter pour l’une des méthodes connues comme EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité), mise en place par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information).