Qu'est-ce qu'un ISMS et par où commencer ?

Information Security Management System — cela semble plus complexe que ça ne l'est. Pour une PME, il s'agit d'un ensemble de documents et de routines, pas d'une plateforme à installer.

ISMS = Information Security Management System. En résumé : votre façon de travailler sur la sécurité de l'information, documentée et maintenue. Ce n'est pas un logiciel. C'est une manière de penser et d'agir.

Les cinq piliers

\n
1. Périmètre. Que couvre votre ISMS ? L'ensemble de l'entreprise, une business unit spécifique, certaines données uniquement ? Cela se définit avant tout le reste.
\n
2. Couche politique. 8 à 12 documents (politique de sécurité, contrôle d'accès, réponse aux incidents, usage acceptable, …). Environ 40 à 80 pages au total.
\n
3. Gestion des risques. Un registre des risques avec les risques, le responsable, la mesure et le risque résiduel. Voir gestion des risques.
\n
4. Contrôles. Le sous-ensemble de l'Annexe A que vous mettez en œuvre. La Déclaration d'Applicabilité (SoA) en est la vue d'ensemble.
\n
5. Cycle PDCA. Plan, Do, Check, Act. Cela semble ambitieux, mais en pratique : revues, audits, revue de direction, retours d'expérience.
\n

Par où commencer ?

\n
1. Définir le périmètre (1 jour).
\n
2. Analyse des écarts par rapport à l'Annexe A (1 à 3 jours).
\n
3. Registre des risques, première version (2 jours).
\n
4. Politique de contrôle d'accès + A.9 (1 semaine jusqu'aux preuves).
\n
5. Reste des politiques (2 à 4 semaines, en parallèle avec la collecte de preuves).
\n

Le piège : la perfection

Votre ISMS n'a pas besoin d'être parfait. Il doit fonctionner et être démontrable. La version 1 de vos politiques peut être à 80 %. L'amélioration fait partie du cycle PDCA — il est tout à fait normal de les réviser chaque année.

Voir aussi : pilier ISO 27001, le cycle PDCA expliqué.