Conformité
SMSI
Aussi appeléSystème de management de la sécurité de l’informationISMS
En résumé
Le système de management de la sécurité de l’information : l’ensemble des règles, rôles, processus et contrôles par lesquels une organisation gère ses risques de sécurité de façon continue, avec revue de direction et amélioration. La norme ISO/IEC 27001 en fixe les exigences, et il peut être certifié.
SMSI, en détail
Un SMSI ne s’achète pas comme un outil : c’est une façon de piloter la sécurité. L’organisation fixe un périmètre, identifie ses risques, choisit des mesures, les met en œuvre, mesure leur efficacité, puis corrige. Chaque tour de cette boucle laisse des traces : analyse de risques, déclaration d’applicabilité, plan de traitement, audits internes, revue de direction. La norme ISO/IEC 27001 : définition impose cette structure et laisse libre le choix des mesures, que la norme ISO/IEC 27002 détaille.
Le périmètre est la décision la plus structurante. Un SMSI qui couvre l’hébergement et le support d’un produit protège cette partie de l’organisation, pas le reste. La direction y a un rôle précis : approuver la politique, fournir les moyens, examiner les résultats. Sans cette implication, le système produit des documents mais pas de décisions, et il ne résiste pas à un audit de surveillance.
Qu’est-ce que cela change pour vous ?
Un SMSI donne une preuve durable de maîtrise des risques que clients et autorités savent lire, au prix d’un effort continu. Il se dimensionne au périmètre et aux risques de l’organisation, pas à l’ambition de la certification.
Exemple illustratif (fictif)
Imaginons une équipe de taille modeste qui exploite un produit en ligne et limite d’abord son SMSI à l’hébergement, au développement et au support. Après deux cycles complets de revue de direction, elle étend le périmètre à l’administration interne.
La confusion fréquente
Rédiger la documentation avant de faire fonctionner le système. Un SMSI se juge à ses enregistrements : revues, audits internes, actions correctives. Des procédures sans trace d’application sont la première chose qu’un auditeur relève.
Qui peut vous accompagner ?
- Accompagnement ISO 27001 : la prestationConstruire un système de management de la sécurité que l’audit trouvera réel.
- PSSI et procédures : la prestationDes règles courtes, que l’on retrouve dans les pratiques.
Aller plus loin
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ComparatifNIS 2 ou ISO 27001 : quelle démarche pour quelle situation ?NIS 2 est une obligation légale, ISO 27001 une norme certifiable : l’une ne remplace pas l’autre. Ce que chacune exige, ce qui se recoupe, le coût d’une analyse d’écarts et par où commencer.
Termes liés
- ConformitéISO 27001 : définitionLa norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue.
- ConformitéPSSI : définitionLa politique de sécurité des systèmes d’information : le document de référence, approuvé par la direction, qui fixe les objectifs de sécurité, les règles applicables, les rôles et les responsabilités.
- ConformitéRSSI : définitionLe responsable de la sécurité des systèmes d’information : la personne qui définit la politique de sécurité, pilote la gestion des risques, coordonne la réponse aux incidents et rend compte à la direction.
- MéthodeEBIOS Risk Manager : définitionLa méthode d’analyse de risques numériques publiée par l’ANSSI.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début