Système de management de la sécurité de l’information (SMSI) : définition et fonctionnement

L’information est aujourd’hui l’un des actifs les plus précieux d’une entreprise, et aussi l’un des plus exposés. La plupart des organisations protègent leurs données à l’aide de mesures isolées comme un antivirus, des sauvegardes ou des mots de passe plus ou moins robustes.

Le problème surgit lorsque ces mesures ne répondent à aucun plan d’ensemble. Personne ne sait avec certitude ce qui est protégé, qui est responsable de quoi, ni quoi faire lorsqu’un incident survient. Un système de management de la sécurité de l’information voit précisément le jour pour mettre de l’ordre dans ce désordre et transformer un ensemble de mesures éparses en une manière organisée et vérifiable de protéger l’information.

Dans cet article, nous vous expliquons ce qu’est un SMSI, à quoi il sert, quels composants le constituent et comment il fonctionne à travers le cycle d’amélioration continue. Nous verrons aussi qui en assume la responsabilité au sein de l’entreprise et comment il s’inscrit dans le cadre réglementaire français, de l’ISO 27001 au RGS ou à NIS2.

Qu’est-ce qu’un système de management de la sécurité de l’information (SMSI) ?

Un système de management de la sécurité de l’information, ou SMSI, est l’ensemble des politiques, des processus, des personnes et des technologies qu’une entreprise met en place pour protéger son information de façon systématique. L’objectif est que la sécurité cesse de reposer sur l’effort ponctuel d’une personne pour devenir une composante du fonctionnement normal de l’organisation.

Tout tient dans le mot management. Un antivirus, des sauvegardes ou des mots de passe robustes sont de bonnes pratiques, mais prises isolément elles restent des éléments épars. Ce qui les transforme en SMSI, c’est la méthode qui les ordonne et les relie entre eux. Cette méthode suit toujours la même logique. Elle identifie d’abord quelle information doit être protégée, analyse ensuite les risques auxquels elle est exposée, décide à partir de là quels contrôles appliquer et vérifie enfin de façon régulière que l’ensemble continue de fonctionner.

Tout SMSI se construit autour de trois propriétés à préserver pour chaque donnée, connues sous le nom de triade de la sécurité de l’information.

• Confidentialité : seules les personnes autorisées accèdent à chaque donnée.
• Intégrité : l’information n’est ni modifiée ni supprimée sans autorisation.
• Disponibilité : l’information est accessible au moment où l’on en a besoin.

La notion de SMSI est étroitement liée à la norme ISO 27001, le standard international qui définit les exigences pour en implémenter et en maintenir un. D’ailleurs, lorsqu’une entreprise se certifie ISO 27001, c’est précisément son SMSI que l’organisme certificateur audite. Pour autant, un SMSI et la norme ne se confondent pas. Une entreprise peut faire fonctionner un système de management sans être certifiée, et la certification n’a de sens que si un véritable SMSI se trouve derrière.

À quoi sert un SMSI ?

La fonction principale d’un SMSI est de gérer le risque de façon ordonnée. Plutôt que de réagir aux problèmes à mesure qu’ils apparaissent, l’entreprise anticipe, évalue l’impact de chacun et décide à l’avance de la marche à suivre. C’est le passage d’une sécurité réactive à une sécurité pilotée. Au-delà de cette fonction centrale, la mise en place d’un SMSI apporte des bénéfices concrets.

• Il réduit la probabilité et l’impact des incidents : les contrôles préventifs freinent les attaques et les procédures de réponse raccourcissent le temps de rétablissement.
• Il structure la conformité réglementaire : un même système aide à répondre en même temps à l’ISO 27001, au RGS, à NIS2 ou au RGPD, qui partagent une bonne partie de leurs exigences.
• Il renforce la confiance des clients et des partenaires : il démontre de façon objective que l’entreprise protège l’information qui lui est confiée.
• Il clarifie les responsabilités : chaque personne sait quelle information elle manipule, comment la protéger et qui prévenir en cas d’incident.
• Il facilite la prise de décision : en inventoriant les actifs et en évaluant les risques, la direction oriente l’investissement en sécurité là où le besoin est réel.

Quels composants constituent un SMSI ?

Un SMSI n’est pas un produit qui s’achète ni un logiciel qui s’installe. C’est une combinaison d’éléments qui fonctionnent ensemble. Même si chaque organisation adapte son système à sa taille et à son secteur, tous les SMSI partagent les mêmes composants de base.

1- Le périmètre du système

Le périmètre définit jusqu’où s’étend le SMSI, autrement dit quelles parties de l’entreprise le système couvre. Une organisation peut appliquer son SMSI à toute la société, à une seule unité d’affaires, à un produit précis ou à un site déterminé. Bien délimiter le périmètre est l’une des premières décisions à prendre, et l’une des plus importantes.

2- L’analyse et le traitement des risques

Il s’agit d’identifier les actifs informationnels de l’entreprise, d’étudier les menaces et les vulnérabilités auxquelles ils sont exposés et de calculer le niveau de risque en combinant probabilité et impact. Cette analyse en main, l’entreprise décide comment traiter chaque risque. Elle peut le réduire en appliquant des contrôles, le transférer en souscrivant une assurance, l’accepter s’il reste dans un seuil tolérable ou l’éviter en supprimant l’activité qui le génère.

3- Les politiques et les procédures de sécurité

Les politiques sont les règles qui fixent la façon dont l’information est protégée dans l’entreprise. La plus importante est la politique générale de sécurité, approuvée par la direction, dont dépendent les autres règles plus précises portant sur les mots de passe, l’usage des appareils, le contrôle des accès ou la gestion des fournisseurs. Les procédures traduisent ces règles sur le terrain et expliquent pas à pas comment chaque tâche s’exécute.

4- Les contrôles de sécurité

Les contrôles sont les mesures concrètes que l’entreprise applique pour réduire ses risques. Ils peuvent être techniques comme le chiffrement ou l’authentification à deux facteurs, organisationnels comme la classification de l’information, physiques comme le contrôle d’accès aux bureaux, ou liés aux personnes comme la formation.

5- La documentation et les preuves

Un SMSI a besoin de documentation pour fonctionner, et cette documentation est de deux types. D’un côté, les documents qui forment la base du système, comme le périmètre, la politique de sécurité, l’analyse de risques ou la Déclaration d’Applicabilité. De l’autre, les preuves qui démontrent que le système fonctionne réellement, comme les journaux d’accès, les rapports d’audit ou les fiches d’incident.

Comment fonctionne un SMSI ?

Un SMSI ne se met pas en place une fois pour toutes puis s’oublie. Il fonctionne comme un cycle qui se répète en continu pour s’adapter aux évolutions de l’entreprise et à l’apparition de nouvelles menaces. Ce cycle est connu sous le nom de PDCA, pour Plan, Do, Check, Act, soit Planifier, Faire, Vérifier et Agir. C’est le même modèle d’amélioration continue que celui utilisé par d’autres normes de management comme l’ISO 9001 pour la qualité.

• Planifier : l’entreprise définit le périmètre du système, évalue ses risques et décide des contrôles à appliquer. C’est la phase de conception, celle qui pose les fondations du SMSI.
• Faire : ce qui a été planifié est mis en œuvre. Les contrôles sont déployés, les politiques rédigées, les outils techniques configurés et le personnel formé.
• Vérifier : l’entreprise s’assure que le système fonctionne comme prévu au moyen d’audits internes, d’indicateurs et de la revue de direction. C’est là que les écarts et les points faibles apparaissent.
• Agir : ce qui ne fonctionne pas est corrigé et des améliorations sont mises en place. Les conclusions alimentent une nouvelle planification, et le cycle recommence.

Qui est responsable d’un SMSI dans l’entreprise ?

L’une des erreurs les plus fréquentes consiste à penser qu’un SMSI relève du seul département informatique. La sécurité de l’information concerne toute l’organisation, et sa gestion mobilise plusieurs profils aux responsabilités distinctes.

• La direction générale : c’est elle qui porte la responsabilité ultime du SMSI. Elle approuve la politique de sécurité, alloue le budget et les ressources et soutient le projet. Sans son engagement, le système ne tient pas, car personne en dessous n’a l’autorité d’imposer des mesures aux autres départements.
• Le responsable de la sécurité ou RSSI : c’est lui qui coordonne le SMSI au quotidien. Il pilote l’analyse de risques, supervise la mise en place des contrôles et rend compte à la direction. Dans les petites entreprises, ce rôle peut revenir au responsable informatique ou être externalisé.
• Le comité de sécurité : il réunit des représentants de différents domaines comme l’informatique, le juridique, les ressources humaines ou les opérations. Son rôle est de prendre des décisions transversales et de veiller à ce que la sécurité s’intègre à tous les processus, et pas uniquement aux processus techniques.
• Les collaborateurs : ils font partie intégrante du système. Chaque personne qui manipule de l’information a la responsabilité de suivre les politiques, de protéger les données auxquelles elle accède et de signaler tout élément suspect. La plupart des brèches naissent d’une négligence humaine, ce qui rend leur rôle déterminant.

Le SMSI et la conformité réglementaire en France

Un SMSI ne vit pas en vase clos. En France, plusieurs réglementations exigent ou recommandent de gérer la sécurité de l’information de façon structurée, et un même système bien conçu permet de répondre à plusieurs d’entre elles à la fois. Voici les principales références.

• ISO 27001 : c’est la norme internationale qui établit les exigences pour implémenter un SMSI. Bien qu’elle soit volontaire, elle s’est imposée comme le standard de fait pour démontrer qu’une entreprise gère correctement sa sécurité, et de nombreux clients et appels d’offres l’exigent pour contractualiser. Vous pouvez voir comment fonctionne la certification dans notre guide sur l’ISO 27001.
• RGS (Référentiel Général de Sécurité) : il encadre la sécurité des systèmes d’information des administrations françaises et des organismes qui échangent avec elles. Il partage son approche avec l’ISO 27001, si bien qu’une entreprise dotée d’un SMSI part avec une longueur d’avance pour s’y conformer.
• NIS2 : elle relève les exigences de cybersécurité pour les secteurs essentiels et importants comme l’énergie, la santé ou les transports, et impose de gérer les risques de façon systématique, ce qu’un SMSI résout naturellement. En France, sa transposition passe par la loi Résilience, sous le pilotage de l’ANSSI. Vous pouvez approfondir le sujet dans notre article sur NIS2.
• RGPD : il encadre la protection des données personnelles et s’appuie sur de nombreuses mesures qu’un SMSI couvre déjà. En France, son application est supervisée par la CNIL.

Comment Factorial IT vous aide-t-il à gérer votre SMSI ?

Tout au long de cet article, nous avons vu qu’un SMSI repose sur des composants comme l’inventaire des actifs, les contrôles techniques et les preuves qui démontrent que tout fonctionne. Ce sont justement ces trois volets qui sont les plus difficiles à tenir à jour manuellement, et ceux où les écarts sont les plus nombreux lorsqu’arrive une revue.

Factorial IT automatise cette partie opérationnelle et la relie aux ressources humaines, de sorte que chaque composant se nourrit tout seul de l’activité quotidienne de l’entreprise.

• Sur l’inventaire des actifs : il tient à jour un catalogue des appareils, des logiciels et des accès, prêt à être exporté dès que le SMSI en a besoin.
• Sur les contrôles techniques : il applique le chiffrement, les mots de passe et le verrouillage sur chaque poste, et ajuste les accès aux outils selon le rôle de chaque personne, y compris la fermeture automatique lors d’un départ.
• Sur les preuves : il génère les registres et les rapports de conformité qu’exige un audit, sans avoir à les reconstituer à la main le jour de la revue.