L’ISO 27001 est la norme internationale de référence pour gérer la sécurité de l’information. Quand on parle de ses domaines, on désigne la manière dont la norme regroupe les mesures de sécurité au sein de son Annexe A. Un point prête souvent à confusion, car cette structure a évolué avec la révision de 2022 et le terme domaine appartient en réalité à la version précédente.
Dans cet article, vous verrez combien de domaines comptait la norme, ce qu’ils sont devenus et à quoi sert chaque bloc, que vous partiez de la version de 2013 ou que vous travailliez déjà avec celle de 2022.
Que sont les domaines de l’ISO 27001 ?
Les domaines sont les grandes catégories dans lesquelles l’ISO 27001 organise les mesures de sécurité de son Annexe A. Chaque domaine regroupe les mesures qui traitent d’un même aspect de la sécurité de l’information, comme le contrôle d’accès, la sécurité physique ou la relation avec les fournisseurs.
Leur rôle est de structurer le Système de Management de la Sécurité de l’Information, le SMSI. Plutôt que de gérer une liste à plat composée de dizaines de mesures isolées, l’organisation raisonne par grandes thématiques. Cela permet de répartir les responsabilités, d’évaluer les risques par bloc et de vérifier qu’aucun front ne reste à découvert.
Une précision s’impose dès le départ. Le mot domaine correspond à la version de 2013 de la norme. La révision de 2022 a entièrement réorganisé l’Annexe A et parle désormais de thèmes ou de catégories plutôt que de domaines. Beaucoup continuent d’employer l’ancien terme. Vous retrouverez donc les deux structures tout au long de l’article, ainsi que leur correspondance.
Combien de domaines compte l’ISO 27001 ?
La réponse dépend de la version de la norme.
L’ISO 27001 de 2013 organisait ses 114 mesures en 14 domaines. L’ISO 27001 de 2022, qui est la version en vigueur, réorganise ses 93 mesures en 4 thèmes. Autrement dit, lorsque l’on parle des 14 domaines, on renvoie à la structure de 2013, et lorsque l’on cherche le classement actuel, il s’agit de 4 grands blocs.
L’ISO 27001 de 2013 et ses 14 domaines
La version de 2013 répartissait ses 114 mesures en 14 domaines, chacun centré sur un aspect précis de la sécurité de l’information. Voici les 14 domaines.
- Politiques de sécurité de l’information
- Organisation de la sécurité de l’information
- Sécurité des ressources humaines
- Gestion des actifs
- Contrôle d’accès
- Cryptographie
- Sécurité physique et environnementale
- Sécurité liée à l’exploitation
- Sécurité des communications
- Acquisition, développement et maintenance des systèmes
- Relations avec les fournisseurs
- Gestion des incidents liés à la sécurité de l’information
- Continuité d’activité
- Conformité
Même si cette structure n’est plus celle en vigueur, il reste utile de la connaître. De nombreuses organisations certifiées avant la transition s’y réfèrent encore et une bonne partie de la documentation disponible s’appuie dessus.
L’ISO 27001 de 2022 et ses 4 thèmes
La version de 2022 poursuit les mêmes objectifs de fond, mais réorganise les 93 mesures en seulement 4 thèmes plus larges. Les voici.
- Mesures organisationnelles (37 mesures).
- Mesures liées aux personnes (8 mesures).
- Mesures physiques (14 mesures).
- Mesures technologiques (34 mesures).
Plus bas, vous verrez en détail ce que recouvre chacun de ces quatre thèmes et comment ils correspondent aux anciens domaines.
Les 4 thèmes de mesures de l’ISO 27001 en 2022
La version de 2022 remplace les 14 domaines par 4 thèmes qui regroupent les 93 mesures de l’Annexe A. Chaque thème rassemble les mesures selon le type de ressource ou de responsable concerné. En additionnant les quatre blocs, vous obtenez les 93 mesures de l’Annexe A en vigueur.
- Mesures organisationnelles (37 mesures) : ce sont les mesures liées à la gouvernance, aux politiques, aux rôles et à la planification de la sécurité. On y trouve les politiques de sécurité, la gestion des risques, la relation avec les fournisseurs ou encore la réponse aux incidents. C’est le bloc le plus large et il relève généralement de la direction et des responsables de service.
- Mesures liées aux personnes (8 mesures) : elles couvrent tout ce qui touche au facteur humain, du recrutement et de la formation du personnel jusqu’aux responsabilités de chaque collaborateur en matière de sécurité de l’information et de télétravail.
- Mesures physiques (14 mesures) : elles protègent les locaux et les supports où l’information est stockée ou traitée. Elles incluent le contrôle d’accès aux locaux, la protection des équipements et la surveillance physique.
- Mesures technologiques (34 mesures) : elles regroupent les dispositifs techniques qui protègent les systèmes, les réseaux et les données, comme le chiffrement, la gestion des accès logiques, les sauvegardes, le filtrage web ou le développement sécurisé.
De 14 domaines à 4 thèmes, qu’est-ce qui a changé en 2022 ?
La révision de 2022 ne s’est pas contentée de renommer les domaines. Elle a réorganisé l’Annexe A en profondeur, autour de trois changements principaux.
- De 114 à 93 mesures : le nombre total a baissé, car les mesures qui se recoupaient ou faisaient double emploi ont été fusionnées. Ce qui était auparavant réparti entre plusieurs mesures proches a simplement été consolidé en une seule.
- Onze nouvelles mesures : la norme a intégré 11 mesures absentes en 2013, qui répondent à des menaces et à des technologies plus récentes. Elles couvrent des domaines comme le renseignement sur les menaces, la sécurité du cloud, la préparation des TIC pour la continuité d’activité, la surveillance de la sécurité physique, la gestion de la configuration, la suppression des informations, le masquage des données, la prévention de la fuite de données, les activités de surveillance, le filtrage web et le codage sécurisé.
- Les attributs : la version de 2022 ajoute des étiquettes à chaque mesure afin de pouvoir les classer et les filtrer de plusieurs manières. Par exemple, par type de mesure, par propriétés de sécurité, par concept de cybersécurité, par capacité opérationnelle ou par domaine de sécurité. Cela aide à adapter les mesures au contexte de chaque organisation et à les relier à d’autres référentiels comme le NIST.
Comment mettre en œuvre les domaines de l’ISO 27001 ?
La mise en œuvre des mesures de l’Annexe A, ces fameux domaines ou thèmes, suit un processus structuré qui démarre par l’analyse des risques et ne s’arrête pas à la certification. Voici les étapes habituelles pour les appliquer sur le terrain.
1. Réalisez l’inventaire des actifs et l’analyse des risques
Avant de toucher à la moindre mesure, l’organisation doit savoir ce qu’elle protège et face à quoi. Le point de départ est un inventaire des actifs d’information, c’est-à-dire les données, les systèmes, les équipements et les services qui font tourner l’activité. À partir de cet inventaire, on identifie les menaces qui pèsent sur chaque actif et les écarts qui subsistent par rapport au niveau de sécurité déjà en place.
Cette analyse sert de socle à tout le reste, car elle détermine les mesures dont vous avez réellement besoin et selon quelle priorité. Sans elle, vous risquez de déployer des dispositifs inutiles et de laisser de côté des risques importants.
2. Sélectionnez les mesures et rédigez la Déclaration d’Applicabilité
À partir de l’analyse des risques, l’organisation décide quelles mesures de l’Annexe A elle applique et lesquelles elle écarte, toujours avec une justification écrite. Ce document s’appelle la Déclaration d’Applicabilité, souvent désignée par son sigle anglais SoA, et c’est l’un de ceux que l’auditeur examine le plus attentivement.
Il est utile de rappeler que la norme n’impose pas de déployer les 93 mesures. Vous ne devez appliquer que celles que votre niveau de risque justifie, si bien qu’une bonne analyse en amont vous évite du travail et de la paperasse superflue par la suite.
3. Déployez les mesures, formez les équipes et documentez
Une fois les mesures choisies, place à la mise en œuvre. On déploie les politiques ainsi que les dispositifs techniques et organisationnels, on attribue un responsable à chaque mesure et on forme les collaborateurs concernés, car beaucoup de mesures ne fonctionnent que si les personnes adoptent les bons réflexes.
En parallèle, tout est documenté. Chaque politique, procédure et décision doit laisser une trace, car lors d’un audit ce qui n’est pas documenté est réputé inexistant. Garder cette documentation organisée et accessible fait partie des points sur lesquels les organisations coincent le plus souvent.
C’est là qu’un outil de gestion informatique et de conformité comme Factorial IT fait la différence. Centraliser l’inventaire des actifs, le suivi du parc informatique et des accès ainsi que la documentation du SMSI au même endroit évite l’éparpillement des tableurs et vous permet d’aborder l’audit avec des informations à jour et faciles à retrouver.
4. Auditez et améliorez en continu
Enfin, des audits internes réguliers permettent de vérifier que les mesures fonctionnent comme prévu et de corriger ce qui doit l’être. L’ISO 27001 repose sur l’amélioration continue. Ce cycle qui consiste à examiner, ajuster puis mesurer de nouveau ne s’arrête pas à la certification. Il se répète dans le temps pour s’adapter aux nouveaux risques et aux évolutions de l’organisation.
