Qui devrait lire ceci : une entreprise qui vient de réussir son audit ISO 27001, ou s’apprête à le passer, et veut savoir ce qu’elle a réellement acheté.
Commençons par la part juste. Un certificat n’est pas du théâtre. Il signifie qu’un tiers accrédité a échantillonné votre système de management et l’a trouvé en fonctionnement. Il ouvre des portes, raccourcit les revues de sécurité, et fait souvent la différence entre être éligible à un contrat ou non. Rien de ce qui suit ne plaide contre l’obtention d’un certificat.
C’est un argument sur ce qu’il mesure, car beaucoup d’entreprises croient discrètement qu’il répond à une question pour laquelle il n’a jamais été conçu.
Ce que la norme exige réellement
ISO 27001 est une norme de système de management. Elle exige de déterminer votre contexte, d’apprécier les risques, de sélectionner des mesures, de les implémenter, de vérifier leur efficacité et d’améliorer. L’annexe A est un référentiel de 93 mesures parmi lesquelles vous choisissez et que vous justifiez.
Relisez cela, car le mot important est sélectionner. La norme ne vous dit pas à quoi ressemble le bon niveau pour une mesure donnée. Elle vous dit de décider, de documenter la décision, et de pouvoir montrer que la mesure fonctionne. Le regroupement dans les mesures de l’annexe A regroupées pour le travail réel sépare celles où consigner est le travail de celles où consigner est la moitié facile.
Cette conception est délibérée et c’est ce qui rend la norme utilisable pour une banque comme pour une société de logiciel de douze personnes. C’est aussi exactement là que vit l’écart.
Quatre mesures, et ce qui les satisfait
Le plus clair est de prendre les mesures opérationnelles et de demander à quoi ressemble l’implémentation minimale qui passe.
A.8.8, gestion des vulnérabilités techniques. Il faut un processus pour obtenir de l’information sur les vulnérabilités, évaluer l’exposition et agir. Une analyse mensuelle, un rapport et une procédure documentée y satisfont. Le rapport peut contenir des constats critiques ouverts depuis neuf mois. La mesure demandait un processus et en a obtenu un.
A.8.15, journalisation. Produire, conserver et protéger les journaux d’activité. Des journaux écrits sur un disque avec une rétention configurée y satisfont. Personne n’a besoin de les regarder. Personne n’a besoin de pouvoir répondre à une question avec.
A.8.16, activités de surveillance. Réseaux, systèmes et applications surveillés pour détecter les comportements anormaux. C’est l’écart le plus large de la liste, car la mesure peut être remplie par une procédure documentée et une responsabilité nommée alors que rien dans le parc n’observe réellement d’une manière qui déclencherait une alerte à deux heures du matin.
A.8.13, sauvegarde de l’information. Sauvegardes maintenues et testées. Une tâche de sauvegarde qui tourne et un test consigné une fois y satisfont. Savoir si une restauration complète a déjà été chronométrée face à votre objectif de reprise réel est une autre question, que la mesure n’impose pas.
Rien de tout cela ne critique les auditeurs. Le travail d’un auditeur est d’échantillonner si la mesure que vous avez déclarée fonctionne comme décrite. Ce n’est pas de porter un jugement sur la qualité de votre sécurité. Aucun article ne le lui demande.
Les quatre questions auxquelles un certificat ne répond pas
Dites simplement, et ce sont les questions qui intéressent vraiment un client même quand son questionnaire en pose d’autres :
- Le remarqueriez-vous ? Si quelqu’un était dans votre environnement en ce moment, quelque chose vous le dirait-il, et en combien de temps.
- Combien de temps les problèmes connus restent-ils ouverts ? Non pas si vous scannez, mais quel est votre délai médian de correction d’un constat critique.
- Pouvez-vous réellement redémarrer ? Non pas si les sauvegardes tournent, mais si une restauration a été chronométrée de bout en bout face à l’objectif de reprise que vous avez promis à quelqu’un.
- Le compte de la personne partie peut-il encore entrer ? Non pas si vous avez un processus de départ, mais s’il a attrapé les jetons, les accès SaaS, le registraire et le portail de facturation.
Un certificat peut être parfaitement authentique alors que les quatre réponses sont mauvaises. Ce n’est pas une faille, c’est le périmètre de l’instrument.
Pourquoi l’écart s’élargit au lieu de se refermer
Deux forces aggravent la situation, et les deux sont structurelles.
La certification récompense la stabilité, la sécurité récompense le changement. Le moyen le moins cher de conserver un certificat est de garder le système tel qu’il a été décrit. Le moyen le moins cher de rester sécurisé est de le faire évoluer avec le parc. Les deux tirent en sens inverse entre deux audits.
Le modèle du consultant s’arrête au certificat. Une mission cadrée sur la certification s’arrête à l’émission. La liste d’écarts produite par l’analyse était chiffrée. Fermer sa moitié technique ne l’était généralement pas, l’échec budgétaire récurrent décrit dans ce que la norme ISO 27001 coûte réellement à une PME.
Il existe aussi une version qui arrive comme une question client plutôt que comme un incident. L’équipe sécurité d’un prospect demande votre délai moyen de détection, et le certificat ne contient pas la réponse. Il en va de même sous NIS2, où l’obligation porte sur des mesures appropriées au risque, appréciées sur ce qui s’est passé et non sur ce qui a été certifié.
À quoi ressemble le fait de le combler
Pas plus d’audits. L’audit n’est pas la contrainte.
Rendez les mesures opérationnelles testables plutôt que révisables. Restaurez une sauvegarde et chronométrez. Prenez un partant au hasard et cherchez des accès actifs. Prenez un constat du scanner et suivez-le jusqu’à sa clôture, avec une date. Inscrivez cela dans le programme d’audit interne pour que cela se produise selon un calendrier, la version pratique du point développé dans audit interne et revue de direction.
Attachez un chronomètre aux constats, pas seulement un propriétaire. Une vulnérabilité avec un propriétaire et sans échéance reste une vulnérabilité. Le chiffre qui compte est la durée d’ouverture des critiques, et presque personne dans cette tranche de taille ne le mesure.
Laissez l’outillage produire les preuves. Détection, gestion des vulnérabilités, posture cloud et vérification des sauvegardes produisent tous des enregistrements par nature. Faites-les tourner et le problème des preuves se règle seul, l’argument développé dans les preuves qui s’assemblent seules. Faites-les tourner et vous obtenez aussi la sécurité réelle, ce qui est l’objectif.
C’est la raison pour laquelle notre plateforme porte les deux moitiés au même endroit : le référentiel de mesures et la liste d’écarts d’un côté, la détection et la gestion de l’exposition qui ferment les écarts techniques de l’autre, atterrissant dans le même enregistrement de preuves. Une liste d’écarts que vous ne pouvez pas fermer est un document. L’audit indépendant existe pour vous dire lesquels de vos écarts sont documentaires et lesquels sont techniques, avant de dépenser sur l’un ou l’autre.
Le résumé honnête
Prenez le certificat. Il vaut la peine, il ouvre des portes, et la discipline de construire un SMSI est réellement utile avant même d’être certifiée. Le tableau complet sans équipe de sécurité figure dans ISO 27001 pour une entreprise sans équipe de sécurité.
Puis répondez séparément aux quatre questions ci-dessus, car le certificat ne le fait pas, et parce que ce sont elles qui décident si ce que le certificat décrit a jamais été vrai.
