À qui s’adresse cet article : à la personne qui vient d’ouvrir l’annexe A d’ISO 27001, a compté 93 mesures, et cherche par où commencer.
La norme range ces 93 mesures en quatre thèmes : organisationnel (37), personnes (8), physique (14) et technologique (34). Ce classement est utile à un auditeur pour ranger ses constats. Il est quasiment inutile comme plan de travail, car il ne dit rien sur qui fait le travail, combien de temps cela prend, ni ce qui doit démarrer en premier.
Voici un autre regroupement. Les mêmes 93 mesures, triées selon la façon dont un projet avance réellement.
Groupe 1 : ce que vous faites déjà, sans pouvoir le prouver
Le groupe le plus important, et la raison pour laquelle le chiffre 93 fait moins peur qu’il n’y paraît.
Vous intégrez déjà des collaborateurs. Vous retirez déjà les accès quand ils partent, la plupart du temps. Vous avez déjà des sauvegardes. Vous limitez déjà l’accès à la production. Vous fermez probablement déjà le bureau à clé. Une part significative de l’annexe A vous demande d’écrire ce qui se passe déjà et de garder la trace que cela s’est bien passé.
Le travail ici ne consiste pas à construire quoi que ce soit. Il consiste à transformer des habitudes en enregistrements : une liste d’arrivée et de départ avec des dates, une liste d’accès avec une signature de revue, une tâche de sauvegarde avec un résultat de test joint.
Commencez par là, parce que c’est rapide et que cela rend le reste crédible. Deux semaines de documentation ingrate suffisent en général à traiter vingt mesures ou plus.
Le piège : écrire une politique qui décrit une entreprise idéalisée. Si votre processus de départ consiste à envoyer un message au CTO, écrivez cela et améliorez-le ensuite, plutôt que de décrire un flux RH que vous n’avez pas.
Groupe 2 : les décisions que vous seul pouvez prendre
Peu nombreuses, et elles conditionnent tout le reste.
Qui possède la sécurité. Quel risque vous acceptez et à quel niveau il est validé. Ce qui est dans le périmètre. Quelles relations fournisseurs comptent. Quel est votre schéma de classification. Si vous mettrez en place un processus de développement sécurisé formel cette année ou non.
Ce ne sont pas des tâches délégables à un cabinet ni générables par un outil. Ce sont des décisions, et tout projet qui s’enlise s’enlise parce qu’une décision est restée ouverte trois mois pendant que l’on écrivait des documents autour.
Si vous voulez que ces points soient cadrés et tranchés en quelques semaines plutôt qu’en quelques trimestres, c’est exactement ce que produit un audit de sécurité vCISO indépendant. La déclaration d’applicabilité est l’endroit où ces décisions sont consignées, raison pour laquelle ce document mérite votre attention avant le travail sur les mesures.
Groupe 3 : les générateurs de preuves, à démarrer dès la première semaine
C’est le groupe que l’on rate, et l’erreur coûte cher.
Revues d’accès. Collecte et revue des journaux. Analyses de vulnérabilités et traces de correctifs. Revues de fournisseurs. Revue de direction. Audit interne. Tests de restauration de sauvegarde.
Ces mesures ne sont pas jugées sur leur existence. Elles sont jugées sur le fait qu’elles tournent depuis des mois. Un auditeur s’attend à voir un historique, en général de plusieurs mois, et il n’existe aucun moyen de fabriquer cet historique rétroactivement. Vous ne pouvez pas compresser ce groupe en travaillant plus fort au huitième mois.
La règle est donc simple, et c’est l’élément le plus utile de cet article : activez les générateurs de preuves dès la première semaine, avant que les politiques soient finies et avant que l’appréciation des risques soit complète. Une revue d’accès trimestrielle qui a tourné deux fois imparfaitement vaut mieux qu’une revue parfaite lancée la semaine précédant l’audit.
Groupe 4 : le travail d’ingénierie
Pour un éditeur de logiciels, c’est là que se concentre l’effort réel, dans le thème technologique.
Cycle de développement sécurisé. Gestion des configurations. Séparation des environnements de développement, de test et de production. Gestion des changements. Codage sécurisé. Masquage des données hors production. Cryptographie et gestion des clés. Surveillance.
Trois de ces mesures étaient nouvelles dans l’édition 2022, aux côtés du renseignement sur les menaces, de la sécurité des services cloud, de la suppression d’informations, de la prévention des fuites de données, du filtrage web, de la surveillance de la sécurité physique et de la préparation des TIC pour la continuité d’activité. Onze nouvelles mesures au total, et ce sont celles pour lesquelles il n’existe aucune réponse type à recopier, d’où les justifications vagues dans la plupart des déclarations d’applicabilité.
Prévoyez de vraies semaines d’ingénierie pour ce groupe. C’est la partie qu’aucun document ne résout, et elle entre en concurrence directe avec votre feuille de route produit.
Groupe 5 : la traîne fournisseurs
Les mesures fournisseurs représentent quatre ou cinq points dans l’annexe A. En pratique, c’est le groupe dont le temps calendaire est le plus long, car le travail dépend des réponses des autres.
Votre liste de fournisseurs est plus longue que vous ne le pensez. Quelqu’un doit l’inventorier, classer ceux qui comptent, obtenir des informations de sécurité de leur part, consigner l’évaluation et instaurer un cycle de revue. Chaque étape implique d’attendre un tiers.
Démarrez tôt, pour la même raison que le groupe 3 : la contrainte est le temps écoulé, pas l’effort. Le même problème apparaît sous d’autres régimes, comme nous l’avons traité dans la sécurité de la chaîne d’approvisionnement et le risque fournisseur, et ce recouvrement fait que le travail compte double si vous êtes aussi dans le périmètre NIS2.
Groupe 6 : celles que vous marquerez non applicables
Si vous êtes entièrement dans le cloud sans salle serveur, une bonne partie des 14 mesures physiques ne s’applique pas à vous telle que la norme l’imagine. Si vous n’écrivez pas de logiciel, les mesures de développement sont traitées via vos mesures fournisseurs.
Marquer une mesure non applicable est légitime et attendu. La marquer non applicable avec une justification qui s’effondre à la première question de relance, c’est là que les audits dérapent, sujet traité en détail dans l’article sur le périmètre et la déclaration d’applicabilité.
Une meilleure grille de lecture que les quatre thèmes
Une chose réellement utile ajoutée par l’édition 2022, que presque personne n’utilise : chaque mesure porte désormais cinq attributs. Type de mesure (préventive, détective, corrective), propriétés de sécurité de l’information (confidentialité, intégrité, disponibilité), concepts de cybersécurité (identifier, protéger, détecter, répondre, restaurer), capacités opérationnelles et domaines de sécurité.
Ces attributs permettent de découper l’annexe A par question plutôt que par classeur. « Montre-moi toutes les mesures détectives » est une vue bien plus utile que « montre-moi le thème physique », surtout quand vous cherchez à savoir si vous êtes seulement capable de remarquer un incident. Une bibliothèque de mesures portant les attributs et la correspondance entre référentiels transforme cet exercice de tableur en un simple filtre.
Ce que cela implique pour l’ordonnancement
Si vous partez d’une situation normale et non structurée :
- Semaine 1 : activez les générateurs de preuves (groupe 3) et démarrez l’inventaire fournisseurs (groupe 5).
- Semaines 1 à 3 : prenez les décisions (groupe 2) et rédigez la déclaration d’applicabilité.
- Semaines 2 à 6 : documentez ce que vous faites déjà (groupe 1).
- Mois 2 à 5 : le travail d’ingénierie (groupe 4), en parallèle du reste.
- En continu : les preuves s’accumulent, et c’est tout l’objectif.
Remarquez que les groupes 3 et 5 démarrent en premier même s’ils se terminent en dernier. C’est toute l’astuce. La façon dont ces mois s’additionnent en pratique, et la partie du calendrier que vous ne pouvez pas compresser, sont traitées dans combien de temps prend réellement ISO 27001. Pour une vue d’ensemble de ce qu’implique une première certification sans fonction sécurité, commencez par ISO 27001 pour une entreprise sans équipe sécurité, et sur la question du budget, les 50 000 € pour ISO 27001 en valent-ils la peine. Le parcours complet est sur notre page solution ISO 27001.
La réalité technique : une mesure vous dit de faire une chose, pas à quel niveau
Voici ce que l’annexe A laisse ouvert, et c’est structurel plutôt qu’accidentel.
Presque chaque mesure est écrite comme un résultat à atteindre, pas comme un niveau à respecter. C’est délibéré, car la norme doit convenir à une startup de trois personnes comme à une banque. La conséquence est que le niveau est fixé par votre propre déclaration d’applicabilité et par ce que votre auditeur accepte, pas par ce qu’un attaquant devrait franchir.
Concrètement, dans la lettre des mesures :
- Le contrôle d’accès est satisfait par un processus documenté et une revue périodique. Il n’exige pas que l’authentification multifacteur soit imposée plutôt que simplement disponible, et c’est sur le chemin de connexion hérité que tout le monde utilise que cette différence se joue.
- La journalisation et la surveillance sont satisfaites par la collecte et la conservation des journaux. La détection est une autre question, et un journal que personne ne lit est un coût de stockage, pas une mesure.
- La sauvegarde est satisfaite par des sauvegardes qui tournent et qui sont testées. Vérifier que la tâche a réussi n’est pas restaurer un système de bout en bout sous contrainte de temps, et une seule de ces deux choses vous dit si vous savez repartir.
- La gestion des vulnérabilités est satisfaite par un cycle de correctifs documenté. Si vous avez documenté trimestriel, trimestriel est la barre à laquelle vous serez mesuré, et une vulnérabilité critique exposée pendant onze semaines reste à l’intérieur de votre propre politique.
- La sécurité fournisseurs est satisfaite par une évaluation au dossier. Savoir si le fournisseur fait réellement ce que le questionnaire annonce n’est testé par rien dans l’annexe A.
Rien de cela ne rend la norme inutile. Cela en fait un plancher. Le bon réflexe est de parcourir l’annexe A deux fois : une fois en demandant « cela satisfait-il la mesure », ce qui vous fait certifier, et une fois en demandant « cela arrêterait-il quelqu’un », ce qui vous rend sûr. Là où les deux réponses divergent, écrivez la divergence. Cette liste est courte, elle est inconfortable, et elle vaut plus que le certificat.
