Le cycle PDCA et la gestion des risques ISO 27001

Tout commence par le contexte. Vous identifiez les enjeux internes et externes qui influent sur votre capacité à protéger l'information : votre secteur, vos obligations légales, votre dépendance à des fournisseurs, votre modèle de travail. Vous recensez ensuite vos parties intéressées et leurs exigences — clients, régulateurs, assureurs, employés.

Vient le périmètre, qui est la décision la plus structurante de toute la démarche. Il délimite ce que le certificat couvrira : quels sites, quelles activités, quels systèmes, quelles équipes.

C'est la mécanique centrale de la norme. Le SMSI n'est pas une liste de bonnes pratiques à cocher, mais une réponse argumentée à une exposition mesurée. Elle se déroule en quatre temps.

Vous recensez les risques susceptibles d'affecter la confidentialité, l'intégrité ou la disponibilité de votre information. La plupart des démarches partent d'un inventaire des actifs informationnels — bases de données, code source, dossiers clients, savoir-faire industriel — puis identifient pour chacun les menaces et les vulnérabilités.

La norme n'impose pas cette méthode. Elle exige seulement que le processus soit défini et produise des résultats cohérents. Chaque risque reçoit un propriétaire : une personne nommée, dotée de l'autorité pour décider de son traitement.

Chaque risque est analysé selon les conséquences de sa réalisation et sa vraisemblance, ce qui donne un niveau de risque. Une échelle qualitative à quatre ou cinq degrés suffit dans la grande majorité des cas.

Les risques sont ensuite comparés aux critères d'acceptation et hiérarchisés, ce qui détermine l'ordre de traitement.

Un point de méthode souvent négligé : les critères d'acceptation se fixent avant l'analyse, par la direction. Les fixer après revient à ajuster le seuil aux résultats obtenus, ce qu'un auditeur repère rapidement.

Pour chaque risque dépassant le seuil d'acceptation, vous choisissez une option parmi quatre.

Les mesures retenues sont ensuite comparées à celles de l'Annexe A, afin de s'assurer qu'aucune mesure nécessaire n'a été omise. L'Annexe A fonctionne comme une liste de vérification, pas comme un catalogue à appliquer intégralement.

La Déclaration d'applicabilité, ou DdA, est le document le plus examiné de tout le dossier. Elle reprend les 93 mesures de l'Annexe A et indique pour chacune si elle est retenue ou écartée, pourquoi, et où elle en est de sa mise en œuvre.

Écarter une mesure est parfaitement légitime : une entreprise sans développement logiciel n'a pas d'usage du codage sécurisé. Ce qui ne l'est pas, c'est d'écarter une mesure sans justification rattachée à l'analyse de risque.

L'appréciation des risques n'est pas un exercice unique. La norme impose de la refaire à intervalles planifiés et lorsque des changements significatifs surviennent : nouveau service, nouveau fournisseur critique, incident majeur, évolution réglementaire.

En pratique, un rythme annuel assorti de révisions déclenchées par événement satisfait l'exigence.

Cette phase consiste à allouer les ressources, à s'assurer que les personnes disposent des compétences requises et à le prouver, à sensibiliser l'ensemble du personnel, et à organiser la communication interne et externe sur les sujets de sécurité.

La norme encadre aussi les informations documentées : elles doivent être identifiées, approuvées avant diffusion, protégées et maîtrisées dans leurs versions. C'est ici que se joue la différence entre une documentation vivante et une bibliothèque de fichiers obsolètes que personne ne consulte.

Vous déterminez ce qui doit être surveillé et mesuré, par quelles méthodes, à quelle fréquence, par qui et quand les résultats seront analysés.

L'écueil habituel consiste à mesurer l'activité plutôt que l'efficacité. Le nombre de correctifs appliqués renseigne moins que le délai moyen de correction des vulnérabilités critiques.

L'audit interne vérifie que le SMSI est conforme à la norme et à vos propres exigences, et qu'il est effectivement mis en œuvre. Il doit être mené par des auditeurs objectifs : une personne ne peut pas auditer son propre travail. Une PME peut faire appel à un consultant externe ou à un collaborateur d'un autre service.

La revue de direction ferme la phase. Son ordre du jour est prescrit par la norme et couvre notamment l'état des actions précédentes, les évolutions du contexte, la performance mesurée, l'état des risques et les opportunités d'amélioration.

Face à une non-conformité, la norme impose une séquence précise : réagir pour la maîtriser, puis évaluer s'il faut éliminer sa cause, mettre en œuvre l'action correspondante et en vérifier l'efficacité.