Qu'est-ce qu'un SMSI ? Définition et trois piliers
Un SMSI est l'ensemble organisé des politiques, des processus, des rôles, des ressources et des enregistrements par lesquels une organisation pilote la protection de son information.
L'acronyme signifie système de management de la sécurité de l'information. C'est l'objet que la norme ISO/IEC 27001:2022 encadre, et ce qu'un organisme certificateur vient vérifier.
Les trois propriétés à protéger
Un SMSI vise trois propriétés, qui servent de grille d'analyse à toute la démarche.
Chaque risque que vous identifierez s'analysera selon ces trois axes. Une fuite touche la confidentialité, une altération de données touche l'intégrité, une rançongiciel touche la disponibilité.
La confidentialité l'information n'est accessible qu'aux personnes autorisées.
L'intégrité l'information est exacte et complète, et toute modification non autorisée est détectable.
La disponibilité l'information est accessible quand les personnes autorisées en ont besoin.
Pourquoi le mot « management » change tout
Un SMSI n'est pas un état que l'on atteint puis que l'on conserve. C'est un mécanisme de pilotage qui produit des décisions, les applique, en mesure les effets et se corrige.
La conséquence est directe : une entreprise dotée d'excellentes mesures techniques mais d'aucun mécanisme de pilotage n'a pas de SMSI et ne peut pas être certifiée. À l'inverse, une entreprise aux moyens modestes mais qui sait expliquer ses arbitrages passe l'audit.
Les trois piliers du SMSI
La sécurité de l'information repose sur trois piliers dont aucun ne suffit seul.
| Pilier | Ce qu'il recouvre | Où la norme le traite |
|---|---|---|
| Les personnes | Les rôles, les compétences, la sensibilisation, la culture. Qui décide, qui exécute, qui rend des comptes. Employés, mais aussi sous-traitants et fournisseurs qui accèdent à l'information. | Clauses 5.1 et 5.3 pour les rôles, 7.2 pour les compétences, 7.3 pour la sensibilisation. Annexe A : 8 mesures liées aux personnes. |
| Les processus | Les règles écrites et les activités récurrentes qui font vivre le système : appréciation du risque, gestion des incidents, contrôle des accès, gestion des fournisseurs, continuité. | Le corps de la norme, clauses 4 à 10, décrit des processus. Annexe A : 37 mesures organisationnelles. |
| Les technologies | Les moyens techniques qui appliquent les règles : authentification, chiffrement, journalisation, sauvegardes, filtrage, durcissement des configurations. | La norme exige un résultat, jamais un produit précis. Annexe A : 14 mesures physiques et 34 mesures technologiques. |
Ce que la direction doit porter elle-même
La norme confie la gouvernance à la direction, et non au responsable sécurité. La clause 5.1 énumère des obligations qui ne peuvent pas être déléguées : s'assurer que la politique est compatible avec l'orientation stratégique, fournir les ressources, communiquer l'importance du système, soutenir les personnes qui y contribuent.
Trois mécanismes font vivre cette gouvernance. La politique de sécurité fixe le cadre. L'attribution des rôles désigne nommément qui répond de quoi. La revue de direction réunit périodiquement les décideurs autour d'un ordre du jour imposé par la norme.
Comment la norme est construite
Le texte se divise en deux parties de nature différente.
Les clauses 4 à 10 énoncent des exigences auxquelles il faut se conformer intégralement. Aucune n'est optionnelle. Elles couvrent le contexte, le leadership, la planification, le support, le fonctionnement, l'évaluation des performances et l'amélioration.
L'Annexe A liste 93 mesures de sécurité de référence, réparties en quatre thèmes. Vous choisissez celles qui répondent à vos risques, et vous justifiez celles que vous écartez.
| Thème | Mesures | Exemples |
|---|---|---|
| Organisationnel | 37 | Politiques, rôles, classification de l'information, gestion des identités, relations avec les fournisseurs, gestion des incidents, continuité, conformité légale. |
| Personnes | 8 | Filtrage préalable à l'embauche, conditions d'emploi, sensibilisation, processus disciplinaire, télétravail, signalement des événements. |
| Physique | 14 | Périmètres de sécurité, contrôle des accès, protection contre les menaces environnementales, bureau propre et écran vide, sécurité du câblage. |
| Technologique | 34 | Terminaux, droits d'accès privilégiés, authentification, protection contre les logiciels malveillants, sauvegardes, journalisation, cloisonnement des réseaux. |
Ce que l'Annexe A partage avec les référentiels de défense
Si votre entreprise vend au secteur de la défense, ces 93 mesures ne sont pas un investissement isolé. Elles recoupent largement les exigences du CMMC américain et du Programme canadien de certification en cybersécurité, tous deux construits sur les publications du NIST.
Le recouvrement est net sur la protection des supports, la protection physique et l'appréciation des risques. Il est faible sur la journalisation détaillée, l'acquisition de services et la gestion des risques de la chaîne d'approvisionnement, où les référentiels de défense sont nettement plus prescriptifs.
Questions fréquentes
- SMSI et ISMS, est-ce la même chose ?
- Oui. ISMS est l'acronyme anglais d'information security management system. Les deux désignent le même objet.
- Faut-il appliquer les 93 mesures de l'Annexe A ?
- Non. L'Annexe A fonctionne comme une liste de vérification : vous comparez les mesures que vos risques appellent à cette liste, pour vous assurer de n'avoir rien oublié. Écarter une mesure est légitime, à condition de le justifier par votre analyse de risque.
- Qui doit piloter le SMSI dans une PME ?
- Un responsable désigné, disposant d'un accès direct à la direction. Ce n'est pas nécessairement un poste à temps plein ni un profil technique : la fonction relève autant de la coordination que de l'expertise.
- Notre SMSI peut-il servir aussi pour le CMMC ou le PCCC ?
- En grande partie. Le périmètre, l'inventaire des actifs, la gestion des accès, la gestion des incidents et l'appréciation des risques se réutilisent directement. Ce qui ne se réutilise pas, c'est l'attestation : chaque programme impose sa propre évaluation, avec ses propres preuves.
- Un SMSI protège-t-il les renseignements personnels ?
- Partiellement. Un SMSI protège l'information au sens large, renseignements personnels compris. Mais il ne couvre pas les obligations propres à la Loi 25 en matière de consentement, de transparence et de droits des personnes.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.
Comment les trois piliers s'articulent
Un exemple vaut mieux qu'une définition. Prenons une entreprise qui veut réduire son exposition à l'hameçonnage.
Retirez l'un des trois et le dispositif s'effondre.
Sans filtrage, le volume de messages malveillants submerge les utilisateurs. Sans sensibilisation, ceux qui passent le filtre aboutissent. Sans processus, les signalements s'accumulent dans une boîte que personne ne relève — et l'entreprise se croit protégée alors qu'elle ne l'est pas.
C'est exactement ce qu'un auditeur cherche à établir : non pas l'existence de chaque brique, mais leur enchaînement effectif.
Le pilier technologique fournit un filtrage des courriels et une authentification multifacteur.
Le pilier humain apporte la sensibilisation du personnel et la capacité à signaler un message suspect.
Le pilier processus assure que les signalements aboutissent : une procédure désigne un responsable, fixe un délai de réaction et prévoit un retour d'expérience.