Normes ISO : 27000 / Sécurité de

l'information
Plan :
I. Définition de la norme
II. Types de normes
III. Norme I.S.O : 27000
1. introduction
2. SUITE ISO/27000 ( famille standards smsi )
∗ Norme 27001
∗ Norme 27002
∗ Norme 27003
∗ Norme 27004
∗ Norme 27005
∗ Norme 27006
∗ Norme 27007
∗ Norme 27008
∗ Norme 27010
∗ Norme 27011
∗ Norme 27012
∗ Norme 27013
∗ Norme 27014
∗ Norme 27015
∗ Norme 27031
∗ Norme 27032
∗ Norme 27033
∗ Norme 27034
∗ Norme 27035
∗ Norme 27036
∗ Norme 27037
∗ Norme 27799
 I. Définition de la norme :

L'ISO (International Organization for Standardization) et le CEI donnent la définition

suivante :

« Document établi par consensus et approuvé par un organisme reconnu, qui fournit, pour
des usages communs et répétés, des règles, des lignes directrices ou des caractéristiques,
pour des activités ou leurs résultats garantissant un niveau d'ordre optimal dans un
contexte donné. »

Dans le cas général, un fabricant ou un prestataire de service n'est pas obligé de suivre
une norme. Elles peuvent cependant être imposées par un donneur d’ordre pour la réalisation
d’un contrat. Dans certains cas, le droit peut imposer l'utilisation d'une norme industrielle (par
exemple normes pour les installations électriques, les jouets pour enfants, les appareils à
pression…).

II. Types de normes :

On distingue quatre types de normes :

• Les normes fondamentales : elles donnent les règles en matière de terminologie,

sigles, symboles, métrologie (ISO 31 : grandeurs et unités).

• Les normes de spécifications : elles indiquent les caractéristiques, les seuils de

performance d'un produit ou d'un service (exemple : EN 2076-2 : Série aérospatiale -
Lingots et pièces moulées en alliages d'aluminium et de magnésium - Spécification
technique - Partie 2 - Lingots pour refusion.)

• Les normes d'analyse et d'essais : elles indiquent les méthodes et moyens pour la
réalisation d'un essai sur un produit (exemple : ISO 6506-1 : Matériaux métalliques -
Essai de dureté Brinell - Partie 1 : Méthode d'essai).

• Les normes d'organisation : elles décrivent les fonctions et les relations

organisationnelles à l'intérieur d'une entité (exemple : ISO 9001 : Systèmes de
management de la qualité – Exigences).

III. Norme I.S.O : 27000

 1. introduction :
ISO/CEI 27001 : Système de Gestion de la Sécurité de l'Information (ISMS) — Exigences

ISO/CEI 27000 est une norme de sécurité de l'information publiée simultanément en mai
2009 par l'Organisation internationale de normalisation (ISO) et la Commission
électrotechnique internationale (CEI, ou IEC en anglais), faisant partie de la suite ISO/CEI
27000.

Le champ d'application de l'ISO / CEI 27000 est de «préciser les principes fondamentaux, les
concepts et le vocabulaire de l'ISO / CEI 27000 (sécurité des systèmes d'information de
gestion) série de documents."

ISO / CEI 27000 contient les éléments fondamentaux et le vocabulaire, En d'autres termes:

• Un aperçu des normes ISO27k montrant comment ils sont utilisés collectivement
pour planifier, mettre en œuvre, de certifier et d'exploiter un SGSI, avec une
introduction de base à la sécurité informatique, la gestion des risques et la gestion des
systèmes
• Soigneusement rédigé les définitions de la sécurité liés à l'information termes tels
qu'ils sont utilisés dans les normes ISO27k.

ISO / CEI 27000 est semblable au vocabulaire d’autres normes et définitions. Il annule et
remplace largement les termes et définitions intégrée dans des normes ISO27k déjà publié
plus, dans une large mesure, les lignes directrices telles que l'ISO / IEC guide 2: 1996
"Normalisation et activités connexes - Vocabulaire général", ISO / IEC Guide 73: 2002
"Gestion du risque - Vocabulaire - Principes directeurs pour utilisation dans les normes"
ISO / IEC 2382-8: "Information Technologie - Vocabulaire Partie 8: Sécurité "et ISO 9000,
norme de qualité.

2. SUITE ISO/27000 ( famille standards smsi )

La norme ISO / CEI 27000-séries de numérotation a été réservé pour une famille de normes
de gestion de sécurité de l'information dérivée de la norme britannique BS 7799. Les normes
suivantes sont soit publiées ou des travaux en cours:

• ISO / CEI 27001:2005 est l'Information Security Management System (ISMS)

exigences de la norme, un cahier des charges d'un SGSI contre lequel des milliers
d'organisations ont été certifiées conformes.
• ISO / CEI 27002:2005 est le code de pratique pour la gestion des informations de
sécurité décrivant un ensemble complet d'objectifs de sécurité de l'information de
contrôle et un ensemble de contrôles généralement reconnus des bonnes pratiques de
sécurité.
• ISO / CEI 27003 fournit des conseils d'application pour l'ISO / CEI 27001.
 • ISO / CEI 27004 est une norme de gestion de la sécurité des informations suggérant
de mesure métriques pour aider à améliorer l'efficacité d'un SGSI.
• ISO / CEI 27005:2008 est une norme de sécurité de l'information de gestion des
risques.
• ISO / CEI 27006:2007 est un guide pour la certification ou la procédure
d'enregistrement accrédité pour la certification ISMS ou organes d'enregistrement.
• ISO / CEI 27007 est une ligne directrice pour l'audit Information Security
Management Systems.
• ISO / CEI 27008 fournira des indications sur l'audit des contrôles de sécurité de
l'information.
• ISO / CEI 27010 fournira des orientations sur la gestion de sécurité de l'information
pour le secteur à secteur des communications.
• ISO / CEI 27011:2008 est la directrice sécurité de l'information de gestion pour les
organismes de télécommunications (également connu sous le nom X.1051 UIT).
• ISO / CEI 27013 fournira des orientations sur l'application intégrée de l'ISO / CEI
20000-1 (dérivé d'ITIL) et ISO / CEI 27001 (ISMS).
• ISO / CEI 27014 se couvrir la gouvernance de la sécurité informatique.
• ISO / CEI 27015 fournira des informations de gestion de sécurité des systèmes
d'orientation pour les organisations de services financiers.
• ISO / CEI 27031 est une norme de TIC axées sur la continuité des affaires. FCD

• ISO / CEI 27032 fournira des directives pour le cyber sécurité.

• ISO / CEI 27033 remplacera la partie multi-ISO / IEC 18028 standard sur la sécurité
réseau.
• ISO / CEI 27034 fournira des directives pour la sécurité des applications.
• ISO / CEI 27035 remplacera l'ISO TR 18044 sur la gestion des incidents de sécurité.
• ISO / CEI 27036 ligne directrice pour la sécurité de l'externalisation.
• ISO / CEI 27037 ligne directrice pour preuves numériques.
• ISO 27799:2008 fournit secteur de la santé spécifiques ISMS mise en œuvre des
orientations basées sur la norme ISO / CEI 27002.

∗ Norme 27001

Objet :

ISO / CEI 27001 spécifie les exigences pour l'établissement, la mise en œuvre, le suivi et
l'examen, l'entretien et l'amélioration d'un système de gestion - une gestion globale et le cadre
de contrôle - pour la gestion des risques information d'une organisation de sécurité. Il ne
prévoyait pas de contrôles spécifiques des informations de sécurité mais s'arrête au niveau du
système de gestion.

Destiner à :
La norme couvre tous les types d'organisations (p. ex. Entreprises commerciales, agences
gouvernementales et organismes sans but lucratif) et toutes les tailles de micro-entreprises aux
multinationales énormes.

Méthodologie d’application :

L'ISO / CEI 27001 ISMS reprend plusieurs Plan-Do-Check-Act (PDCA) cycles: par
exemple, des contrôles de sécurité des informations ne sont pas seulement précisées et mises
en œuvre comme une activité ponctuelle, mais sont continuellement revus et ajustés pour tenir
compte des changements dans les menaces, les vulnérabilités et les impacts des défaillances
des informations de sécurité, en utilisant l'examen et l'amélioration des activités spécifiées
dans le système de gestion.

Types d'utilisation de l'ISO / CEI 27001

Selon JTC1/SC27, l'ISO / CEI commission compétente pour les ISO27k et normes
connexes, l'ISO / CEI 27001 "est destiné à être adapté à plusieurs types d'utilisation
différentes, notamment:

• Utiliser dans les organisations à formuler des exigences de sécurité et des objectifs;
• Utiliser dans les organisations comme un moyen de s'assurer que les risques de
sécurité sont gérées de manière rentable;
• Utiliser dans les organisations pour assurer la conformité aux lois et règlements;
• Utiliser dans une organisation comme une structure de processus pour la mise en
œuvre et la gestion des contrôles pour s'assurer que les objectifs spécifiques de
sécurité d'une organisation sont respectées;
• La définition de la traite de nouvelles informations de gestion de sécurité;
• L'identification et la clarification des processus de sécurité existants d'information de
gestion;
• Utilisation par la gestion des organisations pour déterminer le statut des activités
d'information de gestion de sécurité;
• Utilisation par les contrôleurs internes et externes des organisations politiques de
démontrer la sécurité de l'information, des instructions et des normes adoptées par une
organisation et de déterminer le degré d’harmonie avec ces politiques, instructions et
normes;
• Utilisation par les organisations pour fournir des informations appropriées sur la
politique de sécurité de l'information, des instructions, normes et procédures pour les
partenaires commerciaux et d'autres organisations avec lesquels ils interfèrent pour des
raisons opérationnelles ou commerciales;
• Mise en œuvre d'une entreprise qui offre une sécurité d'information, et
• Utilisation par les organisations pour fournir des informations pertinentes sur la
sécurité des informations aux clients. "
Histoire de l'ISO / CEI 27001
ISO / IEC 27001 est né comme BS 7799 partie 2 en 1999. Il a été révisé par le BSI en 2002,
en intégrant explicitement Deming Plan-Do-Check-Act cycle, et a été adopté par l'ISO / CEI
en 2005.

Structure et contenu de l'ISO / CEI 27001

ISO / IEC 27001:2005 comprend les sections suivantes:

0 Introduction - le standard utilise une approche processus.

1 Champ d'application - elle définit des exigences génériques ISMS adapté aux
organisations de tout type, la taille ou la nature.

2 Références normatives - seuls ISO / CEI 27002:2005 est considéré comme

absolument essentiel à l'utilisation des '27001.

3 Termes et définitions - un bref glossaire formalisé, qui sera bientôt remplacée par
l'ISO / CEI 27000.

4 Gestion de l'information de sécurité du système - les «entrailles» de la norme,

fondée sur le Plan-Do-Check-Act cycle où plan = définir les exigences, évaluer les
risques, décider quels contrôles sont applicables; Do = mettre en œuvre et
l'exploitation du SMSI; Check = surveiller et examiner l'ISMS; ACT = Maintenir et
améliorer constamment le SGSI. Spécifie également les documents spécifiques qui
sont nécessaires et doivent être contrôlés, et dispose que les dossiers doivent être
produites et contrôlées pour prouver le fonctionnement de l'ISMS (p. ex. fins d'audit
de certification).

5 Responsabilité de gestion - gestion doivent démontrer leur engagement en faveur

de l'ISMS, principalement en allouant des ressources suffisantes pour mettre en œuvre
et l'exploiter.

6 Internal audits ISMS - l'organisme doit effectuer des vérifications internes

périodiques pour s'assurer que le SGSI intègre des contrôles adéquats qui fonctionnent
efficacement.

7 Examen de gestion de l'ISMS - Gestion doit examiner la pertinence, l'adéquation et

l'efficacité de l'ISMS au moins une fois par an, d'évaluer les possibilités d'amélioration
et de la nécessité de changements.

8 ISMS améliorations - de l'organisation doit constamment améliorer le SGSI en

évaluant et si nécessaire d'effectuer des modifications pour assurer son adéquation et
l'efficacité, s'adressant non-conformité (non-conformités) et si possible empêcher
questions récurrentes.
 Annexe A - Objectifs de contrôle et de contrôles - un peu plus en fait que la liste
des titres des sections de contrôle dans l'ISO / CEI 27002, en baisse au deuxième
niveau de numérotation (par ex. 9.1, 9.2).

Annexe B - Principes de l'OCDE et de la présente Norme internationale - un

tableau indiquant brièvement quelles sont les parties de cette norme satisfaire 7
principes clés énoncés dans les Lignes directrices de l'OCDE régissant la sécurité des
Systèmes d'Information et Réseaux.

Annexe C - Correspondance entre l'ISO 9001:2000, ISO 14001:2004 et la

présente Norme internationale - les parts de la norme du même structure de base des
normes de gestion des autres systèmes, ce qui signifie une organisation qui met en
œuvre une quelconque doivent se familiariser avec des concepts tels que PDCA, les
dossiers et les audits.

ISO / IEC 27001 certifications augmentant de ~

1000 par an
Plus de 5600 organisations dans le monde ont déjà été certifié conforme à la norme ISO / IEC
27001 ou l'équivalent des variantes nationales:

Le graphique montre le nombre sans cesse croissant de l'ISO / CEI 27001 certificats signalés
par site Ted Humphrey ISO27001certificates.com au cours des dernières années. Ted reçoit
régulièrement et rassemble des informations sur l'ISO / CEI 27001 certificats délivrés par les
organismes de certification dans le monde.

Certificat série en dit plus que «Nous sommes une organisation de qualité». Le certificat a le
potentiel de commercialisation et devrait contribuer à assurer la plupart des partenaires
d'affaires de statut de l'organisation en matière de sécurité de l'information sans la nécessité de
mener leurs propres examens de sécurité.
 ∗ Norme 27002
Introduction :
La norme ISO/CEI 27002 est une norme internationale concernant la sécurité de
l'information, publiée en 2005 par l'ISO, dont le titre en français est Code de bonnes pratiques
pour la gestion de la sécurité de l’information.

L'ISO/CEI 27002 est un ensemble de 133 mesures dites « best practices » (bonnes pratiques
en français), destinées à être utilisées par tous ceux qui sont responsables de la mise en place
ou du maintien d'un Système de Management de la Sécurité de l'Information (SMSI). La
sécurité de l'information est définie au sein de la norme comme la « préservation de la
confidentialité, de l'intégrité et de la disponibilité de l'information ».

Cette norme n'a pas de caractère obligatoire pour les entreprises. Son respect peut toutefois
être mentionné dans un contrat : un prestataire de services pourrait ainsi s'engager à respecter
les pratiques normalisées dans ses relations avec un client.

Sommaire de l'ISO / CEI 27002 (Plan)

La carte mentale résume les principales sections de la norme sur un côté. Les sections sont
décrites ci-dessous.
Section 0: Introduction

A partir de 'Qu'est-ce que la sécurité de l'information? ", L'introduction explique la façon de

faire usage de la norme.

Section 1: Champ d'application

La norme donne des recommandations pour la gestion de la sécurité des informations pour
ceux qui sont chargés de concevoir, mettre en œuvre ou le maintien de la sécurité.

Section 2: Termes et définitions

"Sécurité de l'information» est explicitement définie comme la «préservation de la

confidentialité, l'intégrité et la disponibilité de l'information». Ceux-ci et d'autres termes
connexes sont définies plus loin. [Le moment venu, lorsque l'ISO / CEI 27002 est révisée,
cette section sera vraisemblablement définitions de référence dans l'ISO / CEI 27000.]

Section 3: Structure de la présente norme

Cette page explique simplement que les tripes de la norme contiennent des objectifs de
contrôle, a suggéré la mise en œuvre des contrôles et d'orientation.

Section 4: Evaluation des risques et de traitement

ISO / CEI 27002 couvre le sujet de la gestion des risques en à peine une page et demie, la
couverture malheureusement insuffisant pour un tel élément complexe et du centre de sécurité
de l'information. [Lorsque l'ISO / CEI 27002 est révisée, elle sera probablement ISO de
référence / IEC 27005 ici bien qu'il ait été suggéré que la section de gestion des risques
pourraient être abandonnées entièrement à partir '27002 et déplacé à l''27001. En accord avec
le style de '27002, '27005 donne des directives générales sur la sélection et l'utilisation de
méthodes appropriées pour analyser les risques pour la sécurité des informations - il ne
prescrit pas une méthode spécifique, puisque «appropriée» dépend du contexte.]

Section 5: La politique de sécurité

La direction devrait définir une politique visant à clarifier leur direction, et le soutien des
renseignements sur la sécurité, ce qui signifie une brève information de haut niveau énoncé de
politique de sécurité fixant les directives de sécurité des informations essentielles et les
mandats pour toute l'organisation. Ceci est normalement pris en charge par un vaste Suite des
politiques de l'information plus détaillée des sociétés de sécurité, habituellement sous la forme
d'une politique d'information du Manuel de la sécurité. Le manuel de politique à son tour, est
soutenu par un ensemble de normes de sécurité de l'information, des procédures et lignes
directrices.

Bien que les normes sont quelque peu ambigus sur ce point, la politique de sécurité de
l'information a noté dans l'ISO / CEI 27002 est généralement considéré comme séparé et
différent de la politique ISMS requises par l'ISO / CEI 27001. ISMS La politique est perçue
par certains comme une stratégie ou gouvernance papier portant sur l'appui de la direction
pour le SGSI dans son ensemble - en fait, elle mai être le plus court à une déclaration du
directeur général.

Section 6: Organisation de la sécurité

Une structure de sécurité d'information adapté et de gouvernance devraient être conçues et

mises en œuvre.

6.1 Organisation interne

Les rôles et les responsabilités doivent être définis pour la fonction de sécurité de
l'information. Other relevant functions should cooperate and coordinate their activities. IT
facilities should be authorized. Installations de TI devrait être autorisé. Les accords de
confidentialité doit refléter les besoins de l'organisation. Des contacts devraient être établis
avec les autorités compétentes (p. ex. Application de la loi) et des groupes d'intérêts spéciaux.
Sécurité de l'information devrait être revue de manière indépendante.

6.2 Parties externes

Sécurité de l'information ne doit pas être compromise par l'introduction de produits ou

services de tiers. Les risques doivent être évalués et atténués. lorsqu'ils traitent avec les clients
et dans les accords de tiers.

Section 7: Gestion d'actifs

L'organisation devrait être en mesure de comprendre ce que les ressources d'information qu'il
détient, et de gérer leur sécurité de manière appropriée.

7.1 Responsabilité pour les actifs

Toutes les informations [] les actifs doivent être comptabilisés et avoir un propriétaire
désigné. Un inventaire des actifs informationnels (matériel informatique, logiciels, données,
documentation du système, supports de stockage, en soutenant des actifs tels que les
climatiseurs individuels ordinateur et onduleurs et des services TIC) devraient être être
maintenu. The inventory should record ownership and location of the assets, and owners
should identify acceptable uses. L'inventaire devrait enregistrer la propriété et la localisation
des actifs, et les propriétaires devraient déterminer les utilisations acceptables.

7.2 Classification de l'information

L'information devrait être classés en fonction de son besoin de protection de la sécurité et

étiquetés en conséquence. [Tout cela est clairement plus pertinentes aux militaires et aux
organisations gouvernementales de manipulation »des informations marquées» (Top Secret,
etc.), Le concept d'identification des actifs importants, de classement et regroupement eux, et
l'application de contrôles qui sont jugés appropriés pour les actifs de cette nature, est
largement applicable.]
Section 8: Les ressources de sécurité de l'homme

L'organisation devrait gérer les droits d'accès au système, etc. pour 'les menuisiers, les
déménageurs et les sortants », et devrait entreprendre sensibilisation à la sécurité appropriée,
la formation et des activités éducatives.

8.1 Avant à l'emploi

Responsabilités de sécurité devraient être prises en considération lors du recrutement des

employés permanents, entrepreneurs et agents temporaires (p. ex. À travers des descriptions
d'emploi adéquates, le dépistage pré-emploi) et inclus dans les contrats (p. ex. Termes et
conditions d'emploi et d'autres accords signés sur les rôles et les responsabilités de sécurité).

8.2 En cours d'emploi

Responsabilités de la direction concernant la sécurité des informations doivent être définis.

Employés et (s'il ya lieu) un tiers des utilisateurs de TI doivent être sensibilisés, éduqués et
formés dans les procédures de sécurité. Un processus disciplinaire formel est nécessaire pour
traiter les infractions de sécurité.

8.3 Résiliation ou changement d'emploi

Aspects de sécurité de la sortie d'une personne de l'organisation (p. ex. Le retour de biens
sociaux et la suppression des droits d'accès) ou de changement de responsabilités devraient
être gérés.

Section 9: sécurité physique et environnementale

Précieux matériel informatique doivent être physiquement protégés contre les dommages
intentionnels ou accidentels ou la perte, la surchauffe, la perte de conduites d'alimentation,
etc.

9.1 zones sécurisées

Cette section décrit la nécessité pour les couches concentriques de contrôles physiques pour
protéger les installations sensibles IT des accès non autorisés.

9.2 Sécurité des installations

Critical matériel informatique, le câblage et ainsi de suite doivent être protégés contre les
dommages physiques, incendie, inondation, vol, etc., À la fois sur et hors site. Alimentations
électriques et le câblage doivent être assurés. IT équipement doit être entretenu comme il
convient et éliminés de façon sûre.

Section 10: Communications et des opérations de gestion

Cette longue section détaillée de la norme décrit les contrôles de sécurité des systèmes et la
gestion du réseau.
10.1 Les procédures opérationnelles et les responsabilités

IT responsabilités opérationnelles et les procédures doivent être documentées. Installations

Changements à l'informatique et des systèmes devraient être contrôlées. Les droits devraient
être répartis entre différentes personnes, le cas échéant (p. ex. Accès au développement et les
systèmes d'exploitation doivent être distincts).

10,2 tiers fournisseur de services de gestion de livraison

Les exigences de sécurité devraient être prises en compte dans la prestation de services tiers
(p. ex. TI ou l'externalisation de la gestion des installations), de clauses contractuelles à la
surveillance continue et la gestion du changement. Avez-vous des clauses de sécurité
appropriées dans le contrat avec votre FAI?

10.3 Planification de systèmes et d'acceptation

IT couvre la planification des capacités et des processus d'acceptation de production.

10.4 Protection contre les codes malicieux et mobiles

Décrit la nécessité pour les contrôles anti-logiciels malveillants, y compris la sensibilisation

des utilisateurs. Les contrôles de sécurité pour le code mobile »associé à un certain nombre de
services middleware» sont également décrites.

10.5 Backup

Couvertures de routine des sauvegardes de données et la restauration des répétitions.

10, 6 Network Security Management

Outlines de gestion de réseau sécurisé, suivi de la sécurité réseau et d'autres contrôles. Couvre
également la sécurité des réseaux de services commerciaux tels que les réseaux privés et gérée
pare-feu etc.

10.7 Gestion des supports

Les modalités de fonctionnement devraient être définies pour protéger des documents et des
supports informatiques contenant des données, informations, etc système. Élimination des
supports de sauvegarde, les documents, enregistrements vocaux et autres données d'essai, etc.
Des procédures devraient être définies pour la manipulation en toute sécurité, le transport et le
stockage des supports de sauvegarde et de la documentation du système.

10.8 L'échange d'informations

Les échanges d'information entre les organisations doivent être contrôlées, par exemple,
même si les politiques et procédures, et des accords juridiques. Les échanges d'information
doivent également se conformer à la législation applicable. Les procédures de sécurité et les
normes devraient être en place pour protéger l'information et des supports physiques en
transit, y compris la messagerie électronique (e-mail, EDI et de la GI) et des systèmes
d'information commerciale.
10.9 Services de commerce électronique

Les implications de sécurité du commerce électronique (systèmes de transaction en ligne)

doivent être évaluées et des contrôles appropriés mis en œuvre. L'intégrité et la disponibilité
des informations publiées en ligne (p. ex. Sur les sites Internet) devraient également être
protégées.

10.10 Surveillance

Couvre des événements de sécurité / audit / d'enregistrement d'erreurs et de système d'alarme /

surveillance et d'alerte pour détecter l'utilisation non autorisée. Couvre également la nécessité
d'obtenir des billes et de synchroniser les horloges système.

11: Contrôle d'accès

L'accès logique aux systèmes informatiques, les réseaux et les données doivent être
convenablement contrôlée pour éviter toute utilisation non autorisée. Ceci est un autre long et
détaillé article.

11,1 exigence des entreprises pour le contrôle d'accès

Exigences de l'organisation pour contrôler l'accès à l'information des actifs devraient être
clairement documentés dans une politique de contrôle d'accès, y compris pour exemple:
emploi profils d'accès connexes (Rôle Basé Access Control). [Ceci est une obligation
importante pour les propriétaires d'information sur les actifs.]

11,2 utilisateur de gestion des accès

L'attribution de droits d'accès aux utilisateurs devraient être officiellement contrôlé par
l'enregistrement des utilisateurs et des procédures administratives (de l'inscription initiale de
l'utilisateur par le biais de la suppression des droits d'accès lorsqu'il n'est plus nécessaire), y
compris des restrictions spéciales sur l'attribution des privilèges et la gestion des mots de
passe, et un accès régulier les droits de commentaires.

11.3 Responsabilités des utilisateurs

Les utilisateurs doivent être conscients de leurs responsabilités envers l'accès effectif de
maintenir des contrôles, par exemple. Systèmes et l'information doivent être assurés lorsqu'ils
sont laissés sans surveillance (par ex. Bureau et des politiques claires d'écran transparent).

11,4 Network Access Control

L'accès aux services en réseau devrait être contrôlé, tant au sein de l'organisation et entre
organisations. La politique devrait être définie et utilisateurs distants (et éventuellement du
matériel) doivent être dûment authentifiés. Ports éloignés de diagnostic doivent être bien
contrôlés. Les services d'information, les utilisateurs et les systèmes devraient être séparés
dans des domaines de réseau distinct logique. Connexions réseau et de routine doit être
contrôlée si nécessaire.
11.5 Le système d'exploitation contrôle d'accès

L'exploitation d'installations de contrôle d'accès au système et les services publics (tels que
l'authentification des utilisateurs avec des identifiants et mots de passe d'utilisateur unique
gérée, pour enregistrer l'utilisation de privilèges et d'alarmes de sécurité du système) doit être
utilisée. L'accès aux services publics puissant système doit être contrôlée et délais d'inactivité
devrait être appliqué.

11.6 Application et contrôle d'accès d'information

L'accès à et dans les systèmes d'application devraient être contrôlés en conformité avec une
politique définie contrôle d'accès. Notamment des applications sensibles mai exigent dédié
(isolé) des plates-formes, et / ou contrôles supplémentaires si elles sont exécutées sur des
plateformes communes.

11.7 L'informatique mobile et le télétravail

Il devrait y avoir de politique officielle concernant l'utilisation sécurisée des PC portables,

PDA, téléphones cellulaires, etc., Et le télétravail sécurisé («travail à domicile», «guerriers de
la route» et d'autres formes de travail mobile ou à distance).

Section 12: systèmes d'acquisition de l'information,

développement et maintenance

La sécurité des informations doit être pris en compte dans le cycle de développement des
systèmes (CCES) les procédés de spécification, de construction / acquisition, les essais, la
mise en œuvre et maintenir des systèmes informatiques.

12.1 Exigences de sécurité des systèmes d'information

Manuelles et automatiques de contrôle des exigences de sécurité devraient être analysées et

pleinement identifiés pendant l'étape exigences de développement des systèmes ou des
processus d'acquisition, et incorporée dans les cas d'affaires. Acheté en logiciels devraient être
testés officiellement pour la sécurité, et de tout risque questions-évaluées.

12,2 traitement correct dans les systèmes d'application

La saisie des données, le traitement et les contrôles de validation de sortie et d'authentification

de message devrait être fournie pour atténuer les risques pour l'intégrité sont associés.

12,3 contrôles cryptographiques

Une politique de cryptographie doivent être définies, concernant les rôles et les
responsabilités, les signatures numériques, la non-répudiation, la gestion des clés et certificats
numériques, etc.
12.4 Sécurité des fichiers système

L'accès aux fichiers du système (programmes exécutables et code source) et données d'essais
devrait être contrôlée.

12.5 Sécurité dans le développement et soutenir les processus

Gestionnaires du système de demande devraient être chargés de contrôler l'accès aux

[développements] des projets et des environnements de soutien. Formelle des processus de
changement de contrôle doit être appliquée, y compris des examens techniques. Emballée
applications devraient idéalement pas être modifiés. Les chèques doivent être faits pour la
fuite d'informations par exemple via des canaux cachés et chevaux de Troie, si ceux-ci sont
une préoccupation. Un certain nombre de surveillance et des contrôles de surveillance sont
présentées pour le développement externalisé.

12.6 Techniques de gestion des vulnérabilités

Vulnérabilités techniques dans les systèmes et les applications doivent être contrôlés par la
surveillance de l'annonce des failles de sécurité pertinentes, et le risque-évaluer et appliquer
les correctifs de sécurité applicables rapidement.

Section 13: Gestion d'incidents de sécurité

Sécurité de l'information événements, des incidents et des faiblesses (y compris les quasi-
accidents) doit être signalé sans délai et correctement gérées.

13,1 Reporting dans les événements de sécurité de l'information et des faiblesses

Une déclaration d'incident ou de la procédure d'alarme est demandée, plus la réponse associée
et les procédures d'escalade. Il devrait y avoir un point de contact central, et tous les
employés, les entrepreneurs, etc... Devraient être informés de leurs rapports d’incidentes
responsabilités.

13.2 Gestion des incidents de sécurité de l'information et des améliorations

Les responsabilités et les procédures sont requises pour gérer les incidents de façon cohérente
et efficace, à mettre en œuvre l'amélioration continue (apprentissage des leçons), et de
recueillir des preuves médico-légales.

Section 14: Gestion de la continuité

Cette section décrit la relation entre les TI de planification de reprise après sinistre, la gestion
de continuité des opérations et planification d'urgence, allant de l'analyse et la documentation
grâce à l'exercice régulier / test des plans. Ces contrôles visent à minimiser l'impact des
incidents de sécurité qui se produisent en dépit des contrôles préventifs noté par ailleurs dans
la norme.
Section 15: Conformité

15.1 Conformité aux exigences légales

L'organisation doit se conformer à la législation applicable, comme le copyright, protection

des données, protection des données financières et autres actes d'état civil, les restrictions à la
cryptographie, etc. règles de preuve.

15.2 Conformité avec les politiques et normes de sécurité et de conformité technique

Les gestionnaires et les propriétaires de système doit assurer la conformité avec les politiques
et normes de sécurité, par exemple grâce à des examens réguliers plate-forme de sécurité,
tests de pénétration, etc. entrepris par les testeurs compétentes.

15.3 Systèmes d'information des considérations d'audit

Les audits devraient être soigneusement planifiés pour minimiser les perturbations pour les
systèmes opérationnels. De puissants outils d'audit / installations doivent également être
protégés contre toute utilisation non autorisée.

Les avantages
• Organisation : image positive auprès des actionnaires lorsque l'entreprise tend à
maîtriser ses risques pour maximiser ses profits
• Conformité : la norme insiste sur la nécessité d'identifier toutes les lois et
réglementations s'appliquant à l'entreprise et la mise en œuvre de processus adaptés
pour identifier et suivre les obligations permet de prouver au moins la volonté de
conformité, ce qui tend à diminuer les amendes en cas de non-conformité
• Gestion des risques : la norme insiste dans ses chapitres d’introduction sur la
nécessité de réaliser une analyse de risques périodiquement et définit dans les
domaines « politique de sécurité » et « organisation de la sécurité » les pratiques à
mettre en œuvre pour gérer les risques mis en lumière par l’analyse de risque. Ceci
permet une meilleure connaissance des risques et donc une meilleure allocation des
ressources permettant d’améliorer la fiabilité du système.
• Finances : associant une meilleure maîtrise des risques, une meilleure gestion des
incidents et une meilleure allocation des ressources, la mise en place d’un SMSSI
s’appuyant sur les normes ISO 27001 et 27002 permet une meilleure maîtrise des
coûts de la sécurité des systèmes d’information.
• Crédibilité et confiance : la mise en place d'une politique de sécurité et des moyens
associés donne une image rassurante pour les partenaires et les clients, notamment sur
la protection des données personnelles (sujet très médiatique, avec le syndrome du
« big brother »).
• Ressources humaines : s'appuyer sur une norme permet de mieux faire passer les
messages de sensibilisation, notamment auprès des populations techniques.
Normes nationales apparentées :

Australie/Nouvelle Zélande AS/NZS ISO/IEC 27002:2006

Brésil ISO/IEC NBR 17799/2007 - 27002
La République tchèque ČSN ISO/IEC 27002:2006
Danemark DS484:2005
Estonie EVS-ISO/IEC 17799:2003, 2005
Japon JIS Q 27002
Lituanie LST ISO/IEC 17799:2005
Les pays bas NEN-ISO/IEC 17799:2002 nl, 2005
La Pologne PN-ISO/IEC 17799:2007, based on ISO/IEC 17799:2005
Le Pérou NTP-ISO/IEC 17799:2007
L’Afrique du sud SANS 17799:2005
Espagne UNE 71501
La suède SS 627799
Turquie TS ISO/IEC 27002
Le royaume uni BS ISO/IEC 27002:2005
L'Uruguay UNIT/ISO 17799:2005
Russie ГОСТ/Р ИСО МЭК 17799-2005
Chine GB/T 22081-2008v

∗ Norme 27003
Introduction :

Partie de la série ISO / CEI 27000 : une norme de sécurité de l'information en cours
d'élaboration par l'Organisation internationale de normalisation (ISO) et la Commission
électrotechnique internationale (CEI). Son titre actuel est technologie de l'information -
Techniques de sécurité. Information Security Management System mise en œuvre des
orientations.
Objectif de la norme
Le but de l'ISO / CEI 27003 est de fournir aide et les conseils à mettre en œuvre un ISMS
(Information Security Management System).

ISO / IEC 27003 guide la conception d'une norme ISO / IEC 27001-SGSI conforme,
conduisant à l'ouverture d'un SMSI [la mise en œuvre du projet]. Il décrit le processus du
SMSI et la spécification de conception, du début jusqu'à la production des plans d'exécution
des projets, couvrant la préparation et la planification des activités préalables à la mise en
œuvre effective, et en prenant des éléments clés tels que:

• Approbation de la direction et l'autorisation définitive de procéder à l'exécution des

projets;
• Détermination de la portée et la définition des limites en termes de TIC et les lieux
physiques;
• L'évaluation des risques sécurité de l'information et de la planification des traitements
de risque appropriés, le cas échéant en définissant des exigences de contrôle de
sécurité de l'information;
• Conception de l'ISMS;
• La planification du projet mise en œuvre.

Structure et contenu de la norme

Voici la structure, en baisse vers les lignes de deuxième niveau:

1. Étendue

2. Références normatives

3. Termes et définitions

4. La structure de cette norme internationale

4.1 Structure générale des clauses

4.2 Structure générale d'une clause

4.3 Diagrammes

5. Obtention de la gestion d'approbation pour le lancement d'un

projet ISMS

5.1 Aperçu de l'homologation de gestion pour le lancement du projet ISMS

5.2 Clarifier les priorités de l'organisation à mettre en place un SMSI

5.3 Préciser la portée préliminaire ISMS

5.4 Créer la rentabilisation et la planification du projet pour approbation par la
direction

6 définissant ISMS étendue, des limites et la politique ISMS

6.1 Aperçu sur la définition de la portée du SMSI, les limites et la politique ISMS

6.2 définissent la portée et les limites de l'organisation

6.3 Définir la communication technologie de l'information (TIC) portée et limites

6.4 Définir la portée et les limites géographiques

6.5 Intégrer chaque étendue et les limites afin d'obtenir la portée et les limites ISMS

6.6 Élaborer la politique ISMS et obtenir l'approbation de la direction

7 de la sûreté de l'analyse des exigences d'information

7.1 Aperçu de mener des exigences de sécurité d'analyse des informations

7.2 Informations de sécurité définissent les exigences pour le processus de SMSI

7.3 identifier des biens dans le cadre du SMSI

7.4 Procéder à une évaluation de sécurité de l'information

8 Mener une évaluation des risques et de planification de

traitement des risques

8.1 Aperçu de mener une évaluation des risques et de planification de traitement des
risques

8.2 Mener l'évaluation des risques

8.3 Sélectionner les objectifs de contrôle et les contrôles

8.4 Obtenir l'autorisation de gestion pour mettre en œuvre et l'exploitation d'un ISMS

9 Design le SGSI

9.1 Aperçu de la conception d'un ISMS

9.2 Design sécurité de l'information organisationnelle

9.3 Design TIC et de sécurité de l'information physique

9.4 Conception ISMS sécurité de l'information spécifique

 9.5 Produire le plan final du projet ISMS

Annexe A

Une liste de contrôle mise en œuvre du SMSI

Annexe B

Rôles et responsabilités en matière de sécurité de l'information

Annexe C

Informations sur l'audit interne

Annexe D

Information sur la structure politique de sécurité

Annexe E

Monitoring and measuring the ISMS_ Surveiller et mesurer le SGSI

Histoire de l'ISO / CEI 27003

Publication de l'ISO / CEI 27003 a été approuvée par l'ISO / CEI JTC1/SC27 en dépit
des inquiétudes significatives de certains organismes nationaux qui ont soumis des centaines
de pages de commentaires dans la phase finale du processus d'élaboration des normes. Il a été
convenu de reporter de commentaires significatifs à une révision de la norme après sa
publication.

∗ Norme 27004:2009
Introduction
ISO / CEI 27004 couvre les mesures de gestion de sécurité de l'information, généralement
connu comme les mesures de sécurité. Élaborée par l'Organisation internationale de
normalisation (ISO) et la Commission électrotechnique internationale (CEI). Son nom
complet est la technologie de l'information - Techniques de sécurité - Gestion de la sécurité -
Mesure.
OBJECTIF
Le but de la norme ISO / IEC 27004 est d'aider les organisations à mesurer, rapporter et
donc d'améliorer systématiquement l'efficacité de leurs systèmes de gestion de sécurité de
l'information (SGSI).

La norme est destinée à aider les organisations à mesurer, rendre compte et donc d'améliorer
systématiquement l'efficacité de leurs systèmes de gestion de l'information de sécurité.