ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection - Information security management systems - Requirements
Articles structurants documentés dans la cartographie ACF.
Comprendre l'organisation et son contexte, les besoins et attentes des parties intéressées, déterminer le périmètre du ISMS et l'établir.
Engagement visible de la direction, politique de sécurité de l'information, attribution des rôles, responsabilités et autorités.
Actions face aux risques et opportunités, processus formel d'évaluation des risques de sécurité de l'information, processus de traitement des risques, objectifs de sécurité et planification du changement.
Ressources, compétences, sensibilisation, communication, information documentée : tous les éléments supportant le ISMS.
Planification et contrôle opérationnels, processus d'évaluation et de traitement des risques en opération.
Surveillance, mesure, analyse et évaluation. Audit interne et revue de direction du ISMS.
Amélioration continue, traitement des non-conformités et actions correctives.
93 contrôles de référence regroupés en 4 thèmes : Organisational (37 contrôles A.5), People (8 contrôles A.6), Physical (14 contrôles A.7), Technological (34 contrôles A.8). 11 contrôles nouveaux par rapport à la version 2013 (incl. Threat Intelligence, Cloud Security, ICT readiness, Data masking, etc.).
Politiques de sécurité, rôles et responsabilités, ségrégation des tâches, contact avec les autorités et groupes spécialisés, threat intelligence (A.5.7 nouveau), sécurité dans la gestion de projet, classification d'information, gestion des identités, gestion des fournisseurs, sécurité cloud (A.5.23 nouveau), continuité et reprise.
Gestion des accès, authentification, données, sécurité des réseaux, journalisation, secure coding (A.8.28 nouveau), data masking (A.8.11 nouveau), data leakage prevention (A.8.12 nouveau), monitoring activités (A.8.16 nouveau), filtrage web (A.8.23 nouveau).
Obligations actionnables catégorisées : documentation, process, technique, gouvernance, notification.
Établir une politique de sécurité de l'information documentée approuvée par la direction (5.2)
Définir les rôles, responsabilités et autorités sécurité (5.3)
Définir un processus d'évaluation des risques de sécurité (6.1.2)
Produire une Statement of Applicability listant les contrôles Annexe A retenus / exclus (6.1.3(d))
Définir et mettre en œuvre un plan de traitement des risques (6.1.3)
Implémenter les 93 contrôles Annexe A sélectionnés (4 thèmes : Org / People / Physical / Tech)
Conduire des audits internes planifiés (9.2) et revues de direction (9.3)
Mettre en œuvre amélioration continue et actions correctives (10.1, 10.2)
Encadrer les relations fournisseurs et services cloud (A.5.19 à A.5.23)
Mettre en place threat intelligence, monitoring, DLP, secure coding (contrôles 2022)
Standard ISO volontaire - pas de sanctions légales
Conséquences en cas de non-conformité identifiée lors d'un audit de certification
ISO/IEC 27001 fournit le socle de gouvernance de sécurité de l'information sur lequel les exigences AI Act et frameworks spécifiques se construisent. Articulation pratique : (1) le AI Act art. 15 (précision, robustesse, cybersécurité) renvoie largement aux pratiques 27001 - une certification existante simplifie la démonstration de conformité ; (2) ISO/IEC 27001 et ISO/IEC 42001 partagent la structure de haut niveau (Annexe SL), ce qui permet une intégration efficiente des deux SMS en un seul management system ; (3) plusieurs contrôles Annexe A 2022 (A.5.7 threat intelligence, A.5.23 cloud, A.8.28 secure coding) sont des pré-requis pratiques pour qualifier la cybersécurité de systèmes IA haut-risque ; (4) ISO/IEC 27001 est aussi présumé pertinent pour DORA art. 9-10 (protection / détection) et NIS2 art. 21.