SMSI : Système de management de la sécurité de l'information (ISMS en anglais)
Sécurité
SMSI : système de management de la sécurité de l'information, en anglais ISMS (Information Security Management System). « L'organisation qui décide, par écrit et avec des responsables nommés, quels risques on traite, comment, et qui vérifie que c'est fait », par analogie avec le carnet d'entretien d'un immeuble : il ne répare aucune fuite, mais il dit qui devait passer, quand, et pourquoi le plafond est tombé quand même.
Ce que c'est : Un ensemble de politiques, de processus, de rôles et de contrôles qui organise la gestion des risques de sécurité : identifier les risques, choisir les mesures, désigner les responsables, mesurer leur exécution, corriger les écarts et recommencer. Le cycle suit la logique « planifier, faire, vérifier, agir », roue que l'on fait tourner chaque année en espérant qu'elle avance.
Norme de référence : ISO/IEC 27001 fixe les exigences d'un SMSI ; sa version en vigueur date de 2022. Son annexe A propose 93 mesures de sécurité, détaillées dans ISO/IEC 27002. L'organisme choisit celles qu'il applique et justifie ses choix dans une déclaration d'applicabilité.
Certification : Un organisme accrédité audite le SMSI sur un périmètre déclaré ; le certificat vaut trois ans, avec des audits de surveillance intermédiaires. Il atteste qu'un système de gestion fonctionne sur ce périmètre, pas que les systèmes sont inviolables, ni que le service acheté par le client se trouve dans le périmètre : la frontière se lit dans le certificat, rarement dans la plaquette commerciale.
Ce qui arrive si on s'en passe
Sans SMSI, la sécurité repose sur la mémoire et la bonne volonté de quelques personnes : les risques ne sont pas recensés, les mesures sont prises au gré des incidents, et personne n'est chargé de vérifier qu'un correctif a été appliqué ou qu'un accès a été retiré au départ d'un salarié. Les mêmes failles reviennent d'un audit à l'autre, puisque rien n'oblige à les suivre. Et lorsque survient l'incident, l'organisation découvre qu'elle ne sait ni quels actifs étaient critiques, ni qui devait les protéger, ce qui permet au moins à chacun d'être sincèrement surpris.
Explication de la marmotte
Une entreprise protège ses informations avec beaucoup de mesures : mots de passe, sauvegardes, contrôles d'accès. Un SMSI est la façon d'organiser tout cela : on fait la liste des risques, on choisit quoi faire contre chacun, on désigne qui s'en occupe et on vérifie régulièrement que c'est bien fait. La norme ISO 27001 décrit comment construire ce système, et une entreprise peut se faire certifier par un auditeur extérieur. Le certificat prouve que l'organisation est sérieuse sur un périmètre précis, pas qu'aucune attaque ne réussira jamais.
Où ce terme est utilisé
- Que garantit réellement une certification ISO 27001 (8 occurrences)
- Pourquoi ISO 27001 ne garantit pas la sécurité (4 occurrences)
- Évaluer la sécurité d'un fournisseur d'IA générative (1 occurrence)
- ISO (1 occurrence)
- Pourquoi les certifications pénalisent les PME rigoureuses (1 occurrence)