--- id: CP-376 slug: iso-27001-27002-smsi lang: fr title: "ISO 27001 et 27002 : le système de management de la sécurité" description: Ce qu'un système de management de la sécurité de l'information change pour un salarié et pour sa direction, avec les ressources du NIST et du NCSC. canonical_url: https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, « ISO 27001 et 27002 : le système de management de la sécurité », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ (CC BY 4.0)" wing: 6 theme: safeguard_data reflex: cr-032 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ en: https://startbrain.io/cyberpedia/en/articles/iso-27001-27002-isms/ de: https://startbrain.io/cyberpedia/de/articles/iso-27001-27002-isms-de/ es: https://startbrain.io/cyberpedia/es/articles/iso-27001-27002-sgsi/ sources: - "n": 1 title: Security and Privacy Controls for Information Systems and Organizations publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" - "n": 2 title: Risk management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/risk-management published: "2023-06-23" accessed: "2026-11-03" - "n": 3 title: Cyber Security Toolkit for Boards publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/board-toolkit published: "2023-03-30" accessed: "2026-11-03" - "n": 4 title: Guide for Conducting Risk Assessments publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/30/r1/final accessed: "2026-11-03" - "n": 5 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 6 title: CSF 2.0 Resources publisher: NIST url: https://www.nist.gov/cyberframework/resources published: "2024-03-06" accessed: "2026-11-03" - "n": 7 title: Cybersecurity Best Practices publisher: CISA url: https://www.cisa.gov/topics/cybersecurity-best-practices accessed: "2026-11-03" - "n": 8 title: Cybersecurity and Privacy Reference Tool CPRT publisher: NIST url: https://csrc.nist.gov/projects/cprt/catalog accessed: "2026-11-03" --- # ISO 27001 et 27002 : le système de management de la sécurité Cette fiche porte sur la gestion de la sécurité de l'information dans une organisation (SMSI), du point de vue d'un salarié et de sa direction. Une seule des sources citées ici mentionne une norme ISO, l'ISO/IEC 27001:2022 [1]. Les sources citées ici viennent d'organismes publics américains et britanniques (NIST, NCSC, CISA). Elles ne reproduisent pas le texte des normes ISO, ni celui de la directive NIS 2, ni les publications de l'ANSSI. Ces points ne sont donc pas décrits ici : la fiche s'en tient à ce que ces sources établissent sur la gestion du risque, le rôle de la direction et les référentiels de mesures. ## En 30 secondes - Où ça arrive : dans toute organisation qui gère le risque cyber de façon structurée, au niveau de la direction comme des équipes. - Ce que cela vise : décider des mesures de sécurité selon les risques réels de l'organisation, et non pour cocher une exigence [2]. - Le réflexe : si une activité ou un comportement vous paraît suspect, signalez-le, car le simple signalement compte [7]. ## Questions directes ### Qu'est-ce qu'un SMSI, concrètement ? Les sources citées ici ne définissent pas le terme. Le NCSC décrit une démarche voisine : des concepts de base, puis des étapes de haut niveau qui peuvent servir de socle à tout processus de gestion du risque cyber [2]. ### Quel est le lien avec ISO 27001 et 27002 ? Les sources citées ici ne décrivent pas ces normes. Une seule les mentionne : le NIST publie une correspondance entre son catalogue de mesures SP 800-53 Rev. 5 et l'ISO/IEC 27001:2022 [1]. Le NIST ajoute que ces tableaux donnent une indication générale de couverture, qu'il ne faut pas supposer une équivalence à partir d'eux, et que les correspondances ne sont pas toujours terme à terme [1]. ### Que doit faire la direction ? Le NCSC a rédigé une boîte à outils pour les conseils d'administration. Elle accompagne un code de bonnes pratiques de gouvernance cyber et veut aider les conseils à intégrer la résilience et la gestion du risque dans les personnes, les systèmes, les processus et les technologies de l'organisation [3]. ### Que doit faire un salarié ? La CISA range dans l'hygiène de base les mots de passe robustes, la mise à jour des logiciels, la prudence devant les liens suspects et l'authentification multifacteur [7]. Elle écrit que ces bases valent pour les particuliers comme pour les organisations [7]. Elle invite aussi à signaler tout comportement suspect [7]. ## Ce que ça change pour un salarié Pour un salarié, un système de management se voit surtout dans les règles du quotidien et dans le fait de savoir à qui s'adresser. La CISA cite les gestes d'hygiène de base : mots de passe robustes, mises à jour, prudence avec les liens, authentification multifacteur [7]. Elle propose aussi des formations et des ateliers, par exemple un atelier d'initiation pour des responsables locaux sur les menaces courantes et les pratiques de base [7]. Le signalement fait partie de la démarche. La CISA affirme que chacun peut aider à écarter une menace en signalant une activité suspecte ou un comportement étrange [7]. Les sources citées ici ne précisent pas la procédure interne d'une entreprise donnée : elle dépend de l'organisation, et c'est elle qui la communique. ## Ce que ça change pour la direction Le NCSC écrit que l'amélioration des résultats de l'activité doit être le moteur principal de la gestion du risque cyber. Il défend une gestion « qui éclaire les risques cyber réels » de l'organisation, plutôt que des techniques qui cherchent seulement à satisfaire des exigences de conformité [2]. Il précise que son guide n'est pas prescriptif et qu'aucune technique ne convient à toutes les situations [2]. Pour les conseils d'administration, le NCSC a publié une boîte à outils organisée autour du Cyber Governance Code of Practice. Elle contient deux modules d'introduction, dont un pour ceux qui découvrent la cybersécurité, ainsi qu'un document de questions que le conseil peut poser pour évaluer la performance de l'organisation [3]. Dans son guide SP 800-30 Rev. 1 (septembre 2012), le NIST décrit l'analyse de risques comme une part d'un processus global de gestion du risque, qui fournit aux dirigeants les informations pour décider [4]. ## Ce que dit le texte Les textes ISO ne figurent pas dans les sources citées ici : leur contenu précis (exigences, mesures, périmètre, déclaration d'applicabilité, déroulement d'une certification) n'est donc pas résumé ici. Les sources donnent en revanche des éléments sur des référentiels voisins. Le catalogue SP 800-53 Rev. 5 du NIST (publié en septembre 2020) rassemble des mesures de sécurité et de protection de la vie privée pour protéger les opérations, les actifs et les personnes contre des menaces variées, dont les attaques hostiles, les erreurs humaines et les catastrophes naturelles [1]. Il compte des familles de mesures comme le contrôle d'accès, la sensibilisation et la formation, la réponse aux incidents ou l'évaluation des risques [1]. Le Cybersecurity Framework du NIST, dans sa version 2.0, est présenté comme un outil pour réduire les risques cyber, avec des guides de démarrage rapide, des profils et des tables de correspondance avec d'autres ressources [5]. Un guide de démarrage destiné aux petites et moyennes entreprises propose des ressources pour lancer une stratégie de gestion du risque [6]. Le NIST propose enfin un outil de référence en ligne sur la cybersécurité et la vie privée, le CPRT [8]. ## Où en est l'application Aucune des sources citées ici ne traite de l'application de NIS 2, de la réglementation européenne ou des ressources de l'ANSSI. Aucune ne donne la durée ni le calendrier d'une certification ISO 27001. Ces éléments restent à documenter avec des sources adaptées. Ce que les sources permettent de dire sur l'état des référentiels cités : le NIST a publié une version mineure de SP 800-53, la 5.2.0, le 27 août 2025, avec de nouvelles mesures et des révisions de mesures existantes [1]. Il a aussi mis en ligne trois cours d'introduction autodirigés sur le catalogue SP 800-53, ses procédures d'évaluation (SP 800-53A) et ses niveaux de référence (SP 800-53B) [6]. Le NCSC indique pour sa boîte à outils une version 3.0, revue le 8 avril 2025 [3]. ## Sources 1. NIST, « Security and Privacy Controls for Information Systems and Organizations ». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consulté le 3 novembre 2026) 2. NCSC (Royaume-Uni), « Risk management », 23 juin 2023. https://www.ncsc.gov.uk/collection/risk-management (consulté le 3 novembre 2026) 3. NCSC (Royaume-Uni), « Cyber Security Toolkit for Boards », 30 mars 2023. https://www.ncsc.gov.uk/collection/board-toolkit (consulté le 3 novembre 2026) 4. NIST, « Guide for Conducting Risk Assessments ». https://csrc.nist.gov/pubs/sp/800/30/r1/final (consulté le 3 novembre 2026) 5. NIST, « Cybersecurity Framework ». https://www.nist.gov/cyberframework (consulté le 3 novembre 2026) 6. NIST, « CSF 2.0 Resources », 6 mars 2024. https://www.nist.gov/cyberframework/resources (consulté le 3 novembre 2026) 7. CISA, « Cybersecurity Best Practices ». https://www.cisa.gov/topics/cybersecurity-best-practices (consulté le 3 novembre 2026) 8. NIST, « Cybersecurity and Privacy Reference Tool CPRT ». https://csrc.nist.gov/projects/cprt/catalog (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/iso-27001-27002-smsi/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.