ISO 27001 et 27002 : le système de management de la sécurité

Pour un salarié, un système de management se voit surtout dans les règles du quotidien et dans le fait de savoir à qui s'adresser. La CISA cite les gestes d'hygiène de base : mots de passe robustes, mises à jour, prudence avec les liens, authentification multifacteur⁷. Elle propose aussi des formations et des ateliers, par exemple un atelier d'initiation pour des responsables locaux sur les menaces courantes et les pratiques de base⁷.

Le signalement fait partie de la démarche. La CISA affirme que chacun peut aider à écarter une menace en signalant une activité suspecte ou un comportement étrange⁷. Les sources citées ici ne précisent pas la procédure interne d'une entreprise donnée : elle dépend de l'organisation, et c'est elle qui la communique.

Le NCSC écrit que l'amélioration des résultats de l'activité doit être le moteur principal de la gestion du risque cyber. Il défend une gestion « qui éclaire les risques cyber réels » de l'organisation, plutôt que des techniques qui cherchent seulement à satisfaire des exigences de conformité². Il précise que son guide n'est pas prescriptif et qu'aucune technique ne convient à toutes les situations².

Pour les conseils d'administration, le NCSC a publié une boîte à outils organisée autour du Cyber Governance Code of Practice. Elle contient deux modules d'introduction, dont un pour ceux qui découvrent la cybersécurité, ainsi qu'un document de questions que le conseil peut poser pour évaluer la performance de l'organisation³.

Dans son guide SP 800-30 Rev. 1 (septembre 2012), le NIST décrit l'analyse de risques comme une part d'un processus global de gestion du risque, qui fournit aux dirigeants les informations pour décider⁴.

Les textes ISO ne figurent pas dans les sources citées ici : leur contenu précis (exigences, mesures, périmètre, déclaration d'applicabilité, déroulement d'une certification) n'est donc pas résumé ici.

Les sources donnent en revanche des éléments sur des référentiels voisins. Le catalogue SP 800-53 Rev. 5 du NIST (publié en septembre 2020) rassemble des mesures de sécurité et de protection de la vie privée pour protéger les opérations, les actifs et les personnes contre des menaces variées, dont les attaques hostiles, les erreurs humaines et les catastrophes naturelles¹. Il compte des familles de mesures comme le contrôle d'accès, la sensibilisation et la formation, la réponse aux incidents ou l'évaluation des risques¹.

Le Cybersecurity Framework du NIST, dans sa version 2.0, est présenté comme un outil pour réduire les risques cyber, avec des guides de démarrage rapide, des profils et des tables de correspondance avec d'autres ressources⁵. Un guide de démarrage destiné aux petites et moyennes entreprises propose des ressources pour lancer une stratégie de gestion du risque⁶.

Le NIST propose enfin un outil de référence en ligne sur la cybersécurité et la vie privée, le CPRT⁸.

Aucune des sources citées ici ne traite de l'application de NIS 2, de la réglementation européenne ou des ressources de l'ANSSI. Aucune ne donne la durée ni le calendrier d'une certification ISO 27001. Ces éléments restent à documenter avec des sources adaptées.

Ce que les sources permettent de dire sur l'état des référentiels cités : le NIST a publié une version mineure de SP 800-53, la 5.2.0, le 27 août 2025, avec de nouvelles mesures et des révisions de mesures existantes¹. Il a aussi mis en ligne trois cours d'introduction autodirigés sur le catalogue SP 800-53, ses procédures d'évaluation (SP 800-53A) et ses niveaux de référence (SP 800-53B)⁶. Le NCSC indique pour sa boîte à outils une version 3.0, revue le 8 avril 2025³.