[Virtual Presenter] Bienvenue à ce module 4 consacré à la norme ISO 27001 et à sa phase de mise en place. Au cours de cette étape, les objectifs du Système de Management de la Sécurité de l'Information sont déterminés. Cette phase comprend quatre étapes. La première étape consiste à définir la politique et le périmètre du SMSI. Plus précisément, le périmètre désigne le domaine d'application du SMSI et ce qu'il inclut, tandis que la politique précise le niveau de sécurité à appliquer aux informations de l'entreprise. Ces deux éléments sont entièrement libres et constituent un outil essentiel de souveraineté pour la société.. 

Scene 1

q Phase d'établissement (to Plan)
On y détermine les objectifs du SMSI. Cette phase d'établissement du SMSI comprend 4 
étapes :

•
Étape 1 : Définir la politique et le périmètre du SMSI

Périmètre : domaine d’application du SMSI. Son choix est libre, mais il est essentiel, car il 
figure ensuite le périmètre de certification. Il doit comprendre tous les actifs métiers (actifs 
primordiaux au sens de la norme ISO/CEI 27005) et les actifs support à ces activités qui sont 
impliquées dans le SMSI.

Politique : niveau de sécurité (intégrité, confidentialité, disponibilité de l’information) qui 
sera pratiqué au sein de l’entreprise. La norme n’impose pas de niveau minimum de sécurité 
à atteindre dans le SMSI. Son niveau devant être proportionné aux risques évalués.

Le choix du périmètre et de la politique étant libre, ces deux éléments sont des « leviers de 
souveraineté » pour l’entreprise. Ainsi, une entreprise peut être certifiée ISO 27001 tout en 
définissant un périmètre très réduit et une politique de sécurité peu stricte et sans répondre 
aux exigences de ses clients en matière de sécurité.

[Audio] La seconde étape du Plan de Management de la Sécurité de l'Information (SMSI) consiste à identifier et à évaluer les risques liés à la sécurité et à élaborer la politique de sécurité correspondante. La norme ISO 27001 ne précise pas de méthode particulière à adopter pour estimer ces risques ; ainsi, les entreprises peuvent choisir de s'appuyer sur un modèle existant ou bien de créer le leur conformément aux exigences du SMSI. La méthode EBIOS développée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information) est l'une des méthodes les plus usitées. Elle prend en compte 7 facteurs à prendre en considération pour évaluer les risques : les actifs, les responsables, les vulnérabilités, les menaces, les impacts et le potentiel des risques, ainsi que les niveaux de risque.. 

Scene 2

Étape 2 : Identifier et évaluer les risques liés à la sécurité et élaborer la politique de 
sécurité
La norme ISO 27001 ne donne pas de directives sur la méthode d’appréciation des risques à 
adopter. Les entreprises peuvent donc en inventer une en veillant à bien respecter le cahier 
des charges ou en choisir une parmi les plus courantes notamment la méthode EBIOS 
(Expression des Besoins et Identification des Objectifs de Sécurité) mise en place en France 
par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). Le cahier des 
charges relatif à l’appréciation des risques se développe en 7 points :

2.
Identifier les personnes responsables;

5.
Identifier leurs impacts sur les actifs à défendre;

6.
Évaluer la vraisemblance ou potentialité du risque;

7.
Estimer les niveaux de risque, fonction de leur potentialité et de leur impact.

ISO27001––FORMITYS – 28/07/2023
55. Module 4: ISO 27001 – to PLAN. 

Scene 3

Module 4: ISO 27001 -to PLAN
Identification des actifs
ISO/IEC 27005, article 8.2.2 Annexe B.I.I
Un actif désigne tout élément ayant de la valeur pour l'organisme et nécessitant,
par conséquent, une protection.
Deux types d'actifs
Actifs primordiaux
Information
Processus métier
et activités
IS027001—FORMITYS - 28/07/2023
Actifs en support
Matériel informatique
Logiciel
Réseau
Personnel
Site
Structure de l'organisme
55

[Audio] Lors de la phase d'établissement du SMSI, on définit sa politique et son périmètre. Il convient ensuite de déterminer les menaces qui pouraient porter atteinte aux éléments essentiels du système d'information. Une fois ces menaces estimées, il est possible de définir les risques et d'appliquer des critères d'évaluation en vue de les hiérarchiser.. 

Scene 4

Module 4: – to PLAN - ISO 27005 Gestion des risques liés à la 
sécurité de l’information

Démarche proposée par l’ISO/CEI 27005

Ø Établissement du contexte
Il faut tout d’abord définir des critères :

•
d’évaluation : seuil de traitement des risques, localement par actif menacé et globalement, pour 
toute l'organisation ;

•
d’impact : seuil de prise en compte des risques ;

•
d’acceptation : seuil d’acceptation des risques ;

Il n’existe pas d’échelles normalisées pour ces critères. L’entreprise doit déterminer une échelle 
pertinente en fonction de sa situation. Il faut également définir les champs, les limites et 
l’environnement du processus de gestion du risque.

Ø Appréciation des risques
La première étape consiste à définir le contexte de la certification et les éléments qui le composent 
tels que l’organisme, le système d’information, les éléments essentiels à protéger les entités qui en 
dépendent et les différentes contraintes qui peuvent se présenter.
Ensuite, il est nécessaire d’exprimer les besoins de sécurité des éléments essentiels et, identifier, 
caractériser en termes d’opportunités les menaces pesant sur le système d’information.
Enfin, les risques sont déterminés en confrontant les menaces aux besoins de sécurité. Ces risques 
seront analysés et évalués afin de donner des priorités et les ordonnancer par rapport à leurs critères 
d'évaluation.

[Audio] "SMSI établissement phase comprend quatre étapes. Une des principales étapes est définir politique et périmètre SMSI. Cette étape est libre et est un "levier de souveraineté" très important pour entreprise. C'est pourquoi il est important de connaître différentes options de traitement risque. Il y a quatre options : refus ou évitement, transfert, réduction ou autoriser conservation risque. Ces options appliquent à l'impact et/ou à potentialité d'un risque pour le rendre acceptable.. 

Scene 5

Module 4: – to PLAN  - ISO 27005 Gestion des risques liés à la 
sécurité de l’information

Ø Traitement du risque
Il s’agit du processus de sélection et de mise en œuvre des mesures. Cela passera tout d’abord par 
l’identification des objectifs de sécurité : détermination des modes de traitement et prise en compte 
des éléments du contexte. Les objectifs ainsi identifiés constitueront le cahier des charges du 
processus de traitement des risques. Ensuite, des exigences de sécurité seront déterminées afin de 
satisfaire les objectifs de sécurités et décrire comment traiter les risques.

Pour définir les options de traitement, il faut mettre en adéquation le risque et le coût de traitement. Il 
existe quatre options du traitement du risque :

•
Le refus ou l’évitement : le risque considéré est trop élevé, l’activité amenant le risque doit être 
supprimée.

•
Le transfert : le risque sera partagé avec une autre entité (un assureur, un sous-traitant) capable 
de le gérer.

•
La réduction : le risque doit être diminué. Il s’agit d'en réduire l’impact et/ou la potentialité de 
manière que le risque soit acceptable.

•
Conservation du risque : le risque est maintenu tel quel.

[Audio] La phase d'établissement du SMSI comprend 4 étapes, dont la définition de la politique et du périmètre du SMSI. Cette définition peut être considérée comme un "levier de souveraineté" pour l'entreprise. Cela signifie que définir la politique et le périmètre du SMSI permet à l'entreprise d'adapter ses objectifs et plans de sécurité à ses besoins et critères stratégiques. Il est ensuite nécessaire d'effectuer une acceptation du risque et une communication du risque à toutes les parties prenantes concernées.. 

Scene 6

Ø Acceptation du risque
Il s’agit d’une homologation de sécurité effectuée par une autorité d’homologation désignée pour une 
durée déterminée. Cette homologation passe par l’examen d’un dossier de sécurité dont le contenu 
doit être défini : objectifs de sécurité, d'une cible de sécurité, politique de sécurité… La direction 
générale doit accepter les risques résiduels, donc accepter le plan de traitement du risque dans son 
ensemble.

Ø Communication du risque
Il s’agit d’un échange et un partage régulier d’informations sur les risques entre le gestionnaire des 
risques, les décisionnaires et les parties prenantes concernant la gestion du risque.

[Audio] La phase d'établissement du SMSI est cruciale pour assurer la sûreté des informations. Elle se décompose en 4 étapes distinctes, notamment la définition de la politique et du périmètre du SMSI. Il s'agit d'un outil de gouvernance pour l'entreprise, qui va déterminer le cadre d'intervention et de protection des informations. La première étape est le plan de gestion des risques. Il est nécessaire de mettre en place une matrice des responsabilités et des rôles pour chaque membre de l'équipe, ainsi qu'un budget pour couvrir les risques. La seconde étape est l'identification des risques par analyse par phase, analyse par check list, DELPHI, brainstorming et enfin le modèle de la méthode "7D". Une fois les menaces identifiées, il est important de les vérifier et de les enregistrer dans le Registre des risques.. 

Scene 7

Module 4: – to PLAN - ISO 27001, ISO 27005, ISO 31000

q La Gestion des Risques de Sécurité peut s’intégrer à la Gestion des Risques ISO 31000

ETAPE N°1 : 
Planification de la gestion des risques
Matrice des Responsabilités de la gestion des risques
Rôle que l'équipe de projet
Provision pour risque

ETAPE N°2 : Identifier les risques
démarche générale
L’analyse par phase
L’analyse par check list
DELPHI, Brainstorming
Identifier les risques avec "7D"

ETAPE N°3 : 
Valider les risques
le Registre de risques

[Audio] La quatrième étape de la phase d'établissement consiste à analyser qualitativement et quantitativement les risques qui peuvent affecter votre entreprise. Cette analyse va vous permettre de mieux comprendre l'impact des risques et de mettre en place des plans d'actions de prévention et de protection. La cinquième étape consiste à autoriser ces risques et définir les plans d'actions. Dans le module 4, vous trouverez les outils nécessaires pour vous aider à planifier et à mettre en œuvre ces stratégies.. 

Scene 8

ETAPE N°4 : 
Les outils de l’analyse qualitative et  quantitative 
Evaluer, l’analyse qualitative des risques
Evaluer, analyses qualitative et quantitative des risques
Evaluer, l’analyse quantitative des risques

ETAPE N°6 : 
Définir des plans d’actions
Définir des plans d’action de Prévention
Définir des plans d’action de Protection

[Audio] Pour la troisième étape du SMSI, il s'agit de traiter les risques identifiés et de calculer le risque résiduel. Il existe quatre méthodes de traitement possibles: l'évitement, la réduction, le transfert et l'assurance, présentées par ordre décroissant d'intérêt pour l'organisme. Ces options offrent plus de flexibilité et plus de souveraineté à l'organisation dans sa gestion des risques.. 

Scene 9

Étape 3 : Traiter le risque et identifier le risque résiduel par un plan de gestion

Il existe quatre traitements possibles de chacun des risques identifiés, présentés par ordre 
décroissant d'intérêt pour l'organisme :

1.
L’évitement : politique mise en place si l’incident est jugé inacceptable ou si les

mesures sont aisément accessibles. Il s'agit de réorganiser le système d'information à 
protéger de façon à éliminer totalement la potentialité du risque.

2.
La réduction : on ramène la potentialité et/ou l'impact du risque à un niveau

acceptable par la mise en œuvre de mesures techniques et organisationnelles. C'est la 
solution la plus utilisée.

3.
Le transfert (ou partage) : la part de risque qui ne peut pas être évitée ou réduite

est dénommée risque résiduel. L'organisme peut transférer la responsabilité technique de tout 
ou partie de ce risque résiduel en recourant à une solution d'externalisation de sécurité. Il 
peut aussi souscrire une assurance pour diminuer l'impact financier du risque.

[Audio] Pour la phase de planification du SMSI, il est nécessaire de définir la politique et le périmètre de la sécurité. La politique doit être formulée et validée par le plus haut niveau de l'organisation et prendre en compte tous les processus, services et ressources. Le périmètre doit être clairement défini et identifier le système ou le domaine à couvrir par le SMSI. Ces étapes sont primordiales afin de définir le cadre à mettre en place et valider les référentiels à appliquer.. 

Scene 10

4.
L’acceptation (ou maintien) : ne mettre en place aucune mesure de sécurité

supplémentaire car les conséquences du risque résiduel non transférable sont acceptables. 
Par exemple, le vol d’un ordinateur portable ne comportant pas de données primordiales 
pour l’entreprise est sans grand impact. Cette solution peut n'être que ponctuelle.

Lorsque la décision de traitement du risque est prise, l’entreprise doit identifier les risques 
résiduels c’est-à-dire ceux qui persistent après la mise en place des mesures de sécurité. S'ils 
sont jugés inacceptables, il faut définir des mesures de sécurité supplémentaires. Cette phase 
d'acceptation formelle des risques résiduels s'inscrit souvent dans un processus 
d'homologation. Le système étant homologué en tenant compte de ces risques résiduels.

[Audio] L’établissement d'un système de management de la sécurité de l'information (SMSI) se compose de quatre étapes. Il est essentiel de bien comprendre ces étapes qui constituent un "levier de souveraineté" pour l'entreprise. La première étape consiste à définir la politique de sécurité et définir le périmètre du SMSI, qui sont libres. Les autres étapes sont : identifier les risques, planifier la gestion des risques, analyser quantitativement et qualitativement les risques, planifier la réponse aux risques et suivre et contrôler les risques. Ces étapes sont indispensables pour assurer la souveraineté et la sécurité de l'entreprise.. 

Scene 11

Étape 
Planification de la gestion des risques

Étape 
Planification de la réponse aux risques

[Audio] Pour la phase d'établissement du SMSI, la définition de la politique et du périmètre est un "levier de souveraineté" pour l'entreprise. Pour la deuxième étape, il est nécessaire d'identifier les risques afin de pouvoir mettre en place un Système de Management de la Sécurité de l'Information (SMSI). Cela implique de prendre en compte des facteurs tels que réglementaires, informatiques, humains et organisationnels. Une fois ces facteurs identifiés et analysés, les équipes peuvent documenter la prise en charge et prendre des mesures pour équilibrer le coût et l'efficacité des contrôles de sécurité.. 

Scene 12

Risque ident*ié
Réalisation d 'un produit incohérent
avec Ies attentes et Ies besoins
Dépassernent de budget
Irnpossibilité de faire évoluer le budget
en cours de projet
Irnpossibilité de rnodifier Ies échéances
des
Dépassernent de l'objectif Délais
Ralentissernent de la production en
phase de finalisation
Manque de réactivité sur Ie traiternent
des anornalies apres MEP
Défaut de contröle de Ia production
rnobile
Freins dans le pilotage opérationnel
Mauvaise identification d'un validateur
Allongernent des délais de validation
Anornalies techniques dans Ies
transferts d • inforrnations
Réalisation non cornpatible avec
I' environnernent cible
Absence de référen niques en
cas de difficulté
Réalisation d'un produit non fonctionnel
In cornpréhensions sur des
spécifications techniques
Clirnat conflictuel dans uipe projet
Mauvaise perception des résultats du
CYigine du
nsques
Conséquences possibles
env isa geab les

[Audio] Résumant, la phase d'établissement du Système de Management de la sécurité des informations (SMSI) comprend 4 étapes. La définition de la politique et du périmètre du SMSI sont des éléments libres, considérés comme un "levier de souveraineté" pour l'entreprise. Parmi ces étapes, il y a le choix des mesures de sécurité à mettre en place. La norme ISO 27001 offre une annexe A qui regroupe 114 mesures de sécurité, organisées en 14 catégories. Cette annexe n'est qu'une liste et ne fournit pas de conseils de mise en œuvre au sein de l’entreprise. Pour plus de détails, nous vous prions de consulter la norme ISO 27002.. 

Scene 13

Ø Choisir les mesures de sécurité à mettre en place

La norme ISO 27001 contient une annexe A qui propose 114 mesures de sécurité 
classées en 14 catégories (politique de sécurité, sécurité du personnel, contrôle des 
accès…) Cette annexe normative, n'est qu’une liste qui ne donne aucun conseil de 
mise en œuvre au sein de l’entreprise. Les mesures sont présentées dans la norme 
ISO 27002.

[Audio] La mise en place du Système de Management de la Sécurité de l'Information (SMSI) comprend 4 étapes, dont la définition de la politique et du périmètre du SMSI, qui sont à la discrétion de l'entreprise et représentent un moyen de s'affirmer. La quatrième étape consiste à évaluer les risques. Dans cette étape, l'entreprise peut définir librement sa politique et ses limites de périmètre, ce qui constitue une force de souveraineté pour l'entreprise.. 

Scene 14

4
Evaluer les risques - Étape 4 --
Réf. syllabus : ITILFND03-7 ; ITILFND05-46
Chaque méthodologie de gestion de projet aura une approche pour identifier et gérer Ies risques. En général, il
est de la responsabilité du chef de projet afin de s'assurer que les risques sont identifiés et que des mesures
sont mises en place pour les atténuer. II s'agit d'identifier et d'analyser les risques.
Exemple de méthode d'identification et d'analyse des risques :
Evaluer les actifs critiques et les priorités métier » de leur restauration en cas de désastre.
> Évaluer les menaces possibles.
Pour chaque menace possible identifiée, évaluer Ia vulnérabilité, c'est-å-dire Ia probabilité de Ia menace.
> Calculer le niveau de risque : Risque X = Valeur (actif) x Probabilité (menace).
> En fonction des risques calculés, déterminer des contre-mesures préventives et correctives.
Analyse des
risques
Actifs
Gestion des
risques
CRAMMC)
Menaces
Ris ues
Contre-mesures
Vulnérabilités
(t) CCTA (Central Computing and Telecommunications Agency)
Risk Analysis and Management Method

[Audio] L'établissement d'un SMSI se décompose en 4 étapes, dont la définition d'une politique et d'un périmètre. La quatrième étape de ce processus consiste à évaluer les risques afin de pouvoir identifier et résoudre les vulnérabilités susceptibles d'avoir une incidence négative sur le système. La matrice de criticité est un outil qui permet de pondérer les menaces et les vulnérabilités identifiées afin de déterminer leur probabilité et leur impact respectif. Cette étape offre un moyen pour l'entreprise de prendre le contrôle et ainsi protéger ses données et systèmes.. 

Scene 15

Evaluer les risques – Étape 4 – Matrice de CRITICITE

PROBABILITE (MENACE x VULNERABILITE) / IMPACT ou GRAVITE

RISQUE - DIAGRAMME PROBABILITE 1 IMPACT 4 X 4
Tres
forte
Forte
Modérée
Faible
PROBABILITE
Faible
11
Modérée Forte
IMPACT
10
Tres forte

RISQUES PERTURBATEURS
PROBLÉMES RÉSOUDRE
RISQUES ICNORER
QISQUES NEGLIGEABLES
CRAVITÉ
RISQUES INTOLERABLES
GAAV•TC
CHANCER DE/LE PROJET
VIVRE AVECm
DE CRAVITÉ

[Audio] À la septième étape, nous devons définir les plans d'actions de protection. Il s'agit ici d'atténuer les conséquences qu'un risque avéré pourrait avoir sur le projet. Pour ce faire, la façon la plus efficace est de réduire la gravité du risque. Ainsi, il sera nécessaire de définir des actions claires permettant cette réduction et de s'assurer qu'elles soient mises en place.. 

Scene 16

ETAPE N°6 : Définir des plans d’action de Protection

Définir des plans d’actions de Protection – Étape 6
6

Réduire Ies irnpacts
potentiels sur le
déroulernent du projet
'DEALE
Action en
PROTECTION
Risque traiter
RISQUE
Action en
ANTICIPATION
Agir sur Ies deux facteurs en
rnérne tern ps
Risque acceptable
GRAVITÉ
IS027001—FORMITYS - 28/07/2023
Lirrliter Ia probabilité
que Ie risque devienne un
probleme
68

B. Réduisez la gravité d'un risque avec des actions en protection

Agir en protection, c’est chercher à atténuer les conséquences d’un 
risque avéré sur le projet. On tente ici de réduire l’impact-gravité du 
risque.

[Audio] Pour cette étape N°6, il est indispensable de définir des plans d’action (et/ou de prévention). Préparer et définir ces plans d’action est une étape cruciale pour mettre en œuvre des actions de prévention. Ces actions sont indispensables pour atteindre les objectifs de sécurité et de confidentialité des informations. Il est donc primordial d’être précis dans la définition de nos plans d’action, qui doivent satisfaire aux besoins et exigences de l’organisation.. 

Scene 17

ETAPE N°6 : Définir des plans d’action

Définir des plans d’actions (et/ou de prévention) – Étape 6
6

RISQUE
PLAN DE PRÉVENTION
RISQUE
c
RESPONSABLE
10
PRÉVENTION
10
Actions prévues en
prévention suite å
l'analyse des risques
CRITICITÉ
5
IS027001—FORMITYS - 28/07/2023

[Audio] Atteindre l'étape 6 consiste à définir des plans d'action destinés à répondre aux différents besoins de sécurité des systèmes d'information établis au cours de l'étape 5. Ceux-ci se composent d'un ensemble de six mesures de protection qui, une fois appliquées, minimiseront les risques identifiés. Ces mesures doivent être adaptées à l'entreprise et à sa taille, ainsi qu'à sa nature.. 

Scene 18

PLAN DE PRÉVENTION
RISQUE
p
c
RESPONSABLE
PRÉVENTION
ACTIONS PRÉVUES
Sl LE RISQUE
DEVIENT PROBLÉME
RÉPARATION
ASSURE LA SURVEILLANCE
DU RISQUE EN COURS
DE PROJET

[Audio] Concernant la phase d'établissement du SMSI, elle peut être partagée en quatre étapes. Premièrement, la définition des objectifs et des objectifs stratégiques. Deuxièmement, la définition de la politique de sécurité du système d'information. Troisièmement, la délimitation du périmètre du SMSI. Quatrièmement, la sélection et la mise en place des contrôles. Ces quatre étapes représentent un "levier de souveraineté" pour l'entreprise. Afin d'établir un système de management de la sécurité de l'information (SMSI), la deuxième étape consiste à définir la politique et le périmètre du SMSI. Cela implique de définir des objectifs et des règles afin d'assurer la sécurité et la protection des informations de l'entreprise. Pour ce faire, il est important de créer un document, appelé Politique de Sécurité du Système d'Information, qui définit les objectifs, les responsabilités des utilisateurs et des gestionnaires, ainsi que les règles et les procédures à appliquer pour assurer la confidentialité, l'intégrité et la disponibilité des données de l'entreprise. La politique et le périmètre du SMSI représentent un moyen de souveraineté pour l'entreprise.. 

Scene 19

[Audio] Comme professeur, je peux affirmer que la mise en place du SMI est essentielle pour chaque entreprise. Il se compose de quatre étapes, dont l'élaboration de la politique et du périmètre du SMI. On peut considérer ces définitions comme un moyen de prise de décision pour l'entreprise. La suite est consacrée à l'implémentation des mesures de sécurité, à la création des indicateurs de performance et de conformité. Finalement, il faut former et sensibiliser le personnel.. 

Scene 20

Met en place les objectifs. Elle comporte plusieurs étapes :

1.
Établir un plan de traitement des risques

•
De performance pour savoir si les mesures de sécurité sont efficaces

•
De conformité qui permettent de savoir si le SMSI est conforme à ses spécifications

[Audio] Cette diapositive donne une brève description de la phase d'établissement des SMSI qui se compose de quatre étapes. La première étape est la définition de la politique et du périmètre du SMSI. Ces étapes sont libres et constituent un "levier de souveraineté" pour l'entreprise. ISO 27001 et ISO 20000 doivent être prises en compte lors de la création du système de gestion intégré. Les organisateurs doivent tenir compte de divers facteurs, tels que les autres systèmes de management existants, les processus et leurs interdépendances, ainsi que l'impact du SMSI sur l'entreprise et ses clients. L'éducation et la mise en place des principes du système de gestion sont une partie importante de la mise en œuvre réussie d'un système de gestion intégré.. 

Scene 21

•
Module 4: – to DO - ISO 27001 et ISO 20000

q •
Une organisation qui envisage de mettre en œuvre un système de gestion

intégré devrait tenir compte au moins de :

a) autre(s) système(s) de management déjà utilisé(s) (par exemple, systèmes de    gestion de 
la qualité) ;
b) tous les services, processus et leurs interdépendances dans le contexte du système de 
gestion intégrée ;
c) les éléments de chaque norme qui peuvent être fusionnés et comment ils peuvent l’être ; 
d) les éléments qui doivent rester séparés ;
e) l’impact du système de gestion intégré sur les clients, les fournisseurs et les autres 
parties ; 
f) l’impact sur la technologie utilisée ;
g) l’impact ou le risque sur les services et la gestion des services ;
h) Impact ou risque sur la sécurité de l’information et la gestion de la sécurité de 
l’information  
i) l’éducation et la formation au système de gestion intégrée ;
•j) les phases de transition et la séquence des activités de mise en œuvre.

ISO27001––FORMITYS – 28/07/2023
74. •
Module 4: ISO 27001 et ISO 20000. 

Scene 22

Focus
Control/ContCOIS
ISO/IEC 27001
Specific to ISO/JEC
27001
Classifica t Of
information
I nformation a s set
management
Target
organization
Ccntent tool box
Shared parts (some ap. some differences)
Incident management
Risk assessment
Capacity management
Cha m an agement
Configu ra tion managem ent
Problem ma naeem ent
Release and de»€rnent management
R esource m anagement
Roles and responsibilities
Security management
Service continuity and availability management
Common parts I identical between standards)
Fecuscn It
sery«s
Processes
ISO/IEC 20000
Specific to ISO/IEC
20000-1
Service catalogue
gudgettng and
accounting for services
Business relationship
management
New and changed
services
SLAs and contracts
Suppl ier m anagernen t
Management review
P DCA
Continual improvement
Lee al and regulatory compliance
Trainmg and awareness

[Audio] Ainsi, la phase d'établissement du SMSI se compose de 4 étapes visant à définir sa politique et son périmètre. Ces étapes s'avèrent libres et offrent une "souplesse de souveraineté" à l'entreprise. Lors de chacune de ces étapes, nous devons satisfaire les exigences des services, établir des processus de résolution, de gestion des relations et de fourniture des services, ainsi qu'un mécanisme de contrôle. De cette manière, nous pouvons garantir l'efficacité et la qualité des services rendus par l'entreprise à ses clients et aux autres parties concernées.. 

Scene 23

Système de Management des Services (SMS)
ISO 20000

Responsabilité de la direction :
• Établir Ie SMS
• Gouvernance des processus
opérés par d'autres parties
• Management de la
documentation
Management des ressources
CONCEPTION ET TRANSITION DE SERVICES NOUVEAUX ET MODIFIÉS
PROCESSUS DE FOURNITURE DES SERVICES
Gestion de la capacité
Gestion des la continuité
et de la disponibilité des
services
Gestion des niveaux de serviceManagement de la sécurité de
Fourniture des rapports de l'information
services
PROCESSUS DE CONTROLE
Budgétisation et
comptabilisation des services
Gestion des configurations
Gestion des changements
Gestion des mises en production et de leur déploiement
PROCESSUS DE RÉSOLUTION
Gestion des incidents et des demandes de
services
Gestion des problémes
PROCESSUS DE GESTION DES
RELATIONS
Gestion des relations commerciales
Gestion des fournisseurs
IS027001—FORMITYS - 28/07/2023

Responsabilité de la direction :
• Établir le SMS
• Gouvernance des processus

CONCEPTION ET TRANSITION DE SERVICES NOUVEAUX ET MODIFIÉS
PROCESSUS DE FOURNITURE DES SERVICES
Gestion de la capacité
Gestion des la continuité
et de la disponibilité des
services
Gestion des niveaux de serviceManagement de la sécurité de
Fourniture des rapports de l'information
services
PROCESSUS DE CONTROLE
Budgétisation et
comptabilisation des services
Gestion des configurations
Gestion des changements
Gestion des mises en production et de leur déploiement
PROCESSUS DE RÉSOLUTION
Gestion des incidents et des demandes de
services
Gestion des problémes
PROCESSUS DE GESTION DES
RELATIONS
Gestion des relations commerciales
Gestion des fournisseurs
IS027001—FORMITYS - 28/07/2023

CONCEPTION ET TRANSITION DE SERVICES NOUVEAUX ET MODIFIÉS

PROCESSUS DE FOURNITURE DES SERVICES
Gestion de la capacité
Gestion des la continuité
et de la disponibilité des
services
Gestion des niveaux de serviceManagement de la sécurité de
Fourniture des rapports de l'information
services
PROCESSUS DE CONTROLE
Budgétisation et
comptabilisation des services
Gestion des configurations

Gestion de la capacité
Gestion des la continuité 
et de la disponibilité des 
services

Gestion des niveaux de service
Fourniture des rapports de 
services

Management de la sécurité de 
l’information
Budgétisation et 
comptabilisation des services

Gestion des incidents et des demandes de 
services
Gestion des problèmes

Gestion des relations commerciales
Gestion des fournisseurs

PROCESSUS DE CONTROLE
Gestion des configurations
Gestion des changements
Gestion des mises en production et de leur déploiement
'ROCESSUS DE RÉSOWTION
PROCESSUS DE GESTION DES

Gestion des mises en production et de leur  déploiement

[Audio] "L'établissement du SMSI comporte 4 étapes, dont la définition de la politique et du périmètre du SMSI, qui sont des éléments fondamentaux de la souveraineté de l'entreprise. Pour mettre en place le système de gestion de la sécurité de l'information (SMSI), l'organisation doit fournir des ressources, des compétences et une sensibilisation aux acteurs impliqués. Il est impératif que les personnes concernées connaissent la politique de sécurité, leur rôle dans l'amélioration de l'efficacité du SMSI et les conséquences d'un manquement à cette politique. Il est essentiel que des ressources et des connaissances appropriées soient mises en place pour s'assurer que le SMSI est opérationnel et conforme à la politique et au périmètre établis.. 

Scene 24

L’organisme doit déterminer et fournir les ressources nécessaires à l’établissement, à la mise en œuvre, à la maintenance et à
l’amélioration continue du système de gestion de la sécurité de l’information.

•
déterminer la compétence nécessaire de la ou des personnes effectuant des travaux sous son contrôle qui ont une 
incidence sur leur rendement en matière de sécurité de l’information ;

•
veiller à ce que ces personnes soient compétentes sur la base d’une éducation, d’une formation ou d’une expérience 
appropriées ;

•
le cas échéant, prendre des mesures pour acquérir la compétence nécessaire et évaluer l’efficacité des mesures prises ; et

•
conserver les informations documentées appropriées comme preuve de compétence.

NOTE Les mesures applicables peuvent inclure, par exemple : la formation, le mentorat ou la réaffectation des employés actuels ; ou l’embauche
ou l’embauche ou l’embauche de personnes compétentes.

Les personnes qui effectuent des travaux sous le contrôle de l’organisation doivent connaître :

•
la politique de sécurité de l’information ;

•
leur contribution à l’efficacité du système de gestion de la sécurité de l’information, y compris les avantages d’une 
amélioration du rendement en matière de sécurité de l’information ; et

•
les conséquences de la non-conformité aux exigences du système de gestion de la sécurité de l’information.

[Audio] Afin de réussir la mise en œuvre du SMSI, la définition de la politique et du périmètre constitue une étape fondamentale. Cela permet d'identifier les enjeux et les objectifs à atteindre, et offre à l'organisme une vision claire et complète pour exercer sa souveraineté. La communication et la documentation des informations sont également d'une importance capitale. Il convient donc de déterminer le besoin éventuel en communication et en documentation afin d'en assurer la bonne gestion et la réussite de ce processus.. 

Scene 25

L’organisme doit déterminer le besoin de communications internes et externes pertinentes pour le système de gestion de la
sécurité de l’information, y compris :

Le système de gestion de la sécurité de l’information de l’organisation doit comprendre :

•
les informations documentées requises par le présent document ; et

•
les informations documentées jugées nécessaires par l’organisation à l’efficacité du système de gestion de la sécurité de 
l’information.

NOTE L’étendue des informations documentées pour un système de gestion de la sécurité de l’information peut varier d’une organisation
à l’autre en raison de :

•
la taille de l’organisation et son type d’activités, de processus, de produits et de services ;

•
la complexité des processus et de leurs interactions ; et

[Audio] Lors de l'établissement d'un système de management de la sécurité de l'information (SMSI), il est essentiel de définir sa politique et son périmètre. Cette étape est un "levier de souveraineté" pour l'entreprise et doit inclure la définition et la documentation des processus et procédures pour la création et la mise à jour des documents, le contrôle des informations documentées et leur conservation et élimination si nécessaire. L'organisation doit vérifier que l'identification et la description des données documentées, les formats et le support sont adéquatement contrôlés, disponibles et protégés. De plus, les informations documentées d'origine externe doivent être correctement conservées. Les autres étapes pour l'établissement du SMSI sont l'établissement de contrôles de sécurité, la mise en œuvre des contrôles de sécurité et leur surveillance et amélioration.. 

Scene 26

Lors de la création et de la mise à jour d’informations documentées, l’organisation doit s’assurer   que :

•
l’identification et la description (p. ex. titre, date, auteur ou numéro de référence) ;

•
format (p. ex. langue, version du logiciel, graphiques) et support (p. ex. papier, électronique) ; et

•
Examen et approbation de la pertinence.

•
Contrôle des informations documentées

Les informations documentées requises par le système de management de la sécurité de l’information et par le présent document
doivent être contrôlées afin de garantir que :

•
il est disponible et adapté à une utilisation, où et quand il est nécessaire ;  et

•
il est adéquatement protégé (p. ex. contre la perte de confidentialité, l’utilisation inappropriée ou la perte d’intégrité).

Pour le contrôle de l’information documentée, l’organisme doit s’occuper des activités suivantes, le cas échéant :

•
la distribution, l’accès, la récupération et l’utilisation ;

•
l’entreposage et la conservation, y compris la préservation de la lisibilité ;

•
contrôle des modifications (p. ex. contrôle de version)

Les informations documentées d’origine externe, jugées nécessaires par l’organisation à la planification et au fonctionnement du
système de management de la sécurité de l’information, doivent être identifiées comme appropriées et contrôlées.

NOTE L’accès peut impliquer une décision concernant l’autorisation de consulter uniquement les informations documentées, ou l’autorisation et 
l’autorité de visualiser et de modifier les informations documentées, etc.

[Audio] Les quatre étapes de l'établissement du SMSI consistent à établir la politique et le périmètre du SMSI ; à analyser le contexte interne et externe ; à déployer la politique et les lignes directrices ; et à élaborer les procédures et la documentation associée. La définition de la politique et du périmètre du SMSI est une étape fondamentale car elle est libre et constitue un "levier de souveraineté" pour l'entreprise. L'étape suivante implique l'analyse du contexte interne et externe pour déterminer les exigences du SMSI et les contraintes liées à son déploiement." Bonjour à tous. Dans ce module, nous allons examiner la phase d'établissement du SMSI. Cette phase est constituée de quatre étapes, dont la définition de la politique et du périmètre du SMSI, qui constitue une étape fondamentale car elle laisse une importante marge de manœuvre à l'entreprise. Ensuite, l'étape suivante vise à analyser le contexte interne et externe afin de déterminer les exigences et les contraintes liées à son déploiement. La troisième étape implique le déploiement de la politique et des lignes directrices et la quatrième, la mise en place des procédures documentées. Merci pour votre attention.. 

Scene 27

q Phase de maintien (to Check / Opération)
Consiste à gérer le SMSI au quotidien, à mesurer et à détecter des évènements de sécurité et 
des incidents en permanence pour y réagir rapidement. Trois outils peuvent être mis en place 
pour les détecter :

1. Le contrôle interne qui consiste à s’assurer en permanence que les processus fonctionnent

normalement. Il peut s'agir de processus de Résolution de ISO20000 :
•
Gestion des Evènements

2.
Les audits internes qui vérifient la conformité et l’efficacité du système de

management. Ces audits sont ponctuels et planifiés.

3.
Les revues (ou réexamens) qui garantissent périodiquement l’adéquation du SMSI

[Audio] À cette étape cruciale du Système de Management de la Sécurité de l’Information, l’organisme doit évaluer la performance en matière de sécurité de l’information et l’efficacité du système. Pour y parvenir, il est nécessaire de déterminer les processus et les contrôles de sécurité à surveiller et à mesurer, ainsi que les mécanismes pour s'assurer de la validité des résultats obtenus. Une fois les données collectées, il est à prévoir les procédures d'analyse et d'évaluation, et de conserver des preuves documentées. Une fois la politique et le périmètre du SMSI définis, l'entreprise pourra ainsi disposer d’un "levier de souveraineté. 

Scene 28

•
Suivi, mesure, analyse et évaluation

•
ce qui doit être surveillé et mesuré, y compris les processus et les contrôles de sécurité de l’information ;

•
les méthodes de suivi, de mesure, d’analyse et d’évaluation, le cas échéant, pour garantir la validité des résultats. Les
méthodes choisies doivent produire des résultats comparables et reproductibles pour être considérées comme valides ;

•
quand la surveillance et la mesure doivent être effectuées ;

•
lorsque les résultats de la surveillance et de la mesure doivent être analysés et évalués ;

•
L’organisme analyse et évalue ces résultats.

Des informations documentées doivent être disponibles comme preuve des résultats.

L’organisme doit évaluer la performance en matière de sécurité de l’information et l’efficacité du système de management de la 
sécurité de l’information.

[Audio] Dans la phase d'établissement du SMSI, l'organisme doit établir un ou plusieurs programmes d'audits internes pour garantir que le système de gestion de la sécurité de l’information est en adéquation avec les normes et les exigences définies par l'entreprise. Ces programmes doivent contenir des critères et une portée précis pour chaque audit, et doivent être mis à jour à intervalles réguliers. Les résultats des audits doivent ensuite être communiqués à la direction concernée.. 

Scene 29

L’organisme doit effectuer des audits internes à intervalles planifiés pour indiquer si le système de gestion de la sécurité de

• les propres exigences de l’organisation en matière de système de gestion de la sécurité de l’information ;
•
les exigences du présent document ;

•
est mise en œuvre et maintenue efficacement.

L’organisme doit planifier, établir, mettre en œuvre et tenir à jour un ou plusieurs programmes d’audit, y compris la fréquence, 
les méthodes, les responsabilités, les exigences de planification et les rapports.

Lors de l’établissement du ou des programmes d’audit interne, l’organisation doit tenir compte de l’importance des processus

concernés et des résultats des audits précédents.

•
définir les critères et la portée de chaque audit ;

•
sélectionner les auditeurs et effectuer des audits qui garantissent l’objectivité et l’impartialité du processus d’audit ;

•
veiller à ce que les résultats des vérifications soient communiqués à la direction concernée ;

Des informations documentées doivent être disponibles pour prouver la mise en œuvre du ou des programmes d’audit et les 
résultats de l’audit.

[Audio] Dans le cadre de l'établissement d'un Système de Management de la Sécurité de l'Information (SMSI), quatre étapes sont à prendre en compte : définir la politique et le périmètre du SMSI, une mesure de souveraineté pour votre entreprise ; procéder à une étude de gestion pour s'assurer de la pertinence, de l'adéquation et de l'efficacité du SMSI ; mettre en place des retours d'informations sur les performances en matière de sécurité et rechercher des possibilités d'amélioration continue ; et enfin, prendre des décisions en fonction des résultats de cette étude afin d'améliorer le SMSI et de modifier les procédures et politiques existantes.. 

PDCA complet ISO27001-FR-FORMITYS- 23072023-5