Quand on hérite d’un parc applicatif hétérogène, de trois référentiels de sécurité empilés et d’un tableur Excel en guise de registre des risques, la question n’est pas de savoir si on a besoin d’un SMSI. C’est de comprendre comment le déployer sans reproduire le désordre qu’on cherche à corriger.
Le système de management de la sécurité de l’information structure la gouvernance, les outils et les responsabilités autour d’un objectif simple : protéger ce qui compte, prouver qu’on le fait, et s’améliorer en continu.
Cartographie des actifs et analyse de risques : le socle opérationnel du SMSI
Avant de rédiger une politique de sécurité, on commence par savoir ce qu’on protège. La cartographie des actifs (serveurs, bases de données, applications métier, flux réseau, postes de travail) pose le périmètre concret du SMSI. Sans cette étape, toute mesure de protection reste arbitraire.
L’analyse de risques vient juste après. On identifie les scénarios de menace crédibles pour chaque actif, on évalue leur vraisemblance et leur impact, puis on classe les risques par priorité. Deux méthodes reviennent souvent sur le terrain : EBIOS Risk Manager pour les systèmes d’information classiques, et IEC 62443-3-2 quand l’environnement inclut des systèmes de contrôle industriel.
Cartographier avant de décider évite de disperser le budget sur des risques secondaires. On a vu des équipes investir massivement dans le chiffrement de postes bureautiques alors que leurs automates industriels restaient exposés, faute d’avoir posé la bonne grille de lecture au départ.
Le RSSI pilote généralement cette phase, mais la direction générale doit valider le périmètre et les arbitrages. Un risque accepté par le RSSI seul, sans validation managériale, ne tiendra pas face à un auditeur ISO 27001.
ISO 27001 et NIS 2 : articuler certification et conformité réglementaire
ISO 27001 et NIS 2 ne couvrent pas exactement le même terrain, et les confondre crée des angles morts. La norme ISO 27001 exige un SMSI documenté, audité en interne, puis certifié par un organisme accrédité. Elle se concentre sur le cycle d’amélioration continue (PDCA) et la traçabilité des décisions de sécurité.
NIS 2 ajoute des obligations spécifiques : notification rapide des incidents, gouvernance renforcée au niveau des dirigeants, et maîtrise de la chaîne d’approvisionnement. La responsabilité des dirigeants s’étend au-delà de la simple validation budgétaire : ils doivent démontrer leur implication dans le pilotage de la cybersécurité.
La mise en place du SMSI gagne à s’appuyer sur les deux cadres simultanément plutôt que de les traiter en séquence. On évite ainsi de dupliquer les audits, les registres de risques et les plans d’action.
Les bénéfices concrets de cette convergence méritent d’être posés clairement :
- Certification ISO 27001 : un signal de confiance reconnu à l’international, qui facilite les appels d’offres et les relations avec les grands comptes.
- Conformité NIS 2 : une réponse structurée aux exigences réglementaires européennes, avec une traçabilité exploitable en cas de contrôle.
- Rationalisation des ressources : un seul registre de risques, un seul calendrier d’audit, une seule base documentaire au lieu de doublons coûteux en temps.
Les retours varient sur ce point, mais les organisations qui tentent de certifier ISO 27001 après avoir déjà structuré leur conformité NIS 2 constatent souvent que le travail documentaire est déjà fait aux trois quarts.
Plan de traitement des risques et cycle PDCA : passer du diagnostic à l’action
Le diagnostic est posé, les risques sont classés. Place au plan de traitement. Chaque risque identifié reçoit une réponse : réduction par une mesure technique ou organisationnelle, transfert (assurance cyber, externalisation encadrée), acceptation formelle par la direction, ou évitement pur et simple.
Formaliser chaque décision de traitement dans un registre auditable distingue un SMSI opérationnel d’un simple exercice de conformité papier. Le registre lie chaque risque à une mesure, un responsable, un délai et un indicateur de suivi.
Le cycle PDCA (Plan, Do, Check, Act) structure l’ensemble :
- Plan : définir le périmètre, conduire l’analyse de risques, rédiger la déclaration d’applicabilité et le plan de traitement.
- Do : déployer les mesures de sécurité, former les équipes, mettre en place la gestion documentaire et les procédures d’incident.
- Check : mesurer l’efficacité via des indicateurs de performance (KPI), conduire les audits internes, collecter les retours terrain.
- Act : corriger les écarts, ajuster les mesures, alimenter le cycle suivant avec les enseignements tirés des incidents et des audits.
La chaîne fournisseurs mérite une attention particulière à l’étape « Do ». On ne contrôle pas la sécurité d’un prestataire avec une simple clause contractuelle. Il faut des questionnaires de sécurité, des preuves de conformité, et parfois des audits sur site.
Sensibilisation et implication des collaborateurs
Un SMSI ne tient pas si les utilisateurs contournent les règles par méconnaissance ou par lassitude. Les campagnes de sensibilisation fonctionnent mieux quand elles partent de cas concrets : simulation de phishing, analyse d’un incident récent anonymisé, atelier sur la gestion des mots de passe.
Former les équipes sur des scénarios réels produit plus d’effet qu’un module e-learning générique. L’objectif n’est pas de transformer chaque collaborateur en expert sécurité, mais de réduire les comportements à risque sur les gestes du quotidien.
Indicateurs de performance et audit de certification SMSI
Piloter un SMSI sans indicateurs revient à conduire sans tableau de bord. Les KPI doivent être peu nombreux, mesurables et directement liés aux risques traités. Nombre d’incidents détectés et résolus dans les délais, taux de couverture des audits internes, pourcentage de collaborateurs formés sur la période : on garde ce qui aide à décider, on élimine ce qui alourdit le reporting sans valeur ajoutée.
L’audit interne précède l’audit de certification. Il vérifie que les mesures décrites dans la déclaration d’applicabilité sont réellement appliquées, que les preuves existent et que les écarts précédents ont été corrigés. Un audit interne bien mené réduit significativement le risque de non-conformité lors de la certification.
L’audit de certification, conduit par un organisme accrédité, évalue la maturité globale du dispositif. Il porte sur la documentation, les preuves d’application terrain et la capacité de l’organisation à démontrer son amélioration continue.
La préparation d’un plan de continuité d’activité (PCA) et d’un plan de reprise (PRA) complète le dispositif. Ces plans ne servent pas uniquement en cas de cyberattaque : une panne majeure, une indisponibilité fournisseur ou un sinistre physique les activent tout autant.
Le déploiement d’un premier SMSI mobilise du temps, de la rigueur et un engagement managérial tangible. La certification n’est pas une ligne d’arrivée. C’est le point de départ d’un cycle où chaque audit, chaque incident traité et chaque mesure ajustée renforce la capacité de l’organisation à encaisser les prochaines crises.
