Gouvernance du SGSI
Sans périmètre clair, sans classification et sans SoA, le reste du programme flotte. Nous posons qui décide, ce qui est dans le SGSI, comment l’information est classée, et quels contrôles s’appliquent.
Ce qu’on voit trop souvent
Dans nos mandats, le SGSI démarre trop souvent par des politiques copiées. Le vrai trou est plus haut : personne n’a tranché ce qui est dans le périmètre, comment l’information est classée, ni quels contrôles s’appliquent vraiment.
- un énoncé de périmètre trop large, ou des exclusions sans justification
- une direction qui « appuie la sécurité » sans rôles, sans revue, sans signature datée
- aucune classification, donc des accès et des fournisseurs gérés au feeling
- une SoA copiée des 93 contrôles, ou jamais reliée aux risques
- des preuves éparpillées : on ne sait pas qui décide, ni quand on révise
De quoi s’agit-il
La gouvernance du SGSI, ce n’est pas un organigramme décoratif. C’est le cadre qui dit : voici le contexte, voici ce que le système couvre, voici qui décide, voici comment l’information est classée, voici quels contrôles de l’Annexe A s’appliquent et pourquoi.
Sans ce cadre, chaque autre module bricole dans le vide. L’analyse de risques n’a pas de frontière. Les politiques ne savent pas à qui elles s’adressent. L’auditeur commence par le périmètre : s’il flotte, le reste du dossier flotte avec lui.
Où ça se situe dans ISO 27001
Ce module ancre les clauses 4 (contexte et périmètre), 5 (leadership et rôles) et la déclaration d’applicabilité liée à l’Annexe A. Ce n’est pas une recopie des 93 contrôles : c’est votre choix documenté, relié aux risques.
Périmètre et contexte
Nous délimitons ce que le SGSI couvre : sites, processus, systèmes, fournisseurs critiques. Chaque exclusion est justifiée. C’est ce que l’organisme certificateur lira en premier.
Classification de l’information
Nous définissons des niveaux simples (par exemple public, interne, confidentiel) et les règles de marquage, de partage et de conservation. Sans classification, les contrôles d’accès et les fournisseurs restent vagues.
Déclaration d’applicabilité (SoA)
La SoA dit quels contrôles de l’Annexe A s’appliquent, lesquels sont exclus, et pourquoi. Elle relie risques, traitements et preuves. Ce n’est pas une copie des 93 contrôles : c’est votre choix documenté.
Ce que comprend ce module
- Contexte, parties intéressées et enjeux (clause 4)
- Périmètre du SGSI, inclusions et exclusions justifiées
- Rôles de la direction et responsabilités clés
- Schéma de classification de l’information
- Déclaration d’applicabilité (SoA) liée aux risques
Comment on travaille
Contexte et parties intéressées
Atelier avec la direction : enjeux d’affaires, clients exigeants, obligations légales, fournisseurs critiques. On écrit ce qui pèse vraiment, pas une liste générique.
Périmètre et classification
On délimite sites, processus, systèmes et exclusions justifiées. On pose des niveaux de classification simples, avec des règles de marquage, de partage et de conservation qu’une PME peut suivre.
SoA liée aux risques
Chaque contrôle de l’Annexe A reçoit un statut : applicable, exclu, et pourquoi. On relie ça aux risques et aux preuves, pas à un tableur orphelin.
Rôles, signatures et revue
RACI, qui signe quoi, à quelle fréquence on révise. La direction valide le périmètre et la SoA. Sans date et sans nom, ce n’est pas de la gouvernance.
Ce que vous recevez
- Énoncé de périmètre du SGSI, avec exclusions motivées
- Matrice de classification de l’information
- Déclaration d’applicabilité (SoA) des contrôles retenus
- Tableau RACI des rôles de sécurité
Pour qui
Organisations qui démarrent ISO 27001, ou dont le périmètre et la SoA n’ont jamais été tranchés par la direction.
Pour qui ce n’est pas
Ce module n’est pas pour une organisation qui veut seulement « des politiques Word ». Il n’est pas non plus un audit interne, ni la rédaction de toutes les politiques thématiques.
Durée type
2 à 4 semaines, en parallèle d’une première analyse de risques.
Ce que vous devez fournir
Vous fournissez l’organigramme réel, la liste des systèmes et des sites, les contrats clients qui exigent ISO 27001, et 2 à 3 personnes qui connaissent les processus critiques. La direction doit être disponible pour trancher.
Limites de ce module
Ce module pose le cadre de gouvernance. Il n’écrit pas toutes les politiques thématiques et ne réalise pas l’audit interne.
Questions fréquentes
- Pourquoi regrouper périmètre, classification et SoA ?
- Parce que ces trois pièces se tiennent. Un périmètre flou produit une SoA décorative. Une classification absente affaiblit les accès et les fournisseurs.
- Peut-on exclure un service infonuagique du périmètre ?
- Parfois, si la justification tient. Souvent, le fournisseur reste dans le périmètre via la gestion des fournisseurs. Nous tranchons avec vous, pas pour décorer le dossier.
- La SoA doit-elle couvrir les 93 contrôles un par un ?
- Oui, chaque contrôle a un statut. Non, cela ne veut pas dire 93 projets. Les contrôles non applicables sont exclus avec une raison, les autres sont regroupés dans vos modules.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.