Objectifs de sécurité ISO 27001
Des objectifs de sécurité flous ne survivent pas à un audit. Nous vous aidons à formuler des objectifs SMART, mesurables et reliés aux risques et à la stratégie de l’organisation.
Ce qu’on voit trop souvent
Des objectifs du type « améliorer la sécurité » ne survivent pas à une revue de direction, encore moins à un audit. Sans indicateur, sans cible, sans calendrier, la clause 6.2 reste une intention.
- des objectifs copiés d’un gabarit, sans lien avec les risques retenus
- des KPI que personne ne sait mesurer, ou qui ne se calculent qu’une fois par an
- aucune revue : les chiffres n’arrivent jamais devant la direction
- trop d’objectifs, donc plus aucun suivi réel
- confusion entre objectif d’affaires, indicateur opérationnel et vœu pieux
De quoi s’agit-il
Les objectifs de sécurité ISO 27001 sont des cibles mesurables, alignées sur les enjeux et les risques, avec des indicateurs et des revues. Ils disent à la direction si le SGSI avance, pas si quelqu’un a « bien travaillé ».
Pour une PME, quelques objectifs suivis valent mieux qu’une longue liste oubliée. Nous les formulons SMART, avec une source de données que vous possédez déjà ou que vous pouvez collecter sans usine à gaz.
Où ça se situe dans ISO 27001
Le module couvre la clause 6.2 (objectifs) et prépare la revue de direction de la clause 9.3. Il ne remplace pas le registre des risques ni l’audit interne.
Ce que comprend ce module
- Relecture des enjeux d’affaires et des risques retenus
- Formulation d’objectifs SMART liés au SGSI
- Choix d’indicateurs que vous pouvez mesurer
- Calendrier de revue avec la direction
Comment on travaille
Relecture des enjeux et des risques
On part de ce qui est déjà décidé (ou on le cadré vite) : ce que la direction veut protéger, ce qu’elle a accepté de traiter.
Formulation SMART
Objectifs précis, liés au SGSI, avec une cible et une échéance. On écarte le cosmétique.
Indicateurs et sources
Tableau : quoi mesurer, où ça vit, qui collecte, à quelle fréquence. Si on ne peut pas le mesurer, ce n’est pas un objectif.
Calendrier de revue
Modèle de compte rendu pour la revue de direction. Les objectifs existent quand quelqu’un les lit et les ajuste.
Ce que vous recevez
- Fiche d’objectifs SMART (clause 6.2)
- Tableau des indicateurs et des sources de données
- Calendrier de revue périodique
- Modèle de compte rendu pour la revue de direction
Pour qui
Directions qui veulent des indicateurs simples, et responsables SGSI qui doivent présenter une revue de direction crédible.
Pour qui ce n’est pas
Ce module n’est pas un tableau de bord SIEM, ni un programme de transformation numérique. Il n’écrit pas le registre des risques à votre place.
Durée type
1 à 3 semaines après une première analyse de risques.
Ce que vous devez fournir
Vous apportez les risques déjà retenus (même brouillon), les indicateurs que vous suivez déjà, et un créneau de direction pour valider les cibles.
Limites de ce module
Ce module pose les objectifs et les indicateurs. Il ne remplace pas le registre des risques ni l’audit interne.
Questions fréquentes
- Combien d’objectifs faut-il ?
- Quelques objectifs suivis valent mieux qu’une longue liste oubliée. Pour une PME, 4 à 8 objectifs liés aux risques suffisent souvent.
- Peut-on réutiliser des KPI déjà en place ?
- Oui, s’ils mesurent vraiment un enjeu de sécurité. Nous écartons les indicateurs cosmétique et gardons ce qui est vérifiable.
- Qui approuve les objectifs ?
- La direction. Sans approbation, l’audit verra des intentions, pas un SGSI dirigé.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.