En 2013, les conditions énoncées dans la norme ISO 27001 ont considérablement changé par rapport à la première version de 2005. Non seulement la structure de base de la norme a changé, mais elle a aussi été nettement allégée.
La norme ISO 27001 adopte une approche axée sur les processus pour mettre en œuvre un système de management de la sécurité de l’information(SMSI). Alors que l’ancienne version contenait un renvoi explicite au modèle PDCA, celui-ci n’est plus obligatoire dans la nouvelle version. Les conditions requises sont valables pour tout type d’organisme, quelle que soit sa taille.
La norme ISO 27001 pose notamment comme condition que les entreprises doivent déterminer et prendre en compte tous les sujets externes et internes qui pourraient affecter leur capacité à mettre en œuvre un SMSI. On entend notamment ici la culture de l’entreprise, les conditions environnementales, les contraintes réglementaires, les obligations contractuelles et légales ainsi que les directives officielles en matière de gouvernance. La norme ISO 27001 exige des hautes instances de direction de l’organisme qu’elles définissent la politique en matière de sécurité de l’information ainsi que des compétences et des responsabilités en vue de la mise en œuvre des prescriptions. De plus, l’organisme doit s’engager à sensibiliser l’ensemble de l’entreprise à la sécurité de l’information.
La planification joue également un rôle essentiel dans la certification ISO 27001. Les dispositions doivent par exemple inclure l’évaluation des risques spécifiques liés à la sécurité de l’information au sein de l’entreprise ainsi que l’élaboration d’un plan de gestion des risques. La responsabilité de déterminer les risques et de les prévenir incombe uniquement à l’organisme. De plus, la norme impose que chaque entreprise mobilise les ressources nécessaires pour garantir une amélioration continue du SMSI ainsi que son maintien et sa mise en œuvre. Les informations relatives au SMSI doivent par ailleurs être minutieusement documentées. Les évaluations de performance doivent également être effectuées à des intervalles préalablement déterminés. Les entreprises doivent examiner, mesurer et analyser l’efficacité de leur SMSI, et ce également à des intervalles déterminés.
Dekra présente les informations les plus importantes et des nouveautés. Dès lors que le SMSI est établi, les valeurs de l’entreprise sont soumises à une classification. À nouveau, ce sont les valeurs fondamentales que sont la confidentialité, la disponibilité et l’intégrité qui régissent cette classification. Cette dernière est divisée en trois étapes.
La première étape comprend par exemple tous les documents officiels qui, dans le cas d’une falsification, pourraient causer un tort relativement peu important à l’entreprise, à savoir d’un montant pouvant aller jusqu’à 500 euros. Cette étape est donc associée à des documents qui pourraient difficilement causer un préjudice trop important à l’entreprise, même dans l’hypothèse où les normes ISO ne seraient pas respectées pendant une semaine.
La deuxième étape s’applique aux documents internes de l’entreprise, tels que les factures et les fiches de paie. En cas de violation de la norme ISO relative à la sécurité de l’information, celle-ci pourrait entraîner des dommages pécuniaires pouvant aller jusqu’à 5 000 euros. Un tel incident ne doit pas pouvoir perdurer plus de 24 heures.
La troisième et dernière étape comprend les données extrêmement sensibles internes à l’entreprise. À ce stade, les dommages engendrés par une corruption des informations dépassent la limite des 5 000 euros. Une telle défaillance ne doit pas durer plus de 3 heures.