ISO/IEC 27001 vs norme minimale TIC
L’ISO/IEC 27001 et la norme minimale TIC poursuivent le même objectif par des voies différentes. L’ISO/IEC 27001 exige un système de management et peut faire l’objet d’une certification. La norme minimale TIC décrit des mesures concrètes et une autoévaluation. Ce que cela signifie en pratique – et quand l’une ou l’autre convient.
La différence en une phrase
L’ISO/IEC 27001 décrit comment une organisation pilote la sécurité de l’information; la norme minimale TIC décrit surtout ce qu’elle doit concrètement faire.
La nuance paraît subtile, mais elle a des conséquences: pour l’ISO, il vous faut un système de management opérationnel avec appréciation des risques, objectifs, documentation, audits internes et revue de direction. Avec la norme minimale TIC, vous pouvez commencer directement par l’évaluation des mesures.
La comparaison en un coup d’œil
| Caractéristique | ISO/IEC 27001:2022 | Norme minimale TIC 2023 |
|---|---|---|
| Éditeur | ISO et CEI, international | Confédération: élaborée par l’OFAE, gérée par l’OFCS depuis mars 2024 |
| Nature | Norme avec des exigences pour un SMSI | Recommandation avec des mesures concrètes |
| Structure | Chapitres 4–10 (système de management), annexe A avec des mesures en 4 thèmes | 5 fonctions, 23 catégories, 108 mesures |
| Base | norme propre, lignes directrices dans l’ISO/IEC 27002 | NIST Cybersecurity Framework (noyau) |
| Évaluation | conformité par exigence; non-conformités constatées lors de l’audit | degré de mise en œuvre 0–4 par mesure, d’où un niveau Tier 1–4 |
| Preuve vis-à-vis de l’extérieur | certificat d’un organisme accrédité | autoévaluation, contrôle par un tiers en option |
| Public cible | organisations de tout type et de toute taille | surtout infrastructures critiques, applicable à tous |
| Accès | texte de la norme payant | librement accessible, avec un outil d’évaluation (Excel) |
| Étendue dans Audhive | 94 contrôles | 108 contrôles |
L’ISO/IEC 27001 en détail
Le cœur de l’ISO/IEC 27001, ce sont les chapitres 4 à 10. Ils exigent notamment que l’organisation détermine son contexte et son domaine d’application, que la direction assume ses responsabilités, que les risques liés à la sécurité de l’information soient appréciés et traités, que des objectifs soient fixés, que les ressources et compétences nécessaires soient mises à disposition, que des audits internes soient réalisés et que le SMSI fasse l’objet d’une revue de direction.
L’annexe A fournit une liste de mesures, réparties en quatre thèmes: organisationnelles, liées aux personnes, physiques et technologiques. L’organisation décide lesquelles s’appliquent sur la base de son appréciation des risques et le consigne dans la déclaration d’applicabilité (Statement of Applicability) – avec une justification pour chaque mesure exclue.
Pour la certification, un organisme de certification accrédité audite le SMSI lors d’un audit initial en deux étapes. Suivent des audits de surveillance et, au bout de trois ans, une recertification. Le certificat est reconnu au niveau international et peut être exigé dans les appels d’offres et les évaluations de fournisseurs.
La norme minimale TIC en détail
La norme minimale TIC comprend trois parties: les principes de base, le cadre proprement dit avec 108 mesures et un guide pour l’évaluation. Les mesures suivent les cinq fonctions du NIST Cybersecurity Framework – Identifier, Protéger, Détecter, Réagir, Récupérer – et sont classées en 23 catégories, comme la gestion des assets (ID.AM) ou la gestion des accès (PR.AC).
Chaque mesure est évaluée par une valeur de 0 à 4, de «non mise en œuvre» à «dynamique, mise en œuvre, contrôlée en permanence, améliorée». Les évaluations donnent une image d’ensemble que la norme classe en quatre niveaux Tier: partiel, informé des risques, reproductible et dynamique. La norme souligne que ses diagrammes d’exemple ne sont pas des valeurs cibles: chaque organisation fixe elle-même son niveau de protection par catégorie. L’évaluation doit avoir lieu au moins une fois par an.
Pour plusieurs secteurs – comme l’électricité, le gaz, l’eau ou les transports publics –, il existe des normes sectorielles fondées sur elle. Pour en savoir plus: La norme minimale TIC pour les PME.
Points communs
Malgré des approches différentes, les deux cadres couvrent en grande partie les mêmes thèmes: inventaire et responsabilités, droits d’accès et authentification, formation, sécurité des données et sauvegarde, vulnérabilités et mises à jour, journalisation et surveillance, gestion des incidents, planification des urgences et de la reprise, fournisseurs.
Dans sa version de 2023, la norme minimale TIC indique pour chaque catégorie les passages correspondants d’autres normes, dont l’ISO/IEC 27001:2022. Si vous travaillez déjà selon l’ISO, vous pouvez ainsi vérifier si les exigences de la norme minimale TIC sont couvertes – et inversement.
Lequel vous convient?
Une aide simple à la décision:
- Des clients ou des appels d’offres exigent un certificat: ISO/IEC 27001. Prévoyez un système de management et un organisme de certification.
- Vous voulez démarrer de manière pragmatique, sans besoin de certification: norme minimale TIC. Elle est concrète, librement accessible et ancrée en Suisse.
- Vous exploitez une infrastructure critique: norme minimale TIC et – s’il en existe une – la norme sectorielle de votre secteur.
- Vous travaillez déjà selon l’ISO, mais on vous interroge sur la norme minimale TIC: vérifiez la couverture à l’aide des références de la norme minimale TIC et comblez les lacunes de manière ciblée.
- Vous voulez les deux: commencez par la norme minimale TIC pour les mesures et construisez progressivement autour d’elle le système de management selon l’ISO.
L’essentiel n’est pas tant le choix parfait qu’une mise en œuvre conséquente. Une norme minimale TIC proprement évaluée apporte davantage qu’un SMSI à moitié achevé. D’autres critères selon le type d’organisation figurent dans Quel cadre de sécurité pour quelle organisation?
Questions fréquentes
Puis-je utiliser la norme minimale TIC comme étape préalable à l’ISO/IEC 27001?
Oui. De nombreuses mesures correspondent sur le fond aux contrôles de l’annexe A. Pour la certification, il manque alors surtout le système de management: appréciation des risques, objectifs, déclaration d’applicabilité, audits internes et revue de direction.
La norme minimale TIC s’applique-t-elle aussi aux entreprises hors des infrastructures critiques?
Elle s’adresse en premier lieu aux exploitants d’infrastructures critiques, mais selon son propre texte, elle peut en principe être appliquée par toute entreprise et toute organisation.
Combien coûte son application?
La norme minimale TIC est librement accessible. Le texte de l’ISO/IEC 27001 s’achète auprès de l’ISO ou de l’Association Suisse de Normalisation (SNV); une certification entraîne en plus des frais auprès de l’organisme de certification. Dans les deux cas, l’effort principal réside dans votre propre travail.
Comment Audhive vous aide
Audhive contient les deux catalogues: l’ISO/IEC 27001:2022 avec 94 contrôles (en allemand et en anglais; dans une interface en français, les contenus ISO s’affichent en anglais) et la norme minimale TIC 2023 avec 108 contrôles (textes officiels en allemand, anglais, français et italien). Vous chargez l’un d’eux lors de l’installation et choisissez, pour chaque mandant, ce qui s’applique dans le jeu de contrôles. L’évaluation se fait avec des niveaux de maturité, complétés par la conception, l’efficacité et le risque; le rapport contient le degré de réalisation et un Statement of Applicability. Pour les PME qui n’ont besoin que de la norme minimale TIC, il existe la SEC Swiss Edition. Audhive ne modifie aucune des deux normes: la norme minimale TIC est livrée dans son libellé officiel (erreurs manifestes corrigées et signalées), l’ISO/IEC 27001 sous forme de brève description par contrôle, chacune avec des aides de travail d’Audhive. Le texte de l’ISO/IEC 27001 s’obtient auprès de l’ISO ou de la SNV, la norme minimale TIC gratuitement auprès de l’OFCS (en allemand). Détails sous Catalogues.
Sources
- ISO: ISO/IEC 27001:2022
- Office fédéral de la cybersécurité (OFCS): Normes minimales TIC (en allemand) – document «Norme minimale pour améliorer la résilience des TIC», version de mai 2023
- NIST: Cybersecurity Framework (en anglais)