La protection des données d’une entreprise, qu’il s’agisse d’informations commerciales sensibles ou de données personnelles de clients, est au cœur de tous les débats. Avec la mise en place du Règlement général sur la protection des données, les organismes doivent plus que jamais garantir la sécurité de l’information. Encore faut-il disposer des technologies et des procédures adéquates, ce qui n’est pas une mince affaire. La norme ISO/IEC 27005:2018 nouvellement révisée, Technologies de l’information – Techniques de sécurité – Gestion des risques liés à la sécurité de l’information, les guide tout au long de ce véritable parcours du combattant en fixant un cadre qui permet de gérer les risques efficacement.
En marge d’ISO/IEC 27001:2013, qui définit les exigences liées aux systèmes de management de la sécurité de l’information (SMSI), ISO/IEC 27005 a récemment été mise à jour afin de refléter la nouvelle version d’ISO/IEC 27001. Elle est ainsi plus à même de répondre aux besoins des organismes modernes.
Elle contient des lignes directrices détaillées sur le management du risque dans le but de répondre aux exigences spécifiées dans la norme ISO/IEC 27001.
Selon Edward Humphreys, Animateur du groupe de travail ISO/IEC à l’origine de l’élaboration d’ISO/IEC 27001 et d’ISO/IEC 27005, la norme révisée joue un rôle clé dans la lutte contre les risques liés aux cyber-attaques.
« ISO/IEC 27005 fournit aux organismes tous les outils nécessaires pour optimiser la gestion des risques liés à la sécurité de l’information, en conformité avec ISO/IEC 27001. Elle vise également à rassurer leurs clients et les parties prenantes quant à l’efficacité des procédures de management du risque mises en place », déclare-t-il.
ISO/IEC 27005 fait partie de la dizaine de normes qui composent la série ISO/IEC 27000. Cette famille constitue la boîte à outils de la lutte contre les cyber-attaques, dont la norme phare est ISO/IEC 27001, Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences. Certaines normes appartenant à cette famille traitent de la protection de l’information sur le Cloud, de la sécurité de l’information dans les secteurs des télécommunications et des services, de la cyber-sécurité, de l’audit des SMSI, etc.
La norme ISO/IEC 27005 a été élaborée par le groupe de travail 1, Systèmes de management de la sécurité de l’information, du comité technique ISO/IEC JTC 1, Technologies de l’information, sous-comité SC 27, Techniques de sécurité des technologies de l’information, dont le secrétariat est assuré par le DIN, membre de l’ISO pour l’Allemagne.
Elle est disponible auprès du membre de l’ISO dans votre pays ou sur l’ISO Store.
1) Forbes - IT Security: Get The Optimal Level With A Management Policy That Points To The User