INTRODUCTION
La certification ISO 27001 est la nouvelle version de la norme internationale relative à la sécurité de l’information. Elle vise à rationaliser le management de la sécurité des données et permet aux entreprises qui l’ont mise en place de témoigner d’un système effectif de sécurité de l’information. Son obtention implique l’identification préalable des informations sensibles détenues par l’entreprise avant d’instaurer des mesures de protection adaptées, efficaces et évolutives.
Plus généralement, la certification ISO 27001 fait partie d’un référentiel global sur la qualité de cybersécurité d’une entreprise. Contrairement à la norme ISO 45001, qui repère les risques internes à l’entreprise, la certification ISO 27001 atteste d’un certain niveau de protection des données face à des menaces externes telles que les cyberattaques, notamment. Dans un contexte où la numérisation de l’économie accroît la vulnérabilité des entreprises et les expose à des risques croissants d’attaque informatique, la certification ISO 27001 offre non seulement des garanties de sécurité supplémentaires, mais elle constitue aussi un marqueur différenciant vis-à-vis de la concurrence.
La certification ISO 27001 participe à la diffusion d’une culture de la cybersécurité en entreprise
L’ère du numérique, qui a commencé à la fin des années 1990, a transformé de manière significative les conditions de production des entreprises. Le recours aux outils informatiques a ainsi engendré des risques et des vulnérabilités spécifiques. Ces derniers sont essentiellement numériques et s’ajoutent aux menaces traditionnelles que sont les malveillances, les vols, le sabotage et l’espionnage.
Face à l’augmentation des cyberattaques, la prise de conscience s’accélère. De toute évidence, certaines entreprises, notamment les petites et moyennes, peinent encore à pleinement intégrer la cybersécurité dans leur organisation. Les problématiques de cybersécurité y suscitent parfois le même malaise et la même incompréhension que les enjeux relatifs à la sécurité physique. À cette nuance (de taille !) près que les difficultés d’appréhension des enjeux de cybersécurité sont accentuées par leur caractère « technique », sans compter la nature assez diffuse et abstraite de certaines menaces.
Dans ce contexte, la responsabilité de la protection des réseaux et des systèmes d’information ne revient pas toujours à des interlocuteurs consacrés dans les entreprises et, dans la plupart des cas, il incombe au directeur des systèmes d’information (DSI) de les prendre en compte. Au sein des grands groupes, la fonction de responsable de la sécurité des systèmes d’information (RSSI) s’est, en revanche, largement généralisée.
En tout état de cause, qu’il s’agisse d’entreprises de taille moyenne ou de grands groupes, la certification ISO 27001 vise à répondre à ces nouvelles menaces en renforçant les mécanismes préventifs dans le domaine du cyber. Elle encourage les sociétés à anticiper de possibles défaillances informatiques en raison des menaces auxquelles elles sont exposées, tout en tenant compte des contre-mesures de sécurité d’ores et déjà mises en place. L’ajustement de ces contre-mesures évite alors la répétition des audits à la suite d’incidents et limite, ce faisant, les coûts relatifs à la sécurité logique.
En outre, l’acquisition de la certification ISO 27001 résulte d’un jugement indépendant et expert sur le niveau de sécurité de l’entreprise. Cela facilite la sélection de mesures de sécurité adaptées afin de protéger les données, conformément aux contraintes législatives en vigueur. À cet égard, précisons que la certification ISO 27001 s’aligne sur la législation la mieux-disante en matière de gestion des risques et de sécurité des données, notamment le Règlement général sur la protection des données (RGPD). La certification ISO 27001 permet de cette manière d’éviter des pénalités coûteuses en lien avec le non-respect des exigences réglementaires.
L’entreprise certifiée ISO 27001 peut ainsi attester d’une certaine acculturation aux enjeux de cybersécurité et en faire un avantage concurrentiel.
L’ISO 27001 procure un avantage concurrentiel
La mise en œuvre de la certification ISO 27001 découle d’une approche préventive de la sécurité des informations sensibles. Elle complète les politiques de sûreté d’ores et déjà à l’œuvre sur le plan physique et pousse les entreprises qui s’inscrivent dans cette démarche de certification à continuellement améliorer leurs pratiques. Si la certification ISO 27001 ne revêt aucun caractère obligatoire, elle permet cependant aux sociétés certifiées de se distinguer efficacement de leurs concurrents. Elle apporte en effet la preuve de la résilience de leur infrastructure informatique et justifie de cette manière une atténuation du risque de vol ou de perte de données sensibles. De surcroît, plus encore que la certification ISO 9001, la certification ISO 27001, qui implique de se conformer à un cahier des charges composé de 10 chapitres et de 114 points de contrôle, contraint l’entreprise certifiée à évaluer continuellement ses performances en matière de sécurité de l’information. Ce sont là autant de gages donnés à d’éventuels clients et partenaires.
Il est vrai que la force de la certification ISO 27001, au-delà du rehaussement du niveau de sécurité qu’elle permet, réside surtout dans l’avantage comparatif qu’elle procure. Il est indéniable que cette certification consolide la fidélité de clients existants. Ces derniers seront rassurés de savoir que leur prestataire renforce sa sécurité au moyen de procédures éprouvées et contrôlées sur la base de standards universels.
Cette certification peut également servir à peser dans les processus prospectifs vis-à-vis de nouveaux clients (appels d’offres, démarchages, etc.). Par ailleurs, elle est de plus en plus appréciée par les services achats des entreprises. Il n’est pas rare que ces derniers la requièrent même explicitement ! Se prévaloir de la certification ISO 27001 renforce donc l’image de l’entreprise, ce qui lui confère un avantage marketing d’autant plus décisif que les acteurs du numérique sont particulièrement sensibles à la rigueur et au strict respect des procédures. Enfin, puisqu’il s’agit d’une certification reconnue à l’international, la norme ISO 27001 fluidifie les échanges à l’export et permet de rassurer des prospects et des clients étrangers sur la base de procédures qui tendent à s’universaliser.
L’obtention de la certification ISO 27001 n’est pas impérative pour une entreprise. Toutefois, puisqu’elle est considérée vue comme un gage d’appropriation des enjeux de la cybersécurité, sa mise en place se généralise. La certification ISO 27001 permet par ailleurs la fidélisation des clients et des partenaires d’affaires de l’entreprise. Cela favorise donc son développement économique tout en maîtrisant les coûts relatifs à la sécurité de l’information. C’est ce qui fait d’elle l’une norme des plus avantageuses à l’ère du numérique.
Guillaume Farde
Consultant expert en sécurité et défense
Professeur affilié à l’école d’affaires publiques de Sciences Po
