Norme ISO/IEC 27002

Introduction

La norme ISO/IEC 27002 constitue le référentiel international de bonnes pratiques en matière de sécurité de l’information. Publiée par l’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC), elle complète la norme ISO/IEC 27001, en détaillant les mesures de sécurité (contrôles) à mettre en œuvre pour protéger les actifs informationnels d’une organisation.

L’objectif de la norme ISO/IEC 27002 est d’aider les entreprises à identifier, sélectionner et appliquer des mesures de sécurité adaptées à leurs risques, garantissant ainsi la confidentialité, l’intégrité et la disponibilité des informations.
Applicable à tous les secteurs, elle s’adresse aussi bien aux organisations publiques, privées, industrielles, financières ou technologiques, qu’aux consultants, auditeurs et responsables sécurité.

Comprendre la norme ISO/IEC 27002

Objectif et portée

La norme ISO/IEC 27002 définit un ensemble de bonnes pratiques de gestion de la sécurité de l’information, visant à renforcer la protection des systèmes informatiques, des réseaux et des données.
Ses objectifs principaux sont de :

• Fournir un cadre de référence pour la mise en œuvre des contrôles de sécurité définis dans ISO/IEC 27001 ;

• Aider à identifier les menaces et vulnérabilités liées aux technologies de l’information ;

• Soutenir la gestion du risque et la conformité réglementaire (RGPD, NIS2, etc.) ;

• Promouvoir une culture organisationnelle de la sécurité et de la responsabilité.

La version actuelle, ISO/IEC 27002:2022, a été profondément révisée pour intégrer les enjeux contemporains tels que la cybersécurité, la protection des données, la résilience et la gouvernance numérique.

Structure et domaines de la norme ISO/IEC 27002

La norme ISO/IEC 27002 repose sur 93 mesures de sécurité (contrôles) réparties en quatre grands thèmes :

1. Organisationnel (37 contrôles)

   • Gouvernance de la sécurité, politiques, rôles et responsabilités.

   • Gestion des risques et des tiers.

   • Intégration de la sécurité dans la stratégie d’entreprise.

2. Humain (8 contrôles)

   • Sensibilisation, formation et responsabilités des employés.

   • Sécurité du personnel avant, pendant et après l’emploi.

3. Physique (14 contrôles)

   • Sécurisation des locaux, contrôle d’accès physique, protection des équipements.

4. Technologique (34 contrôles)

   • Sécurité des réseaux, cryptographie, journalisation, sauvegardes, gestion des vulnérabilités, protection des données dans le cloud.

Chaque contrôle est accompagné d’objectifs de mise en œuvre et de lignes directrices destinées à faciliter son adaptation aux contextes spécifiques de chaque organisation.

Mise en œuvre de la norme ISO/IEC 27002

Les étapes clés d’application

La mise en œuvre de la norme ISO/IEC 27002 suit une démarche méthodique :

1. Évaluation du contexte – identifier les actifs informationnels, les menaces et les risques associés.

2. Sélection des contrôles pertinents – choisir les mesures adaptées selon les résultats de l’analyse de risques.

3. Intégration dans le système de management – aligner les contrôles avec les exigences de la norme ISO/IEC 27001.

4. Documentation et formation – établir des politiques, procédures et programmes de sensibilisation.

5. Suivi et amélioration – évaluer régulièrement l’efficacité des mesures et ajuster les dispositifs selon les évolutions technologiques et réglementaires.

Cette approche permet de construire un système de sécurité cohérent, évolutif et mesurable.

Documentation et livrables attendus

L’application de la norme ISO/IEC 27002 s’appuie sur une documentation rigoureuse et traçable :

• Politique de sécurité de l’information,

• Registre des actifs et des risques associés,

• Plan de gestion des incidents,

• Procédures de contrôle d’accès et d’authentification,

• Plan de continuité et de sauvegarde des données,

• Registre des mesures de sécurité mises en œuvre.

Ces documents constituent la preuve de conformité lors des audits ISO/IEC 27001 et garantissent la traçabilité des actions de sécurité.

Lien avec les autres normes ISO/IEC

La norme ISO/IEC 27002 s’inscrit dans la famille ISO/IEC 27000, qui couvre l’ensemble des dimensions de la sécurité de l’information :

• ISO/IEC 27001 : exigences du système de management de la sécurité de l’information (SMSI),

• ISO/IEC 27005 : gestion des risques,

• ISO/IEC 27032 : cybersécurité,

• ISO/IEC 27035 : gestion des incidents,

• ISO/IEC 27701 : protection des données personnelles,

• ISO/IEC 27017 et 27018 : sécurité et confidentialité dans le cloud.

L’intégration de ces normes permet de bâtir une gouvernance de la sécurité solide, alignée sur les meilleures pratiques internationales.

Compétences développées grâce à la norme ISO/IEC 27002

La mise en œuvre de la norme ISO/IEC 27002 permet de renforcer des compétences clés :

• Élaboration et pilotage d’une stratégie de sécurité de l’information.

• Maîtrise des contrôles techniques, organisationnels et humains.

• Conduite d’audits de sécurité et d’évaluations de conformité.

• Intégration de la sécurité dans les processus métier et les systèmes numériques.

• Amélioration continue de la posture cyber et organisationnelle.

Ces compétences sont essentielles pour les RSSI, auditeurs ISO/IEC, DPO, consultants en cybersécurité et chefs de projet IT.

Public concerné

La norme ISO/IEC 27002 s’adresse à :

• Entreprises privées, organismes publics et institutions financières,

• Responsables de la sécurité de l’information (RSSI),

• Auditeurs internes et externes ISO/IEC 27001,

• Consultants en cybersécurité et conformité RGPD,

• Organisations certifiées ou en voie de certification ISO/IEC 27001.

Passerelles et débouchés

L’adoption de la norme ISO/IEC 27002 offre de nombreux avantages :

• Amélioration de la maturité en sécurité de l’information,

• Renforcement de la confiance des clients et partenaires,

• Meilleure préparation à la certification ISO/IEC 27001,

• Réduction des risques opérationnels et réglementaires,

• Accès à des formations certifiantes Lead Implementer / Lead Auditor.

Elle constitue un socle opérationnel incontournable pour toute stratégie de sécurité et de conformité numérique.

Conclusion

La norme ISO/IEC 27002 est un guide essentiel pour la mise en œuvre concrète de la sécurité de l’information.
Elle permet aux organisations de transformer leurs politiques de sécurité en actions mesurables et efficaces, tout en assurant la conformité et la résilience face aux menaces numériques.
Adopter la norme ISO/IEC 27002, c’est garantir une protection durable des actifs informationnels, une gouvernance exemplaire et une confiance renforcée auprès des parties prenantes.