P.I.L.O.T.E

3 min de lecture

Structure de la norme et principes du SMSI (HLS)

Introduction

La norme ISO/IEC 27001 suit la High Level Structure (HLS) commune à toutes les normes de management ISO. Cette structure harmonisée permet aux organisations d’intégrer plus facilement différents systèmes de management (qualité ISO 9001, environnement ISO 14001, continuité ISO 22301, etc.) dans un cadre cohérent.

Elle s’articule autour de 10 clauses, dont les clauses 4 à 10 définissent les exigences fondamentales applicables au SMSI.

Schéma ASCII de la structure HLS

+---------------------------------------------------+
|                 ISO/IEC 27001 - HLS               |
+---------------------------------------------------+
| 1. Domaine d’application (Scope)                  |
| 2. Références normatives                          |
| 3. Termes et définitions                          |
|---------------------------------------------------|
| 4. Contexte de l’organisation                     |
| 5. Leadership et engagement de la direction       |
| 6. Planification (risques et opportunités)        |
| 7. Support (ressources, compétences, sensibilisation) |
| 8. Fonctionnement opérationnel                    |
| 9. Évaluation des performances                    |
| 10. Amélioration continue                         |
+---------------------------------------------------+

Ce schéma illustre la logique de progression de la norme : comprendre le contexte, définir une gouvernance, planifier, mettre en œuvre, contrôler, puis améliorer.

Le cycle PDCA (Plan–Do–Check–Act)

La norme ISO/IEC 27001 repose sur le principe du PDCA, qui garantit un cycle d’amélioration continue :

  • Plan (Planifier) : définir le périmètre du SMSI, analyser les risques, fixer les objectifs et planifier les mesures de sécurité nécessaires.
  • Do (Déployer) : mettre en œuvre les politiques, procédures et contrôles définis dans l’Annexe A et adaptés au contexte de l’organisation.
  • Check (Vérifier) : évaluer la performance du SMSI par le suivi des indicateurs, les audits internes, les revues de direction, et la gestion des incidents.
  • Act (Agir) : corriger, améliorer et ajuster les mesures, intégrer les leçons apprises et renforcer la résilience organisationnelle.

Tip

Le PDCA permet de passer d’un SMSI “papier” à un système vivant et adapté à l’évolution permanente des menaces. Sans cette logique, la certification perd sa valeur.

Conséquences opérationnelles

La structure HLS et le cycle PDCA imposent une discipline organisationnelle :

  • La direction doit être activement impliquée (clause 5).
  • Les risques doivent être traités de manière systématique (clause 6).
  • Les contrôles doivent être déployés de manière mesurable (clause 8).
  • Les résultats doivent être suivis et exploités pour améliorer le SMSI (clauses 9 et 10).

Cette logique favorise une cohérence entre la sécurité de l’information et les autres processus de management (qualité, environnement, continuité).

Cas pratiques

  • Entreprise industrielle : en intégrant ISO 27001 et ISO 9001 via la HLS, une usine a pu unifier ses processus qualité et sécurité, évitant la duplication des audits et réduisant les coûts de conformité.
  • Secteur public : une administration a adopté la structure HLS pour aligner simultanément ses référentiels ISO 27001 (sécurité) et ISO 22301 (continuité d’activité), démontrant la complémentarité entre gestion des risques SI et gestion de crise.

Objectifs pédagogiques

À l’issue de ce chapitre, l’apprenant doit être capable de :

  • Expliquer la structure HLS et son rôle dans ISO/IEC 27001.
  • Décrire les clauses 4 à 10 et leur articulation.
  • Comprendre le fonctionnement du cycle PDCA et son application au SMSI.
  • Illustrer les bénéfices pratiques d’une intégration HLS.

Checklist RSSI

  • Vérifier que la structure documentaire du SMSI est alignée sur la HLS.
  • Démontrer l’application du cycle PDCA dans la gouvernance de sécurité.
  • Assurer que les clauses 4 à 10 sont couvertes par des preuves tangibles.
  • Intégrer le SMSI avec d’autres normes de management (9001, 22301) si nécessaire.
  • Préparer un schéma de présentation pour la direction illustrant PDCA et HLS.

Vue Graphique