Knowledge Hub

Glossaire cybersécurité, ISO 27001 & GRC

Les définitions de référence dont vous avez besoin pour rédiger vos politiques et préparer vos audits — en clair, sans jargon inutile.

Acceptable Use Policy(AUP)Politiques: Politique définissant comment les collaborateurs peuvent utiliser les systèmes, équipements, réseaux et données de l’entreprise, et ce qui est interdit. C’est l’un des documents les plus demandés en audit et à l’embauche. Une charte type couvre l’usage acceptable de la messagerie et d’internet, le traitement des données confidentielles, l’hygiène des mots de passe et des équipements, l’installation de logiciels, l’usage personnel, les attentes en matière de supervision et les conséquences des manquements. Elle correspond directement à la mesure 5.10 d’ISO 27002 (usage acceptable de l’information et des actifs associés) et fait généralement l’objet d’une acceptation écrite par chaque collaborateur et prestataire avant l’octroi des accès. Parce qu’elle est signée, la charte donne aussi une base défendable aux sanctions disciplinaires et à toute supervision réalisée. Courte et lisible, c’est la politique que les utilisateurs rencontrent le plus souvent.; Lire le guide complet →Voir un modèle PDF associé →
Access Control PolicyPolitiquesISO 27001: Politique régissant la création, l’authentification, l’autorisation, la revue et la révocation des identités, appliquant généralement le moindre privilège et le contrôle d’accès basé sur les rôles. Elle définit tout le cycle de vie de l’identité : demande et approbation des comptes à l’arrivée, modification lors d’un changement de poste, et désactivation rapide au départ. Elle fixe les exigences d’authentification (dont le MFA pour les systèmes sensibles), les règles pour les comptes à privilèges et partagés, la séparation des tâches et la fréquence des revues d’accès périodiques qui confirment que chacun a toujours besoin de ses droits. Elle correspond à la famille « contrôle d’accès » d’ISO 27002 (notamment 5.15–5.18) et sous-tend les constats d’audit sur les comptes orphelins et les privilèges excessifs. C’est l’un des documents à plus fort effet de levier, car une gestion des accès défaillante est à l’origine d’une grande part des violations réelles.; Lire le guide complet →Voir un modèle PDF associé →
ANSSIRéglementationGRC: Agence nationale de la sécurité des systèmes d’information — autorité nationale française en cybersécurité. Elle publie des guides et référentiels (comme le Guide d’hygiène informatique et la qualification SecNumCloud) largement utilisés comme socle par les organisations françaises. Créée en 2009 et rattachée aux services du Premier ministre (SGDSN), l’ANSSI est une agence défensive : contrairement à certains homologues étrangers, elle n’a pas de mandat offensif ni de renseignement. Elle protège l’État, les opérateurs d’importance vitale (OIV) et les opérateurs de services essentiels (OSE), pilote le CERT-FR pour la réponse aux incidents, et qualifie produits et prestataires de confiance via des schémas comme SecNumCloud (cloud), la CSPN (évaluation de produits) et les prestataires d’audit qualifiés PASSI. Elle est aussi l’autorité française qui pilote la mise en œuvre nationale de règles européennes comme NIS2. Ses publications sont gratuites et souvent adoptées comme socle de sécurité bien au-delà des entités légalement concernées.
Business Continuity Plan(BCP)PolitiquesGRC: Plan garantissant que les fonctions métier critiques peuvent se poursuivre ou être rapidement rétablies pendant et après une interruption. Il s’appuie sur des objectifs de reprise (RPO/RTO) et se teste régulièrement. Un PCA débute généralement par un bilan d’impact sur l’activité qui hiérarchise les processus selon leur criticité et fixe leurs objectifs de reprise, puis documente les stratégies, ressources, sites de repli et procédures détaillées nécessaires pour les maintenir. Il est plus large qu’un plan de reprise d’activité, centré sur la restauration des systèmes informatiques ; le PRA n’est qu’une composante du PCA. ISO 22301 est la norme dédiée au management de la continuité d’activité, et la mesure 5.30 d’ISO 27002 traite de la préparation des TIC à la continuité. Un plan jamais exercé échoue souvent au moment voulu : des tests réguliers sur table et de bascule sont essentiels pour le garder crédible.; Lire le guide complet →Voir un modèle PDF associé →
BYODPolitiques: Bring Your Own Device — usage d’équipements personnels à des fins professionnelles. Une politique BYOD fixe les conditions de sécurité (chiffrement, MFA, effacement à distance, cloisonnement des données) sous lesquelles c’est autorisé. La tension centrale : l’organisation doit protéger des données d’entreprise sur du matériel qu’elle ne possède pas, tout en respectant la vie privée du collaborateur. Les politiques modernes y répondent par la gestion des appareils mobiles (MDM) ou, de plus en plus, la gestion des applications mobiles et la conteneurisation, qui isolent les données professionnelles pour permettre un effacement sélectif sans toucher aux photos ou messages personnels. Elles fixent aussi des règles sur les versions d’OS minimales, le verrouillage d’écran, l’interdiction du jailbreak/root, le signalement des pertes et le départ des collaborateurs. Le NIST SP 800-124 fournit des recommandations détaillées. Une politique BYOD claire et un accord signé rendent l’usage des appareils personnels défendable.; Lire le guide complet →Voir un modèle PDF associé →
CIS ControlsGRC: Ensemble priorisé de 18 mesures publié par le Center for Internet Security pour contrer les attaques les plus courantes. Les groupes d’implémentation (IG1–IG3) adaptent les mesures à la taille et au risque de l’organisation : l’IG1 définit l’hygiène cyber essentielle des petites structures, tandis que l’IG2 et l’IG3 ajoutent de la profondeur face à un risque plus élevé. Les mesures sont ordonnées pour que les plus fondamentales et à fort impact — inventaire des actifs et des logiciels, protection des données, configuration sécurisée, gestion des comptes et des accès — viennent en premier. La version 8 les a réorganisées autour des activités plutôt que du propriétaire de l’équipement, pour tenir compte du cloud et du télétravail. Chaque mesure se met en correspondance avec d’autres référentiels comme NIST CSF et ISO 27001.
Data ClassificationPolitiques: Pratique consistant à étiqueter l’information selon sa sensibilité (ex. public, interne, confidentiel, restreint) afin d’appliquer de manière cohérente les règles de manipulation, stockage, partage et conservation. La classification est le socle d’une protection proportionnée : dès qu’une donnée porte une étiquette, des mesures comme le chiffrement, les restrictions d’accès, les emplacements de stockage approuvés et les durées de conservation peuvent être rattachées à cette étiquette plutôt que décidées au cas par cas. Les mesures 5.12 (classification) et 5.13 (étiquetage) d’ISO 27002 couvrent la discipline, et la plupart des schémas utilisent trois ou quatre niveaux pour rester utilisables. La difficulté est opérationnelle : les étiquettes doivent être posées dès la création, survivre aux copies et partages, et être comprises des collaborateurs. Un schéma trop granulaire finit ignoré ; un petit nombre de niveaux clairement définis, assortis de règles concrètes, fonctionne le mieux.; Lire le guide complet →Voir un modèle PDF associé →
Data Processing Agreement(DPA)RéglementationGRC: Contrat exigé par l’article 28 du RGPD entre un responsable de traitement et un sous-traitant, fixant la portée, la durée, les mesures de sécurité et les obligations encadrant le traitement des données personnelles. L’article 28 précise les clauses obligatoires que le contrat doit contenir : le sous-traitant n’agit que sur instructions documentées, garantit la confidentialité du personnel, applique une sécurité appropriée au titre de l’article 32, ne recourt à des sous-traitants ultérieurs qu’avec autorisation et clauses équivalentes, assiste le responsable pour les droits des personnes et la notification des violations, et supprime ou restitue les données en fin de prestation. Il accorde aussi un droit d’audit au responsable. En pratique, un DPA est signé dès qu’une organisation confie des données personnelles à un prestataire — hébergeur cloud, outil SaaS, gestionnaire de paie — et figure parmi les documents les plus demandés lors de l’évaluation des fournisseurs. Pour les transferts hors UE, il est souvent assorti de clauses contractuelles types.
DORARéglementation: Digital Operational Resilience Act — règlement européen (2022/2554) harmonisant la gestion du risque informatique, la notification d’incidents, les tests de résilience et la supervision des tiers pour le secteur financier, applicable depuis janvier 2025. Il couvre un large éventail d’entités financières — banques, assureurs, entreprises d’investissement, établissements de paiement, prestataires de crypto-actifs et autres — et repose sur cinq piliers : gestion du risque informatique, classification et notification des incidents liés aux TIC, tests de résilience opérationnelle numérique (dont des tests d’intrusion fondés sur la menace pour les grandes entités), gestion du risque lié aux prestataires tiers de TIC et dispositifs de partage d’informations. Particularité notable : un régime de supervision des prestataires tiers critiques, comme les grandes plateformes cloud, qui les place sous contrôle direct. Étant un règlement et non une directive, il s’applique uniformément dans toute l’UE sans transposition nationale.
EU AI ActRéglementation: Règlement européen sur l’intelligence artificielle (2024/1689) — cadre fondé sur le risque qui classe les systèmes d’IA (risque inacceptable, élevé, limité, minimal) et impose des obligations aux fournisseurs et déployeurs, dont gouvernance, transparence et documentation. Les systèmes à risque inacceptable (notation sociale, certaines pratiques biométriques) sont interdits ; les systèmes à haut risque — utilisés dans le recrutement, le crédit, l’éducation ou les infrastructures critiques — doivent satisfaire des exigences strictes de gestion du risque, de qualité des données, de journalisation, de supervision humaine et d’évaluation de la conformité avant leur mise sur le marché. Les systèmes à risque limité comme les chatbots ont des obligations de transparence, et les modèles d’IA à usage général portent leurs propres obligations. Le règlement s’applique de façon extraterritoriale et entre en vigueur par étapes, les interdictions s’appliquant en premier et les obligations « haut risque » plus tard ; les amendes peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. ISO/IEC 42001 sert largement de cadre de système de management pour en démontrer la gouvernance responsable.; Lire le guide complet →Voir un modèle PDF associé →
GDPR(RGPD)Réglementation: Règlement Général sur la Protection des Données (2016/679) — règlement encadrant la collecte, le traitement, le stockage et le transfert des données personnelles des individus dans l’UE, assorti de droits pour les personnes et de sanctions importantes en cas de non-conformité. En vigueur depuis mai 2018, il repose sur les principes de l’article 5 (licéité, loyauté et transparence ; limitation des finalités ; minimisation ; exactitude ; limitation de la conservation ; intégrité et confidentialité ; responsabilité) et exige une base légale au titre de l’article 6 pour tout traitement. Il accorde aux personnes des droits d’accès, de rectification, d’effacement, de portabilité et d’opposition, et oblige à tenir des registres, à mener des analyses d’impact pour les traitements à risque élevé et à notifier les violations qualifiées sous 72 heures. Il s’applique de façon extraterritoriale à toute organisation ciblant ou suivant des personnes dans l’UE, et les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. ISO 27701 aide à en prouver la redevabilité.
GRCGRC: Gouvernance, Risques et Conformité — discipline consistant à aligner la gouvernance de la sécurité, la gestion des risques et la conformité réglementaire pour qu’elles se renforcent plutôt que se dupliquer. La gouvernance fixe les politiques, les rôles et les droits de décision ; la gestion des risques identifie et traite les menaces au regard de l’appétence de l’organisation ; la conformité prouve que les mesures satisfont lois, normes et contrats. Traitées séparément, elles produisent des audits redondants, des mesures contradictoires et des preuves dupliquées. Traitées comme un seul programme — souvent appuyé sur une bibliothèque de mesures partagée et une plateforme GRC — une même mesure peut être testée une fois et reliée à la fois à ISO 27001, SOC 2, RGPD et aux engagements clients. Pour les petites équipes, la GRC tient moins à l’outillage qu’à une manière cohérente et documentée de décider quoi protéger, quel risque accepter et comment le prouver.
HDSRéglementationGRC: Hébergeur de Données de Santé — certification française obligatoire pour héberger des données de santé à caractère personnel. Elle s’appuie sur ISO 27001 avec des exigences spécifiques au secteur de la santé. Instaurée par le Code de la santé publique, la certification HDS a remplacé l’ancien agrément et est délivrée par des organismes de certification accrédités après audit. Elle ajoute l’ISO 20000-1 (gestion des services informatiques) et des mesures sectorielles au socle ISO 27001, et est accordée pour des activités définies — de l’hébergement d’infrastructure physique et de machines virtuelles jusqu’à l’hébergement applicatif et la sauvegarde. Toute organisation qui stocke ou traite des données de santé identifiantes pour le compte de tiers en France, y compris les fournisseurs cloud servant des acteurs de la e-santé et des hôpitaux, doit la détenir. Pour une startup de la e-santé, choisir un hébergeur certifié HDS est souvent le moyen le plus simple de répondre à l’exigence sans certifier sa propre infrastructure.
HIPAARéglementation: Loi américaine Health Insurance Portability and Accountability Act — fixe les normes de protection des informations de santé des patients (PHI), notamment via la Security Rule et la Privacy Rule encadrant les mesures de protection et les divulgations. Adoptée en 1996, elle s’applique aux « covered entities » (assureurs santé, prestataires de soins et chambres de compensation) et à leurs « business associates » — prestataires manipulant des PHI pour leur compte, qui doivent signer un Business Associate Agreement. La Privacy Rule encadre l’usage et la divulgation des informations de santé protégées et donne des droits aux patients sur leurs dossiers ; la Security Rule impose des mesures administratives, physiques et techniques pour les PHI électroniques ; la Breach Notification Rule fixe les obligations de divulgation après une violation. Elle est appliquée par l’Office for Civil Rights du HHS, avec des sanctions graduées selon la faute. Pour les éditeurs servant la santé américaine, signer des BAA et mettre en œuvre les mesures de la Security Rule sont les conditions d’entrée concrètes.
Incident Response PolicyPolitiques: Politique et procédure définissant comment les incidents de sécurité sont détectés, triés, confinés, éradiqués, puis comment on rétablit et tire les leçons — incluant rôles, escalades et délais de notification de violation. Elle suit généralement des cycles reconnus comme NIST SP 800-61 (préparation ; détection et analyse ; confinement, éradication et rétablissement ; activité post-incident) et désigne une équipe de réponse dotée d’une autorité claire pour agir. Surtout, elle relie la réponse technique aux obligations légales : l’article 33 du RGPD impose de notifier l’autorité de contrôle dans les 72 heures suivant la prise de connaissance d’une violation de données personnelles, et d’autres régimes (NIS2, DORA, règles sectorielles) fixent leurs propres délais. Une bonne politique s’accompagne de listes de contacts, de définitions de gravité et de runbooks, et se répète via des exercices sur table afin que la première application ne soit pas un incident réel.; Lire le guide complet →Voir un modèle PDF associé →
Information security policyPolitiquesISO 27001: Document de plus haut niveau, approuvé par la direction, qui formalise l’engagement de l’organisation à protéger l’information et donne la direction à toutes les politiques subordonnées. Exigée par ISO 27001 (article 5.2). Elle doit être adaptée à la finalité de l’organisation, inclure ou cadrer les objectifs de sécurité, s’engager à satisfaire les exigences applicables et à l’amélioration continue, être documentée, communiquée en interne et mise à disposition des parties intéressées le cas échéant. Volontairement courte et stable, elle surplombe les politiques thématiques plus détaillées (contrôle d’accès, usage acceptable, réponse aux incidents, etc.), qui traduisent son intention en règles concrètes. La direction en est propriétaire — signalant que la sécurité relève du leadership et pas seulement de l’informatique — et la revoit à intervalles planifiés pour suivre l’évolution de l’activité, des technologies et des menaces.
ISMS(SMSI)ISO 27001GRC: Système de Management de la Sécurité de l’Information — l’ensemble des politiques, processus, rôles et mesures qu’une organisation utilise pour gérer le risque de sécurité de manière systématique et auditable. La norme ISO/IEC 27001 définit les exigences d’un SMSI. Ce n’est pas un projet ponctuel mais un cycle continu : la direction fixe des objectifs, les risques sont appréciés puis traités, les mesures sont exploitées et surveillées, et le système est amélioré via des audits internes et des revues de direction. Il s’applique à toute organisation, quelle que soit sa taille, et son périmètre peut être limité à certains produits, équipes ou sites. Un SMSI bien tenu transforme des pratiques éparses en preuves documentées et reproductibles — le socle attendu par les auditeurs.
ISO/IEC 27001ISO 27001Réglementation: Norme internationale qui spécifie les exigences pour établir, exploiter et améliorer en continu un SMSI. La certification est délivrée par un organisme accrédité après un audit en deux étapes. La révision 2022 aligne les mesures sur ISO/IEC 27002:2022. Elle se compose d’articles obligatoires de système de management (4 à 10 : contexte, leadership, planification, support, fonctionnement, évaluation des performances, amélioration) et de l’Annexe A, qui liste 93 mesures de référence. Le certificat est valable trois ans, avec des audits de surveillance annuels. C’est la certification de sécurité de l’information la plus reconnue au monde, souvent exigée dans les achats grands comptes et l’évaluation des fournisseurs. Toute organisation peut se certifier ; l’effort dépend du périmètre retenu et du nombre de mesures applicables.
ISO/IEC 27002ISO 27001: Norme d’accompagnement décrivant les 93 mesures de sécurité référencées par l’Annexe A d’ISO 27001, organisées en quatre thèmes : organisationnelles, humaines, physiques et technologiques. Contrairement à ISO 27001, elle n’est pas certifiable : elle fournit des recommandations de mise en œuvre, expliquant l’objectif de chaque mesure et la façon de l’appliquer. L’édition 2022 a regroupé les 114 mesures précédentes en 93, introduit 11 nouvelles mesures (renseignement sur les menaces, codage sécurisé, masquage des données…) et ajouté cinq attributs (type de mesure, propriété de sécurité, concept de cybersécurité, capacité opérationnelle, domaine de sécurité) pour filtrer et cartographier les mesures. Les équipes l’utilisent comme manuel pratique tout en se certifiant sur ISO 27001.
ISO/IEC 27701ISO 27001Réglementation: Norme internationale dédiée à la gestion de la vie privée (PIMS). Elle aide à gérer les données personnelles et à démontrer une redevabilité alignée sur le RGPD. D’abord publiée en 2019 comme extension d’ISO 27001/27002, son édition 2025 en fait une norme de système de management autonome et certifiable : un PIMS peut désormais être certifié seul ou intégré à un SMSI existant, et les organisations certifiées sur l’édition 2019 ont jusqu’à octobre 2028 pour effectuer la transition. Elle répartit les exigences et mesures propres à la vie privée selon les rôles de responsable de traitement et de sous-traitant, et est conçue pour être mise en correspondance avec les lois de protection des données comme le RGPD — offrant aux responsables et sous-traitants un moyen reconnu et auditable de prouver leurs obligations en matière de vie privée.
ISO/IEC 42001ISO 27001Réglementation: Norme internationale pour un Système de Management de l’Intelligence Artificielle (AIMS). Elle reprend la structure d’ISO 27001 pour aider les organisations à gouverner l’IA de façon responsable — risque, transparence, qualité des données et cycle de vie. Publiée en 2023 comme première norme certifiable de système de management de l’IA, elle adopte la même structure de haut niveau qu’ISO 27001 et ISO 9001, si bien qu’une organisation disposant déjà d’un système de management peut l’intégrer plutôt que d’en construire un parallèle. Elle introduit des concepts propres à l’IA comme l’analyse d’impact de l’IA (prenant en compte les effets sur les individus et la société, et pas seulement sur l’organisation) et des mesures couvrant tout le cycle de vie, des données et du développement des modèles jusqu’au déploiement et à la surveillance. Étant certifiable, elle permet de démontrer une gouvernance responsable de l’IA aux clients et régulateurs — et est de plus en plus citée comme moyen concret de prouver les obligations de gouvernance introduites par le règlement européen sur l’IA.; Lire le guide complet →Voir un modèle PDF associé →
Least PrivilegePolitiquesGRC: Principe selon lequel tout utilisateur, processus ou système ne reçoit que l’accès minimal nécessaire à sa fonction, réduisant l’impact d’identifiants compromis. Si un compte ne pouvant lire qu’un seul dossier est hameçonné, l’attaquant n’obtient que ce dossier ; un compte surdoté lui en donne bien davantage. En pratique, le moindre privilège s’applique via le contrôle d’accès basé sur les rôles, des revues d’accès régulières qui retirent les droits inutilisés, la suppression des accès administrateur permanents et l’élévation juste-à-temps qui n’accorde des privilèges élevés que le temps nécessaire avant de les révoquer. C’est un pilier du Zero Trust et un thème récurrent d’ISO 27001 et des CIS Controls. Cette discipline contre la « dérive des privilèges », où l’on accumule des accès au fil des changements de poste sans jamais perdre ce dont on n’a plus besoin.
Multi-Factor Authentication(MFA)Politiques: Méthode d’authentification exigeant au moins deux facteurs indépendants (ce que l’on sait, possède ou est). C’est l’une des mesures les plus efficaces contre la prise de contrôle de compte. Les facteurs proviennent de catégories distinctes — un mot de passe (connaissance), un téléphone ou une clé matérielle (possession), une empreinte ou un visage (inhérence) — si bien qu’un mot de passe volé ne suffit pas à se connecter. Toutes les méthodes ne se valent pas : les codes d’une application d’authentification et les notifications push sont plus robustes que les codes SMS, interceptables par échange de carte SIM, tandis que les clés matérielles FIDO2/WebAuthn et les passkeys résistantes à l’hameçonnage sont les plus fortes, car elles ne peuvent être rejouées sur un faux site. Le MFA est de plus en plus exigé par les cyber-assurances et les régulateurs ; l’appliquer à la messagerie, à l’accès distant et aux comptes à privilèges bloque la grande majorité des attaques par identifiants.
NIS2Réglementation: Directive européenne (2022/2555) élargissant les obligations de cybersécurité à davantage de secteurs, avec des mesures de gestion du risque, de notification d’incidents et de responsabilité de la direction renforcées. NIS2 remplace la directive NIS de 2016 et élargit fortement le périmètre, classant les organisations en entités « essentielles » ou « importantes » dans des secteurs comme l’énergie, les transports, la santé, l’infrastructure numérique, l’administration publique, l’industrie manufacturière et la gestion des services TIC. Elle impose des mesures de gestion du risque de base (article 21), un calendrier de notification en plusieurs temps — alerte précoce sous 24 heures et notification plus complète sous 72 heures — et rend la direction personnellement responsable de la conformité, avec un pouvoir de sanctions significatives. En tant que directive, elle doit être transposée dans le droit national de chaque État membre, si bien que seuils et sanctions varient selon les pays. Beaucoup s’appuient sur ISO 27001 comme socle pratique pour répondre à ses exigences.
NIST CSFGRC: Cadre de cybersécurité du NIST — référentiel volontaire fondé sur le risque, structuré autour de fonctions (Gouverner, Identifier, Protéger, Détecter, Répondre, Rétablir) pour évaluer et améliorer la posture de sécurité. La fonction Gouverner a été ajoutée dans la version 2.0 (2024), qui a aussi élargi le cadre au-delà des infrastructures critiques à toute organisation, quels que soient sa taille et son secteur. Chaque fonction se décline en catégories et sous-catégories de résultats que l’on peut faire correspondre aux mesures d’autres référentiels comme ISO 27001 ou les CIS Controls. Les organisations l’utilisent pour exprimer un profil actuel et un profil cible et pour communiquer le risque à la direction dans un langage commun. C’est un guide, pas une norme certifiable.
PCI DSSRéglementation: Payment Card Industry Data Security Standard — standard de sécurité contractuel pour toute organisation qui stocke, traite ou transmet des données de cartes de paiement, définissant des exigences de sécurité réseau, de chiffrement, de contrôle d’accès et de supervision. Maintenu par le PCI Security Standards Council (fondé par les grands réseaux de cartes), la version actuelle 4.0.1 organise ses exigences en douze groupes répartis sous six objectifs de contrôle. La manière de valider la conformité dépend du volume de transactions et du mode de traitement des données de carte : les grands commerçants subissent un audit annuel sur site par un Qualified Security Assessor produisant un rapport de conformité, tandis que les plus petits remplissent un questionnaire d’auto-évaluation. Une stratégie clé est de réduire le périmètre — par exemple en externalisant les pages de paiement ou en recourant à la tokenisation pour que les numéros de carte ne transitent jamais par vos systèmes. Il est imposé contractuellement par les banques acquéreuses et les réseaux, et non par la loi, mais la non-conformité peut entraîner amendes ou perte de la capacité à traiter les cartes.
Risk assessmentGRCISO 27001: Processus d’identification des actifs, menaces et vulnérabilités, puis d’estimation de la vraisemblance et de l’impact des risques afin de les prioriser. ISO 27001 exige une méthode d’appréciation des risques documentée et reproductible. La norme (article 6.1.2) impose que la méthode produise des résultats cohérents, comparables et valides — deux évaluateurs devraient aboutir à des conclusions similaires — et que l’organisation définisse au préalable ses critères d’acceptation du risque. Les risques sont généralement notés selon la vraisemblance et l’impact, classés, puis affectés à un propriétaire. La méthode peut partir des actifs ou de scénarios ; l’ISO 27005 fournit des recommandations détaillées. Le résultat est un registre des risques priorisé qui guide le traitement et, in fine, les mesures consignées dans la Déclaration d’Applicabilité. Elle doit être réitérée à intervalles planifiés et après tout changement significatif.
Risk treatmentGRCISO 27001: Décision sur la manière de traiter chaque risque identifié — réduire, accepter, transférer ou éviter — consignée dans un plan de traitement. Les mesures retenues alimentent la Déclaration d’Applicabilité. La réduction diminue la vraisemblance ou l’impact via des mesures ; l’acceptation signifie que le risque résiduel est toléré et validé par son propriétaire ; le transfert le partage avec un tiers tel qu’un assureur ou un fournisseur ; l’évitement supprime l’activité à l’origine du risque. ISO 27001 (article 6.1.3) exige que le plan soit approuvé par les propriétaires des risques, qui acceptent aussi le risque résiduel subsistant après application des mesures. Le plan désigne les responsables, les échéances et les mesures retenues, et se révise au fil de l’évolution des risques et de l’activité — faisant du traitement le pont entre l’appréciation des risques et l’exploitation quotidienne de la sécurité.
RPO / RTOGRC: Recovery Point Objective et Recovery Time Objective — le RPO est la perte de données maximale acceptable exprimée en temps ; le RTO est la durée maximale acceptable pour rétablir un service après un incident. Les deux répondent à des questions distinctes : le RPO détermine la fréquence des sauvegardes ou de la réplication (un RPO d’une heure signifie qu’on peut perdre au plus une heure de données, donc les capturer au moins toutes les heures), tandis que le RTO détermine la rapidité et la redondance de la reprise (un RTO de quatre heures exclut une restauration depuis des bandes froides hors site). Ils se fixent par processus métier lors du bilan d’impact et s’arbitrent face au coût — des objectifs proches de zéro exigent une réplication en temps réel et une infrastructure de secours coûteuses. Ensemble, ils transforment des ambitions de continuité floues en cibles mesurables que les plans de sauvegarde, de reprise et de continuité doivent atteindre.
SOC 2GRCRéglementation: Rapport d’attestation (AICPA) évaluant les contrôles d’un prestataire selon cinq critères : sécurité, disponibilité, intégrité de traitement, confidentialité et vie privée. Le Type I évalue la conception à un instant T ; le Type II l’efficacité opérationnelle sur une période. La sécurité (les « critères communs ») est toujours dans le périmètre ; les quatre autres sont optionnels et choisis selon les engagements pris envers les clients. Un SOC 2 est une attestation délivrée par un cabinet de CPA agréé, et non une certification ; le rapport se partage généralement sous NDA avec les prospects et clients. Les rapports de Type II couvrent le plus souvent une fenêtre d’observation de 3 à 12 mois et sont la version la plus demandée par les acheteurs grands comptes.
Statement of Applicability(SoA / DdA)ISO 27001: Document obligatoire d’ISO 27001 (Déclaration d’Applicabilité) listant chaque mesure de l’Annexe A, son applicabilité, la justification et son état de mise en œuvre. C’est la carte centrale qu’utilisent les auditeurs. Exigée par l’article 6.1.3(d), la DdA relie les résultats du traitement des risques à des mesures concrètes : pour chacune des 93 mesures de l’Annexe A, elle consigne la décision de l’inclure ou de l’exclure, la raison (par exemple un risque qu’elle couvre, ou pourquoi elle n’est pas pertinente) et son état de mise en œuvre. Surtout, chaque exclusion doit être justifiée — les auditeurs examinent de près les mesures écartées. Parce qu’elle réunit risques, mesures et statut en un seul endroit, la DdA est généralement le premier document demandé par l’auditeur de certification et la référence de tout l’audit d’étape 2.
Vulnerability ManagementPolitiquesGRC: Processus continu d’identification, d’évaluation, de priorisation et de correction des faiblesses de sécurité sur les systèmes et logiciels, généralement piloté par des scans réguliers, un score de gravité et des délais de correction définis. Les vulnérabilités sont couramment cataloguées en CVE et notées via le CVSS, mais les programmes matures priorisent selon le risque réel — en combinant la gravité avec l’exposition, la criticité des actifs et l’exploitation effectivement observée (par exemple via des signaux de prédiction d’exploitation ou le catalogue Known Exploited Vulnerabilities de la CISA) plutôt que de corriger sur le seul score brut. Le cycle est continu : découvrir les actifs, scanner, trier, corriger ou atténuer, puis vérifier la correction et capitaliser sur les enseignements. Il se distingue du test d’intrusion ponctuel et est référencé par la mesure 8.8 d’ISO 27002 et le CIS Control 7. Des délais de correction clairs par gravité, complétés d’un suivi du délai moyen de remédiation, transforment les résultats de scan en réduction mesurable du risque.; Lire le guide complet →Voir un modèle PDF associé →
Zero TrustGRCPolitiques: Modèle de sécurité qui ne présume aucune confiance implicite fondée sur l’emplacement réseau. Chaque requête est authentifiée, autorisée et validée en continu au regard de la politique, qu’elle provienne de l’intérieur ou de l’extérieur du périmètre. Il remplace l’ancienne approche du « château fort », où tout ce qui se trouvait à l’intérieur du réseau était digne de confiance, par la maxime « ne jamais faire confiance, toujours vérifier » — pertinente maintenant que cloud, télétravail et appareils mobiles ont dissous le périmètre. En pratique, il repose sur une identité forte (MFA et vérification de la posture des équipements), un accès au moindre privilège et juste-à-temps, une micro-segmentation limitant les déplacements latéraux, et une surveillance continue réévaluant la confiance à chaque requête plutôt qu’une seule fois à la connexion. Le NIST SP 800-207 en est l’architecture de référence. Le Zero Trust est une stratégie concrétisée par de multiples mesures, et non un produit unique, généralement adoptée de façon incrémentale.

De la définition au document, en 5 minutes

PolicyForge transforme ces concepts en politiques prêtes pour audit, alignées sur ISO 27001, SOC 2, RGPD, NIS2 et DORA.

Commencer gratuitement Voir les 60 modèles