La publication de l'ISO 27001:2022 marque une évolution significative de la norme de référence pour les systèmes de management de la sécurité de l'information (SMSI). Cette mise à jour, la première depuis 2013, reflète les transformations profondes du paysage numérique avec l'adoption massive du cloud, la généralisation du télétravail et l'émergence de nouvelles menaces cyber. Les organisations certifiées disposent d'une période de transition de trois ans pour se mettre en conformité.
Le changement le plus visible concerne l'Annexe A, qui passe de 114 mesures de sécurité réparties en 14 catégories à 93 mesures organisées en 4 thèmes : organisationnelles (37 mesures), personnelles (8 mesures), physiques (14 mesures) et technologiques (34 mesures). Cette réorganisation simplifie la structure et facilite la compréhension. Onze nouvelles mesures font leur apparition, couvrant des sujets comme la threat intelligence, la sécurité du cloud, la préparation aux incidents ICT, le filtrage web et le codage sécurisé.
Au niveau des exigences du corps principal de la norme (clauses 4 à 10), les modifications sont plus subtiles mais importantes. La clause 6.3 introduit explicitement la gestion des changements du SMSI, exigeant que toute modification soit planifiée et maîtrisée. La clause 4.2 demande désormais d'identifier les exigences des parties intéressées qui seront traitées par le SMSI. La clause 8.1 renforce les exigences de planification opérationnelle en demandant des critères pour les processus et leur contrôle.
Pour les organisations déjà certifiées ISO 27001:2013, la transition nécessite plusieurs actions concrètes. Il faut d'abord réaliser une analyse d'écart entre les mesures actuelles et les nouvelles exigences de l'Annexe A, en portant une attention particulière aux 11 nouvelles mesures. Ensuite, mettre à jour la déclaration d'applicabilité (SoA) pour refléter la nouvelle structure. Les politiques et procédures doivent être révisées pour intégrer les nouvelles exigences. Enfin, un audit interne selon la version 2022 doit être réalisé avant l'audit de transition par l'organisme certificateur.
