Pourquoi des norme ISO de sécurité de l’Information ?

Qu’est qu’une norme ? une méthode ?

Une norme peut être définie ainsi :

C’est un document de référence fondé sur un consensus couvrant un large intérêt industriel ou économique et basé sur un processus d'élaboration volontaire.

Les normes sont des accords documentés contenant des spécifications techniques ou autres critères précis destinés à être utilisés systématiquement en tant que règles, lignes directrices ou définitions de caractéristiques pour assurer que des processus, services, produits et matériaux sont aptes à leur emploi.

A la différence, le mot méthode s'utilise plutôt pour désigner le "moyen d’arriver efficacement à un résultat" souhaité, précis.

Mais une méthode n’intègre ni la notion de document de référence, ni la notion de consensus. Il ne faut donc pas opposer norme et méthode, mais plutôt les associer, une méthode sera l’outil utilisé pour satisfaire à une norme.

Pourquoi des normes ISO dans la sécurité de l’information ?

Dans la majorité des domaines, l'inexistence de normes harmonisées pour des technologies semblables, dans des pays ou des régions différents, contribue à ce que l'on appelle des " obstacles techniques au commerce ".

Les industries tournées vers l'exportation ou des sociétés gérant des échanges d’informations entre pays ont depuis longtemps senti la nécessité de s'accorder sur des normes mondiales pour aider à rationaliser le processus des échanges internationaux.

Norme Internationale = Label de confiance

C'est cet objectif, justement, qui a présidé à la création de l'ISO.

Les méthodes existantes de sécurité de l’information qu'elles soient publiques (Mehari, Ebios, Cramm …) ou privées, ne constituent pas un label de confiance pour la sécurité globale de l'entreprise, notamment dans des échanges internationaux.

C'est pour répondre à ce besoin de confiance, que des travaux établissant des standards dans la sécurité de l’information ont été lancés.

Relations entre qualité et sécurité

Les relations entre la qualité et la sécurité de l'information sont proches. Notamment dans la version 2000 de la norme ISO 9000 où est mis en exergue la satisfaction client.

Pour Eric Wiatrowski, chargé de la mise en oeuvre de la norme ISO 17799 chez France Télécom Transpac (Oléane), "cette approche de "certification" pour la sécurité est comparable à la norme Iso 9002 pour le contrôle de la qualité. Pour les grands comptes partenaires de fournisseurs stratégiques à l'image de PME/PMI de pointe, cette norme représente le ciment indispensable pour la qualité des process partagés en sécurité".