Un système de management de la sécurité de l’information (SMSI) est un système structuré, déployé à l’échelle de l’organisation, composé de politiques, de processus, de rôles et de contrôles techniques utilisés pour gérer les risques de sécurité de l’information. Il fournit une méthode reproductible pour identifier, évaluer et traiter les risques pesant sur les actifs informationnels dans les environnements de technologies de l’information (IT) et de technologies opérationnelles (OT).
Dans les environnements industriels et de fabrication réglementée, un SMSI couvre généralement les systèmes d’entreprise (tels que ERP, MES, QMS, LIMS, PLM), les réseaux d’usine, les systèmes d’automatisation et l’infrastructure de support. Il est habituellement conçu pour s’aligner sur un référentiel de gouvernance reconnu, tel que ISO/IEC 27001, ou sur un référentiel de cybersécurité comme le NIST CSF, tout en étant adapté aux opérations locales et aux attentes réglementaires.
Caractéristiques clés
Un SMSI comprend généralement :
- Définition du périmètre pour les sites, systèmes, types de données et interfaces inclus dans le périmètre
- Politiques et standards de sécurité de l’information définissant les pratiques requises et les critères de décision
- Processus d’évaluation et de traitement des risques couvrant la confidentialité, l’intégrité et la disponibilité de l’information
- Rôles et responsabilités définis, tels que propriétaires de l’information, propriétaires de systèmes et administrateurs
- Procédures et contrôles pour la gestion des accès, le durcissement des systèmes, la sauvegarde et la restauration, la réponse aux incidents et la gestion des changements
- Mécanismes de surveillance et de revue, incluant les audits, les indicateurs et la revue de direction
- Amélioration continue fondée sur les constats, les incidents et les évolutions du risque
ISMS dans les environnements de fabrication et OT
Dans les opérations de fabrication, un ISMS couvre généralement à la fois les systèmes de l’entreprise et ceux de l’atelier. Exemples :
- Contrôles d’architecture réseau, tels que la segmentation entre l’IT d’entreprise, le MES et les réseaux de contrôle OT
- Configuration et durcissement des systèmes MES, ERP, QMS, historian et SCADA
- Gestion des identités et des accès pour les opérateurs, les ingénieurs, le personnel qualité et les fournisseurs
- Processus de sauvegarde, de restauration et de reprise après sinistre pour les données critiques de production et de qualité
- Maîtrise des changements pour les mises à jour système, les correctifs, les recettes et les modifications de configuration
- Coordination avec les processus qualité, validation et conformité lorsque des enregistrements électroniques sont utilisés
Sur le plan opérationnel, un ISMS se matérialise par des politiques documentées, des procédures opérationnelles standard, des standards techniques et des enregistrements tels que des évaluations des risques, des revues d’accès, des journaux d’incidents et des enregistrements de changement. Ces éléments sont souvent utilisés comme preuves lors d’audits ou d’inspections réglementaires, mais l’ISMS lui-même est un système de management, et non un outil ou un produit logiciel unique.
Ce qu’un ISMS n’est pas
- Ce n’est pas un équipement de sécurité ou une plateforme logicielle unique, même si des outils peuvent aider à l’exploiter.
- Il n’est pas limité à la cybersécurité ; il couvre plus largement la protection de l’information, y compris les contrôles physiques et procéduraux.
- Il n’est pas équivalent à l’obtention d’une certification spécifique, même lorsqu’il est fondé sur une norme.
Confusions fréquentes
- ISMS vs outils de cybersécurité : les pare-feu, antivirus, EDR et outils similaires sont des contrôles qui peuvent faire partie d’un ISMS, mais ils ne constituent pas à eux seuls un ISMS. L’ISMS définit la manière dont ces contrôles sont sélectionnés, gérés et revus.
- ISMS vs ISO/IEC 27001 : ISO/IEC 27001 est une norme couramment utilisée comme cadre pour concevoir ou évaluer un ISMS. Une organisation peut exploiter un ISMS, qu’il soit ou non aligné sur une norme spécifique, ou évalué au regard de celle-ci.
- ISMS vs système de management de la qualité (QMS) : un QMS se concentre sur la qualité des produits et des processus, tandis qu’un ISMS se concentre sur la sécurité de l’information. Dans l’industrie manufacturière réglementée, les deux interagissent souvent lorsque des enregistrements et des signatures électroniques sont utilisés.
Lien avec le contexte fourni
Dans le contexte cité, les exemples d’ISMS dans l’industrie manufacturière réglementée incluent la combinaison d’un cadre tel qu’ISO/IEC 27001 ou NIST CSF avec des contrôles au niveau de l’usine, tels que la segmentation du réseau OT, le durcissement des MES/ERP/QMS, le contrôle des accès, la sauvegarde et la restauration, ainsi que la gestion des changements. Les mises en œuvre exactes varient selon le site, le paysage technologique et les attentes réglementaires, mais elles sont toutes structurées dans le cadre plus large de l’ISMS.