Un système de management de la sécurité de l’information (SMSI) est un système structuré, déployé à l’échelle de l’organisation, comprenant des politiques, des processus, des rôles et des mesures techniques utilisés pour gérer les risques de sécurité de l’information. Il fournit une approche reproductible pour identifier, évaluer et traiter les risques pesant sur les actifs informationnels dans les environnements de technologies de l’information (IT) et de technologies opérationnelles (OT).
Dans les environnements industriels et de fabrication réglementée, un SMSI couvre généralement les systèmes d’entreprise (tels que ERP, MES, QMS, LIMS, PLM), les réseaux d’usine, les systèmes d’automatisation et l’infrastructure de soutien. Il est généralement conçu pour s’aligner sur un référentiel de gouvernance reconnu, tel que ISO/IEC 27001, ou sur un référentiel de cybersécurité comme le NIST CSF, tout en étant adapté aux opérations locales et aux attentes réglementaires.
Caractéristiques clés
Un SMSI comprend généralement :
- La définition du périmètre pour les sites, systèmes, types de données et interfaces inclus dans le périmètre
- Des politiques et standards de sécurité de l’information qui définissent les pratiques requises et les critères de décision
- Des processus d’évaluation et de traitement des risques couvrant la confidentialité, l’intégrité et la disponibilité de l’information
- Des rôles et responsabilités définis, tels que les propriétaires de l’information, les propriétaires de systèmes et les administrateurs
- Des procédures et mesures de contrôle pour la gestion des accès, le durcissement des systèmes, la sauvegarde et la restauration, la réponse aux incidents et la gestion des changements
- Des mécanismes de surveillance et de revue, notamment des audits, des indicateurs et la revue de direction
- Des activités d’amélioration continue fondées sur les constats, les incidents et l’évolution des risques
ISMS dans les environnements de fabrication et OT
Dans les opérations de fabrication, un ISMS couvre généralement à la fois les systèmes métier et les systèmes d’atelier. Exemples :
- Contrôles d’architecture réseau, tels que la segmentation entre l’IT d’entreprise, le MES et les réseaux de contrôle OT
- Configuration et durcissement des systèmes MES, ERP, QMS, historian et SCADA
- Gestion des identités et des accès pour les opérateurs, les ingénieurs, le personnel qualité et les fournisseurs
- Processus de sauvegarde, de restauration et de reprise après sinistre pour les données critiques de production et de qualité
- Maîtrise des changements pour les mises à jour système, les correctifs, les recettes et les modifications de configuration
- Coordination avec les processus qualité, validation et conformité lorsque des enregistrements électroniques sont utilisés
Sur le plan opérationnel, un ISMS se matérialise par des politiques documentées, des procédures opérationnelles standard, des standards techniques et des enregistrements tels que les évaluations des risques, les revues d’accès, les journaux d’incidents et les enregistrements de changement. Ces éléments sont souvent utilisés comme preuves lors d’audits ou d’inspections réglementaires, mais l’ISMS lui-même est un système de management, et non un outil ou produit logiciel unique.
Ce qu’un ISMS n’est pas
- Ce n’est pas un équipement de sécurité ou une plateforme logicielle unique, même si des outils peuvent aider à l’exploiter.
- Il ne se limite pas à la cybersécurité ; il couvre plus largement la protection de l’information, y compris les contrôles physiques et procéduraux.
- Il n’est pas équivalent à l’obtention d’une certification spécifique, même lorsqu’il est fondé sur une norme.
Confusions courantes
- SMSI vs. outils de cybersécurité : Les pare-feu, antivirus, EDR et outils similaires sont des mesures de contrôle qui peuvent faire partie d’un SMSI, mais ils ne constituent pas à eux seuls un SMSI. Le SMSI définit la manière dont ces mesures sont sélectionnées, gérées et revues.
- SMSI vs. ISO/IEC 27001 : ISO/IEC 27001 est une norme couramment utilisée comme référentiel pour concevoir ou évaluer un SMSI. Une organisation peut exploiter un SMSI, qu’il soit aligné ou non sur une norme spécifique, ou évalué au regard de celle-ci.
- SMSI vs. système de management de la qualité (QMS) : Un QMS se concentre sur la qualité des produits et des processus, tandis qu’un SMSI se concentre sur la sécurité de l’information. Dans la fabrication réglementée, les deux interagissent souvent lorsque des enregistrements et signatures électroniques sont utilisés.
Relation avec le contexte fourni
Dans le contexte cité, les exemples de SMSI dans la fabrication réglementée incluent l’association d’un référentiel tel qu’ISO/IEC 27001 ou NIST CSF avec des mesures de contrôle au niveau de l’usine, comme la segmentation des réseaux OT, le durcissement des MES/ERP/QMS, le contrôle des accès, la sauvegarde et la restauration, ainsi que la gestion des changements. Les mises en œuvre exactes varient selon le site, l’environnement technologique et les attentes réglementaires, mais elles sont toutes structurées dans le cadre plus large du SMSI.