ISO 27002.
Les lignes directrices sur les mesures de sécurité de l’information : leur organisation par ISO 27002, leur application et les preuves qui en découlent.
- ISO/IEC 27002:2022
- Par Jonathan Bezdek
- À jour au 22/10/2026
- Temps de lecture : 8 min
Réponse courte.
ISO 27002 est le guide international de mise en œuvre des mesures de sécurité de l’information. ISO/IEC 27002:2022 les organise en thèmes organisationnels, humains, physiques et technologiques et explique leur application. Les organisations les adaptent à leurs risques et activités. Il n’existe pas de certification ISO 27002 distincte ; ISO 27001 contient les exigences certifiables d’un SMSI.
ISO 27002:2022 comme guide de mise en œuvre.
ISO 27002 explique les mesures de sécurité, tandis qu’ISO 27001 décrit les exigences d’un système de management de la sécurité de l’information, ou SMSI. Le terme anglais Controls désigne des mesures permettant d’agir sur les risques de sécurité. Cela comprend les processus organisationnels ainsi que les dispositions techniques ou physiques. Un catalogue de mesures n’est donc ni une simple liste de produits ni le seul travail d’un service informatique.
La page publique de l’éditeur présente ISO/IEC 27002:2022 comme la troisième édition de février 2022 et mentionne une version anglaise corrigée en mars 2022. L’article des éditrices dans le SC-27-Journal de décembre 2022 explique, pages 13 à 15, la structure de 93 mesures réparties en quatre thèmes et les attributs complémentaires. Ces repères ne remplacent pas l’utilisation de la norme acquise légalement.
Les lignes directrices s’appliquent au contexte propre à l’organisation. La présentation de l’IEC cite à la fois leur utilisation dans un SMSI et l’élaboration de lignes directrices de sécurité propres à l’organisation. Reprendre un catalogue ne définit pas à lui seul l’environnement protégé, le responsable du fonctionnement d’une mesure ni son efficacité réelle.
À qui s’adresse ISO 27002.
Selon la présentation publique de l’ISO, ISO 27002 s’adresse aux organisations de différentes tailles et de différents secteurs. Elle peut aider à travailler sur les mesures d’un SMSI existant ou orienter le travail de sécurité. Viser une certification n’est pas un préalable. Avant son adoption, clarifiez si le besoin porte sur un langage commun, une meilleure mise en œuvre ou une preuve pour un destinataire précis.
Plusieurs fonctions participent régulièrement à l’application. En pratique, les responsables sécurité peuvent coordonner le choix, les responsables de service expliquer l’environnement concerné et les métiers assurer la mise en œuvre. Les achats, les ressources humaines, les services immobiliers et le développement interviennent lorsque la mesure touche leurs processus. Cette répartition est une recommandation d’organisation du travail, et non une attribution universelle des rôles prescrite par la norme.
Les contrôles ISO 27002 comme base de travail.
Quatre thèmes structurent les mesures ; leur sélection et leurs attributs facilitent l’application. Les six domaines suivants relient cette structure aux décisions pratiques, sans représenter six chapitres officiels de la norme ni une liste exhaustive de mesures.
Responsabilité organisationnelle.
Les mesures organisationnelles constituent un thème propre. Pour les appliquer concrètement, clarifiez où les décisions sont prises, approuvées et vérifiées. Une règle compréhensible relie le service protégé à la fonction responsable ; la seule existence d’un document de politique n’explique pas ce lien.
Personnes et processus de travail.
Les mesures humaines envisagent la sécurité en lien avec les personnes et leur travail. Lors de l’application, vérifiez quels événements du quotidien déclenchent une action et qui l’assure. Une formation et un changement de rôle nécessitent des mises en œuvre différentes, même si le même service les accompagne.
Environnement physique.
Les mesures physiques concernent l’environnement dans lequel les informations et les moyens de soutien sont utilisés. Pour délimiter le travail, distinguez vos sites des prestations des fournisseurs. Une preuve sur le centre de données ne répond pas automatiquement, par exemple, aux questions relatives aux appareils de vos bureaux.
Mise en œuvre technologique.
Les mesures technologiques constituent le quatrième thème. Décrivez d’abord les systèmes et informations qu’une disposition technique doit couvrir. Vérifiez ensuite la cohérence entre configuration, processus d’exploitation et surveillance. Une fonction activée est un point de départ pour l’examen, et non une conclusion complète sur son efficacité.
Relier le choix aux risques.
L’application doit partir des besoins de protection et des risques de l’activité considérée. À titre de recommandation pratique, consignez la décision fondant une mesure et les dépendances prises en compte. Il reste ainsi compréhensible que deux services nécessitent des mises en œuvre différentes malgré une même ligne directrice de référence.
Utiliser les attributs pour des vues compréhensibles.
Selon l’article des éditrices, les attributs permettent différentes vues du corpus de mesures. Utilisez-les, par exemple, pour la coordination entre l’organisation de sécurité et les responsables d’exploitation. Le classement facilite la navigation ; il ne remplace ni la décision d’application ni la preuve de mise en œuvre ou d’efficacité d’une mesure.
Appliquer ISO 27002 dans l’exploitation.
Choisir un périmètre maîtrisable.
Pour commencer concrètement, délimitez un service avec ses informations, ses systèmes et ses intervenants afin de donner une limite vérifiable à la mise en œuvre.
Consigner la base de décision.
Décrivez les risques pertinents et les exigences métier, légales ou contractuelles avant d’utiliser les lignes directrices adaptées au travail sur les mesures.
Lire les lignes directrices dans leur contexte.
À partir de la norme acquise légalement, vérifiez les conseils adaptés à votre environnement et ne considérez pas une courte description comme une prescription complète de mise en œuvre.
Définir la mise en œuvre et les responsabilités.
Convenez de ce qui doit se produire dans l’exploitation considérée, du responsable et du processus existant auquel rattacher le travail.
Vérifier l’affirmation à l’aide de preuves.
Choisissez des enregistrements ou tests couvrant réellement le périmètre décrit, puis consignez le résultat, la date d’examen et les suites nécessaires.
Réévaluer les changements.
Définissez des occasions de réexamen adaptées, comme un changement de service ou un incident, et actualisez la décision de mise en œuvre avec les responsables concernés.
Des preuves sans certificat ISO 27002.
Selon la FAQ produit de l’ISO, aucune certification distincte selon ISO 27002 n’est prévue. Pour obtenir une preuve certifiée du SMSI, il faut examiner ISO 27001 et le périmètre concret de certification. L’ISO ne réalise pas elle-même ces certifications ; selon sa page sur la certification, des organismes externes s’en chargent. Il n’existe donc pas non plus de durée générale de certificat pour ce guide de mise en œuvre.
Pour constituer vos preuves, formulez clairement ce qui doit être démontré et dans quel environnement. Une procédure peut décrire les pratiques prévues, tandis qu’un enregistrement démontre leur exécution. Un test examine une attente précise. Ces formes de preuve peuvent se compléter, mais répondent à des questions différentes.
Avant de transmettre une preuve, vérifiez son origine, sa période et son périmètre. Un paramètre actuel ne démontre pas un fonctionnement historique ; un échantillon n’explique pas automatiquement chaque exception. Documentez la couverture limitée et les actions qui en découlent plutôt que de déduire d’un seul document une garantie complète de sécurité ou de conformité.
Pour aller plus loin sur le blog.
Situer les autres référentiels.
ISO 27001 décrit les exigences du SMSI ; ISO 27002 aide à travailler sur ses mesures. IT-Grundschutz fournit une méthode propre au BSI avec des standards et un recueil. Les obligations légales des entités concernées par le BSIG restent à examiner séparément ; utiliser un guide de mise en œuvre ne confirme pas la conformité à NIS2.
Dans Secani.
Secani contient un catalogue de travail éditorial pour ISO/IEC 27002:2022 avec des informations de profil notamment sur les services cloud, le développement logiciel et le travail mobile. Le catalogue permet un traitement structuré et n’est pas un texte officiel de la norme. Les décisions d’applicabilité doivent être justifiées ; cet outil éditorial ne remplace pas un examen spécialisé autonome.
Commencer par une mise en œuvre traçable.
Choisissez un service dont les responsables et les dépendances sont connus. Consignez une décision de sécurité concrète avec son motif, la mise en œuvre prévue et une méthode de vérification adaptée. Clarifiez ensuite avec les participants si cette description correspond aux pratiques réelles. Ce n’est qu’alors que l’approche pourra être utilement étendue à d’autres services.
Questions fréquentes.
Non. ISO 27002 est un guide de mise en œuvre ; pour une preuve certifiée du système de management de la sécurité de l’information, ISO 27001 est la norme d’exigences pertinente.
Non. La mise en œuvre concrète dépend du contexte et des risques de l’environnement considéré ; une référence commune n’implique pas un modèle opérationnel identique pour toutes les organisations.
Non. Les attributs permettent différentes vues des mesures et facilitent leur classement ; ils ne remplacent ni une décision d’applicabilité ni une preuve de mise en œuvre.
Non. Une politique compréhensible ou un processus opérationnel peut soutenir plusieurs mesures si leur mise en œuvre et leurs responsabilités respectives restent traçables.
Traiter les mesures de manière traçable.
Organisez les risques, les responsabilités et les preuves dans Secani.
Cette page présente le guide de mise en œuvre. Les normes acquises légalement et le contexte d’application concret font foi.