Quelle est la différence entre GRC et SMSI ?

Un SMSI se définit par les exigences des articles 4 à 10 d’ISO/IEC 27001:2022, qu’aucune organisation certifiée ne peut exclure. En résumé :

• Un domaine d’application défini (article 4.3) et une politique de sécurité de l’information (article 5.2).
• Un processus d’appréciation et un processus de traitement des risques (articles 6.1.2 et 6.1.3), avec leurs résultats conservés, une Déclaration d’applicabilité et un plan de traitement des risques.
• Des objectifs de sécurité de l’information (article 6.2) et la preuve des compétences (article 7.2).
• La maîtrise des informations documentées (article 7.5) : version, approbation, disponibilité et conservation.
• La surveillance et la mesure (article 9.1), l’audit interne (article 9.2) et la revue de direction (article 9.3).
• Les non-conformités et les actions correctives (article 10.2).

Les mesures de sécurité découlent du traitement des risques. L’annexe A en liste 93, réparties en quatre thèmes, et chacune est retenue ou exclue avec une justification. La liste complète des documents exigés figure dans Quels documents ISO 27001 exige-t-elle ?

Un SMSI répond à une seule question : l’information est-elle protégée de manière appropriée ? Un programme GRC pose la même question pour chaque obligation de l’organisation, et veille à la cohérence de l’ensemble.

• La gouvernance : politiques, rôles, objectifs et supervision valables dans tous les domaines, pas seulement en sécurité de l’information.
• Les risques : une méthode et un registre uniques pour les risques de sécurité, de protection des données, de continuité, fournisseurs et métier, afin de les comparer et de les remonter de la même façon.
• La conformité : plusieurs référentiels et lois à la fois, par exemple ISO 27001, SOC 2, NIS2, DORA pour les entités financières, et des lois sur la protection des données comme le RGPD et la nLPD suisse.

Ces programmes reposent sur les mêmes briques : risques, contrôles, responsables, documents et preuves. Menés séparément, chacun les reconstruit. Menés comme un seul programme GRC, un contrôle est construit une fois et compte pour chaque obligation qu’il sert. Voir la cartographie de contrôles inter-référentiels.

Le SMSI est le point de départ habituel d’une organisation qui vise la certification ISO 27001, ou dont les clients demandent comment elle protège leurs données. C’est aussi une bonne base pour NIS2 : les mesures de gestion des risques cyber de l’article 21, paragraphe 2, de la directive, comme l’analyse des risques, la gestion des incidents, la continuité des activités et la sécurité de la chaîne d’approvisionnement, recoupent ce qu’un SMSI couvre déjà. Voir ISO 27001 couvre-t-elle NIS2 ?

Un programme GRC plus large devient nécessaire dès qu’arrive un deuxième référentiel, une réglementation sectorielle ou un programme de protection des données. Les erreurs fréquentes à ce stade :

• Construire un second jeu parallèle de contrôles et de politiques pour le nouveau référentiel.
• Tenir un registre des risques par programme, avec des échelles différentes.
• Traiter le SMSI comme un dossier pour l’auditeur plutôt que comme un système qui fonctionne toute l’année.
• Laisser le domaine d’application du SMSI flou, si bien que personne ne sait quels sites, entités ou produits il couvre.

Dans Acuna GRC, ISO 27001 est un référentiel que vous adoptez dans l’espace de travail Comply, à côté de SOC 2, de NIS2 ou de tout autre. Les périmètres, par exemple une entité juridique, un site ou une unité d’affaires, indiquent où il s’applique. Ses exigences rejoignent ensuite les autres dans Implement, et une mesure de la bibliothèque de mesures peut répondre en même temps à des clauses de plusieurs référentiels. Les mesures de référence de la bibliothèque Common Measures arrivent déjà cartographiées entre référentiels.

Le reste du SMSI repose sur les mêmes données que tous les autres programmes :

• Les risques, les sources de menace et les plans de traitement dans Operate, avec un workflow d’approbation et une revue annuelle.
• Les politiques et procédures dans Documents, avec approbateurs, révisions numérotées et date de revue.
• Les enregistrements, audits (Internal, External ou Certification), constats et actions correctives dans Assure.

La santé est calculée à partir de ce que font réellement les contrôles et les tâches, puis remonte à chaque exigence : la vue ISO 27001 et la vue NIS2 lisent le même travail.