ISO/IEC 27001:2022 :

Vue d'ensemble

La norme ISO/IEC 27001:2022 est la norme internationalement reconnue pour la certification des systèmes de gestion de la sécurité de l’information (SGSI). La révision de 2022 a réorganisé l’annexe A en 93 mesures de contrôle réparties en quatre thèmes et a regroupé les mesures de contrôle distinctes relatives à la cryptographie et à la gestion des clés de l’édition 2013 en une seule mesure, la 8.24, intitulée « Utilisation de la cryptographie ».

Concrètement, la norme 8.24 exige une politique de cryptographie documentée et fondée sur les risques, définissant les algorithmes approuvés et les niveaux minimaux de sécurité des clés, ainsi qu’un cycle de vie géré pour les clés cryptographiques (génération, distribution, stockage, rotation et destruction), que les auditeurs vérifient à l’aide de preuves opérationnelles plutôt que sur la seule base des déclarations de politique générale. Pour les entreprises d’ software s et de services informatiques, ce champ d’application inclut systématiquement la cryptographie intégrée au produit lui-même, et pas seulement à l’environnement informatique interne.

Pourquoi c'est important

La certification est facultative, mais elle est devenue de facto une condition préalable commerciale, en particulier pour les fournisseurs de services informatiques et de solutions « software » : les questionnaires de sécurité destinés aux clients, les appels d’offres et les évaluations des risques liés aux fournisseurs exigent de plus en plus une certification ISO 27001 en cours de validité comme condition pour établir une relation commerciale, ce qui fait d’un certificat périmé une menace directe pour le chiffre d’affaires plutôt qu’un simple manquement à la conformité.

La norme 27001 étant une norme relative à un système de gestion plutôt qu’une norme technique prescriptive, les auditeurs chargés de vérifier le point 8.24 s’attendent à constater la prise en charge, la traçabilité et la présence de preuves : un inventaire des certificats et des clés, une déclaration d’applicabilité justifiant le périmètre du contrôle, ainsi que les conclusions des audits internes, vérifiées chaque année lors des audits de surveillance et de manière exhaustive lors de la recertification triennale.

En quoi cela s'applique-t-il à la cryptographie ? 

La norme ISO/IEC 27001 aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Politique de cryptographie documentée : existe-t-il une politique spécifique à ce sujet définissant les algorithmes approuvés, les longueurs minimales de clé et les conditions dans lesquelles le chiffrement est obligatoire, couvrant à la fois les systèmes internes et les produits commercialisés ?
• Preuves relatives au cycle de vie des clés : L'organisation est-elle en mesure de démontrer qu'elle dispose de procédures de génération, de stockage sécurisé, de rotation et de destruction des clés cryptographiques, et pas seulement d'une déclaration de politique générale ?
• Déclaration de traçabilité de l'applicabilité : la déclaration de traçabilité justifie-t-elle correctement l'inclusion de la clause 8.24 et établit-elle un lien avec l'évaluation des risques sous-jacente ?
• Conformité légale et réglementaire : L'organisation a-t-elle pris en compte les restrictions réglementaires en matière de cryptographie, notamment les contrôles à l'exportation et les exigences de résidence des données, comme l'exige la clause 8.24 ?
• Actualité de l'inventaire des certificats et des clés : Existe-t-il un inventaire à jour des certificats et des clés cryptographiques, indiquant le nom de leurs détenteurs et leurs dates d'expiration, y compris ceux intégrés aux versions d'software ?
• Audit interne et revue de direction : L'audit interne a-t-il testé les contrôles 8.24, et les conclusions ont-elles été examinées par la direction dans le cadre du cycle du SMSI ?

TRANSMETTEZ CELA À LA DIRECTION

La norme ISO 27001:2022 a regroupé la cryptographie et la gestion des clés au sein d’une seule mesure de contrôle, la clause 8.24, et les auditeurs vérifient désormais si nous mettons réellement en œuvre un cycle de vie des clés, et non plus si nous avons simplement coché la case « cryptage activé ». Pour une entreprise certifiée software , la perte de la certification nous prive de l’attestation de fiabilité des fournisseurs qui conditionne de plus en plus souvent l’accès aux contrats clients et aux appels d’offres avant même qu’une transaction n’atteigne la phase de négociation.

La lacune que nous constatons le plus souvent lors de la recertification concerne la « Déclaration d’applicabilité » : les organisations rédigent une politique de cryptographie, mais ne sont pas en mesure de fournir l’inventaire des certificats et des clés que l’auditeur leur demande de présenter ensuite, en particulier pour les clés intégrées au produit lui-même plutôt que dans l’environnement informatique de l’entreprise. Le cycle de recertification de trois ans peut sembler lointain, mais les audits de surveillance ont lieu chaque année ; ces justificatifs doivent donc être à jour dès maintenant, et non pas préparés à la hâte avant la prochaine visite.