ISO 27001, ITIL, COBIT : par où commencer quand on est une petite structure ?

Je m'intéresse de près aux référentiels de gouvernance et de sécurité, dans le cadre de mon Master en sécurité des systèmes d'information et dans mon travail de tous les jours. Une question revient souvent : est-ce bien utile pour une structure de dix ou vingt personnes ? Ma réponse : oui, à condition de prendre l'esprit plutôt que la lettre.

ISO/IEC 27001 : savoir ce qu'on protège

La norme décrit un système de management de la sécurité de l'information. Pour une petite structure, le point de départ est simple : faire la liste de ses informations sensibles, de qui y accède et de ce qui se passerait si elles fuyaient ou disparaissaient. Cette analyse de risques, même sur une page, change déjà les décisions.

ITIL : traiter l'informatique comme un service

ITIL aide à livrer et exploiter des services fiables. Trois pratiques suffisent pour commencer : un point d'entrée unique pour les demandes et les incidents, une gestion des changements (on ne modifie pas la production un vendredi soir sans prévenir) et une base de connaissances où l'on note les solutions trouvées.

COBIT : aligner le numérique sur les objectifs

COBIT pose une question que beaucoup de dirigeants oublient : est-ce que nos investissements numériques servent vraiment nos objectifs ? Concrètement, cela veut dire relier chaque projet à un objectif de l'organisation, nommer un responsable et suivre quelques indicateurs.

La qualité et le Kaizen pour relier le tout

Le management de la qualité et le Kaizen apportent la méthode : des process écrits simplement, mesurés, et améliorés un peu à chaque cycle. C'est ce qui empêche les référentiels de devenir des classeurs que personne n'ouvre.

Inutile de viser une certification dès le premier jour. Commencez par un inventaire des risques, un registre des incidents et une règle claire pour les changements en production. Vous aurez déjà plus de maturité que beaucoup de structures bien plus grandes.