ISO/IEC 27002 a été renouvelée, et c'est pertinent pour les organisations en France, en Belgique et en Europe qui travaillent avec l'ISO 27001/27002 ou des cadres dérivés. Dans la version 2022, la sensibilisation à la sécurité est mise en avant de façon plus nette et plus explicite. La norme insiste davantage sur la démontrabilité, l'apprentissage par rôle et la répétition. Cet article montre ce qui a changé et comment concevoir votre programme en conséquence.
Qu'est-ce qui a changé dans l'ISO/IEC 27002:2022 ?
Le renouvellement touche surtout la place et la formulation de la sensibilisation :
- La sensibilisation est positionnée plus explicitement au sein des mesures liées aux personnes (people controls).
- Les formulations sont plus strictes : moins de langage facultatif, des attentes plus concrètes.
- La démontrabilité pèse davantage : il ne suffit pas d'agir, il faut aussi pouvoir montrer que cela fonctionne.
Ce que cela signifie pour votre programme
En pratique, des formations isolées et ponctuelles ne suffisent plus. Tu dois pouvoir montrer que la sensibilisation est mise en place de façon structurelle, adaptée aux rôles et aux risques de ton organisation.
L'ISO/IEC 27002:2022 demande donc un programme répondant à quatre caractéristiques :
- Par rôle : différents publics reçoivent l'attention pour les risques qui les concernent.
- Répétable : un rythme régulier, avec attention à l'intégration et des rappels périodiques.
- Mesurable : participation, progression et résultats sont consignés.
- Pratique : des situations reconnaissables et peu de jargon, pour que le message passe.
Comment l'aborder concrètement
Commence par un bref inventaire des risques par public, afin de savoir quels thèmes sont pertinents pour qui. Construis là-dessus un programme de modules courts et récurrents plutôt qu'une longue session annuelle, et intègre la sensibilisation à l'accueil.
Consigne ensuite systématiquement qui a suivi quoi, quels thèmes tu traites et à quelle fréquence tu répètes. Ajoute des résultats, comme le taux de signalement lors des simulations de phishing. Cette combinaison de registres et de résultats est précisément la preuve qu'un auditeur veut voir.
Du ponctuel à la routine : la répétition compte
Le plus grand gain réside dans la répétition. La sensibilisation fonctionne comme toute habitude : par la prévisibilité et la répétition. Pense à des thèmes mensuels, de courts modules, du microapprentissage et des simulations de phishing ciblées. Non pour tester, mais pour apprendre et renforcer le comportement de signalement.
Ainsi tu ne te contentes pas de respecter la norme, tu augmentes aussi de façon démontrable la résilience de ton organisation. En France, cela s'articule bien avec les recommandations de l'ANSSI ; à l'échelle européenne, avec les exigences de NIS2. Un programme bien conçu sert ces cadres à la fois.
Articles connexes
FAQ
Qu'est-ce qui a changé pour la sensibilisation dans l'ISO/IEC 27002:2022 ?
La sensibilisation est positionnée plus explicitement au sein des mesures liées aux personnes, les formulations sont plus concrètes et la démontrabilité pèse davantage. Les formations ponctuelles ne suffisent plus ; un apprentissage structurel et par rôle est attendu.
Quel rapport entre 27002 et l'ISO 27001 ?
L'ISO 27002 fournit les lignes directrices de mise en œuvre des mesures de l'annexe A de l'ISO 27001. Qui est certifié ou souhaite l'être profite d'un programme de sensibilisation par rôle et mesurable conforme à 27002:2022.
À quelle fréquence former les agents ?
La norme n'impose pas de fréquence fixe mais exige un processus continu. De courts modules récurrents valent mieux qu'une session annuelle. Intègre aussi la sensibilisation à l'accueil.
Quelle est l'étape la plus importante ?
La répétition plutôt que le ponctuel. Mets en place un programme récurrent, par rôle et avec une participation mesurable, plutôt qu'une formation annuelle obligatoire.
Comment cela s'articule-t-il avec le RGS et NIS2 ?
Le RGS et la PSSIE se fondent sur l'ISO 27001/27002, donc un programme conforme à 27002 les couvre aussi. NIS2 exige également un apprentissage fondé sur le risque, continu et démontrable. Un bon programme répond aux trois.