La norme internationale de gestion des incidents de sécurité de l'information (Information Security Incident Management) fournit le socle de processus derrière la réponse aux incidents et l'analyse forensique – de la préparation à la boucle de retour d'expérience.
L'ISO/IEC 27035 décrit un cycle de vie structuré et reproductible pour le traitement des incidents de sécurité de l'information. Au lieu de réagir au coup par coup aux attaques, pannes ou fuites de données, la norme établit un processus de bout en bout : détecter, signaler, évaluer, décider, contenir, rétablir et tirer les leçons de chaque incident.
La norme est composée de plusieurs parties : la partie 1 (27035-1:2023) définit les principes et le processus, la partie 2 (27035-2:2023) la planification et la préparation, la partie 3 (27035-3:2020) la réponse opérationnelle aux incidents ICT et la partie 4 (27035-4:2024) la coordination inter-organisationnelle. L'ISO/IEC 27035 est une ligne directrice et n'est pas certifiable en tant que telle – mais elle constitue l'épine dorsale opérationnelle du traitement des incidents d'un SMSI certifié ISO/IEC 27001.
L'ISO/IEC 27035 structure le traitement des incidents en cinq phases successives.
Politique de réponse aux incidents, rôles, équipe de réponse aux incidents (IRT), canaux de signalement, playbooks, outils et sensibilisation sont mis en place avant le premier incident – la base de toute réponse robuste.
Les événements sont captés par la supervision, le SIEM, les signalements et la détection, reconnus comme pertinents pour la sécurité et signalés rapidement via des canaux définis.
Les événements signalés sont triés, classés et priorisés. On décide s'il s'agit d'un incident de sécurité et quelle escalade est nécessaire.
Confinement, éradication, rétablissement et – si nécessaire – préservation forensique des preuves, ainsi que la communication interne et externe, y compris les notifications aux autorités.
Analyse post-incident, recherche de la cause racine, mise à jour des mesures et des playbooks, indicateurs – chaque incident améliore de façon démontrable le niveau de sécurité.
L'ISO/IEC 27035 est le fondement normatif des obligations réglementaires de notification et de réponse.
Les délais échelonnés de NIS2 – alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois – présupposent exactement le processus que fournit l'ISO/IEC 27035 par la détection, l'évaluation et le signalement.
Pour les entités financières, le cycle de vie couvre sur le plan normatif la classification et la notification des incidents majeurs liés aux TIC (major ICT-related incidents) exigées par DORA – de la notification initiale au rapport final.
Les mesures A.5.24 à A.5.28 de l'annexe A de l'ISO/IEC 27001:2022 (planification, évaluation, réponse, apprentissage, collecte de preuves) sont directement opérationnalisées et rendues auditables par l'ISO/IEC 27035.
Le règlement sur la cyberrésilience (CRA) impose une gestion active des vulnérabilités et la notification des vulnérabilités exploitées – les processus de réponse et de signalement de la 27035 s'y alignent directement.
De l'état des lieux à une capacité de réponse aux incidents opérationnelle.
Nous évaluons votre traitement des incidents existant au regard des cinq phases de l'ISO/IEC 27035 et de vos obligations réglementaires (NIS2, DORA, ISO 27001).
Nous concevons la politique de réponse aux incidents, les rôles, les chaînes de signalement et des playbooks par scénario – y compris la logique de notification 24h/72h/1 mois.
Nous formons votre équipe de réponse aux incidents par des exercices sur table et des incidents simulés, et intégrons la détection, le SIEM et l'escalade.
Nous ancrons les boucles de retour d'expérience, les indicateurs et des revues régulières – le processus reste efficace et auditable.
Sources primaires de la norme et services VamiSec correspondants.
Réponses sur l'ISO/IEC 27035 en pratique.
Non. L'ISO/IEC 27035 est une ligne directrice et n'est pas certifiable en tant que telle. C'est le SMSI global qui est certifiable selon l'ISO/IEC 27001 ; l'ISO/IEC 27035 en fournit le processus opérationnel de gestion des incidents, en particulier pour les mesures A.5.24 à A.5.28.
La norme établit exactement les étapes de processus – détection, évaluation, décision, notification – nécessaires pour respecter de manière fiable les délais échelonnés de NIS2 (alerte précoce à 24 heures, notification à 72 heures, rapport final à un mois).
Un événement est un changement d'état identifiable pouvant être pertinent pour la sécurité. Un incident est un ou plusieurs événements qui menacent réellement la sécurité de l'information. La phase Évaluation et décision opère précisément cette distinction.
De quatre parties : 27035-1:2023 (principes et processus), 27035-2:2023 (planification et préparation), 27035-3:2020 (opérations de réponse aux incidents ICT) et 27035-4:2024 (coordination inter-organisationnelle).
L'ISO/IEC 27001 exige un processus de gestion des incidents mais ne le décrit que brièvement. L'ISO/IEC 27035 détaille et renforce ce processus – comblant l'écart entre l'exigence et une mise en œuvre résistante à l'audit.
Nous portons votre réponse aux incidents au niveau ISO/IEC 27035 – en cohérence avec NIS2, DORA et votre SMSI ISO 27001.
