État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
ISO/IEC 27002 est le code de bonnes pratiques qui détaille les mesures de sécurité de l'information. Sa version 2022 sert de guide de mise en œuvre pour l'annexe A d'ISO/IEC 27001. Ce n'est pas une norme certifiable : elle explique comment déployer chaque mesure, là où 27001 fixe les exigences de management.
Pourquoi c'est important
La révision de 2022 a restructuré le catalogue en 93 mesures classées en quatre thèmes (organisationnelles, liées aux personnes, physiques, technologiques) et a introduit onze nouvelles mesures, dont le renseignement sur les menaces, la sécurité des services cloud et le codage sécurisé. Chaque mesure est désormais dotée d'attributs (type de mesure, propriétés de sécurité, concepts de cybersécurité tels qu'identifier, protéger, détecter, répondre, rétablir) qui facilitent le tri et le reporting. En pratique, 27002 est l'outil de travail des équipes sécurité pour justifier et documenter les choix de mesures inscrits dans la déclaration d'applicabilité. Elle sert aussi de langage partagé lors d'un audit : auditeur et audité se réfèrent au même intitulé et au même objectif. Bien utilisée, elle évite deux dérives classiques : la copie de mesures inadaptées au contexte et l'oubli de mesures essentielles au regard des risques identifiés.
Ce que fait AOCSI
Nous nous appuyons sur ISO/IEC 27002 pour instruire la sélection et le déploiement concret de vos mesures, une par une. Cette démarche s'inscrit dans notre accompagnement à la certification ISO 27001, où la déclaration d'applicabilité devient un outil de pilotage.
Textes et sources
Pôle de rattachementISO 27001Prestations et prix