SMSI — ISO/IEC 27001:2022 + RGPD sur ma propre infrastructure
Démarche de gouvernance de la sécurité de l'information appliquée à l'infrastructure qui héberge ce portfolio, construite selon la structure ISO/IEC 27001:2022 : périmètre, analyse de risques EBIOS RM, Déclaration d'Applicabilité sur les 93 mesures de l'Annexe A, audit interne.
Non certifiée. La certification ISO 27001 est délivrée par un organisme accrédité, après audit, à une organisation, pour plusieurs milliers d'euros — un particulier ne peut pas l'obtenir. Cette démarche est personnelle : documentation complète et vérifiable, mais pas de certification à faire valoir.
Même logique côté RGPD : « certifié RGPD » n'existe pas. On est conforme, et on le prouve par un registre.
Comment lire cette démarche
- Périmètrepublic
- Analyse de risquesextrait public
- Déclaration d'Applicabilitéextrait public
- Mesuressur demande
- Audit interneextrait public
- Écartsassumés, publics
Deux niveaux de publication
Public, ici : le périmètre et l'inventaire des actifs, l'analyse de risques EBIOS RM (méthode et ateliers amont), la politique de sécurité et les procédures, l'audit interne (les dix-sept contrôles et leurs écarts), le registre RGPD, et un extrait de la Déclaration d'Applicabilité.
Non public : les scénarios opérationnels et les risques résiduels de l'analyse de risques (les trois premiers ateliers sont publiés), la Déclaration d'Applicabilité complète contrôle par contrôle (seuls la méthode et les mesures écartées sont publiées), et le détail de configuration derrière chaque constat d'audit (les constats, eux, sont publiés). Ce sont des documents détaillés sur l'état exact des défenses de la machine — les publier reviendrait à documenter moi-même une liste priorisée de faiblesses pour un attaquant. Disponibles sur demande.
Ce découpage est lui-même une réponse à la question qu'un RSSI pose toujours en entretien : sait-il ce qui doit rester interne ?
Documents publics
- Périmètre et inventaire des actifs Ce qui est dans le SMSI, ce qui en est exclu et pourquoi, et les douze actifs cotés en confidentialité, intégrité et disponibilité.
- Analyse de risques EBIOS RM — extrait La méthode et ses cinq ateliers, les deux valeurs métier protégées, les quatre sources de risque retenues, les trois événements redoutés — et pourquoi les scénarios opérationnels et les risques résiduels ne sont pas publiés.
- Déclaration d'Applicabilité — extrait La méthode (applicable, justification, état, preuve), la répartition des 93 mesures de l'Annexe A par domaine, et les 35 mesures écartées avec la raison écrite pour chacune.
- Politique SSI et procédures Objectifs, rôles, sept principes directeurs, et les procédures d'exploitation : déploiement, sauvegarde des secrets, incidents, changements, revue des accès, rotation de clé SSH.
- Audit interne — extrait Les dix-sept contrôles passés en revue et leur état (14 conformes, 2 partiels, 1 écart), l'écart écrit en toutes lettres avec son échéance, le plan d'actions soldé, et un incident du journal raconté en entier.
- Registre RGPD et conformité Registre des traitements (art. 30), base légale et balance des intérêts, mention d'information, exercice des droits, conservation, et l'analyse démontrant qu'aucune AIPD n'est requise.
- Preuves vivantes — l'état mesuré, pas déclaré Cinq exigences du dossier et leur preuve technique recalculée toutes les heures : certificat TLS, cloisonnement de l'origine, en-têtes de sécurité, signature DNSSEC, disponibilité. Et pourquoi les contrôles internes n'y figurent délibérément pas.