ISO 27001 pour l'industrie
ISO 27001 pour production industrielle : le certificat que demandent vos donneurs d'ordre
Plans, nomenclatures, programmes de machines, données de commande : tout cela circule entre votre atelier et vos clients. L'ISO 27001 montre que vous protégez ces informations avec une méthode. Avec Zertify, vous passez l'évaluation en ligne, sans audit sur site.
01: Demande client
Pourquoi les clients demandent l'ISO 27001 à un site de production
Un sous-traitant industriel reçoit des plans, des cahiers des charges et parfois des spécifications de procédé qui valent davantage que la pièce livrée. Le service achats du donneur d'ordre le sait. Il ajoute donc une ligne au questionnaire fournisseur : disposez-vous d'un système de management de la sécurité de l'information ?
La même question revient dans les appels d'offres, lors des audits clients et chez les partenaires qui relient leurs systèmes aux vôtres, par exemple pour l'échange automatique de commandes ou la télémaintenance d'une machine. Un certificat ISO 27001 répond en une ligne et vous évite de remplir chaque questionnaire à la main.
Il y a aussi le scénario que chaque directeur de production connaît : une ligne à l'arrêt parce qu'un rançongiciel a chiffré le serveur de fabrication. Vos clients veulent savoir que vous y avez pensé avant que cela arrive.
02: Risques
Quels risques de l'industrie l'ISO 27001 couvre-t-elle ?
La norme ne vous impose pas une liste de produits. Elle part de vos processus réels et vous demande d'évaluer ce qui peut mal tourner. Dans une entreprise de production, les points sensibles se retrouvent presque toujours aux mêmes endroits.
| Processus | Risque typique | Réponse dans le SMSI |
|---|---|---|
| Bureau d'études et méthodes | Fuite de plans CAO et de spécifications clients | Classification des informations, droits d'accès par projet, engagements de confidentialité |
| Pilotage des machines (automates, SCADA) | Accès non maîtrisé au réseau de production, systèmes jamais mis à jour | Inventaire des actifs, séparation des réseaux, gestion des correctifs |
| Télémaintenance | Accès permanent laissé au constructeur d'une machine | Accès limités dans le temps, journalisation, règles pour les fournisseurs |
| Planification et ERP | Indisponibilité du système ou données de commande altérées | Sauvegardes testées, plan de continuité, contrôle des modifications |
| Postes d'atelier | Clés USB inconnues, mots de passe partagés sur un terminal | Comptes individuels, règles d'usage, sensibilisation des équipes |
L'appréciation des risques (chapitre 6 de la norme) décide ensuite quelles mesures de l'Annexe A vous appliquez, et lesquelles vous écartez en le justifiant.
03: Vocabulaire
Les termes de la norme, expliqués avec des exemples d'atelier
Le vocabulaire de l'ISO 27001 paraît abstrait. Appliqué à une usine, il devient concret.
- SMSI
- Le système de management de la sécurité de l'information : vos règles, vos responsables et vos contrôles. Chez un fabricant de composants, il décrit qui peut accéder aux plans clients et comment on le vérifie.
- Appréciation des risques
- L'analyse de ce qui menace vos informations et vos systèmes. Exemple : le poste de commande d'une fraiseuse tourne encore sous un système ancien, connecté au réseau de l'entreprise.
- Actif
- Tout ce qui a de la valeur pour votre production : serveur de fabrication, automates, base de données de recettes, dossiers de qualité, portable du chef de projet.
- Déclaration d'applicabilité
- Le document qui liste les mesures de l'Annexe A, indique si vous les appliquez et pourquoi. Une mesure sur le travail à distance peut être limitée à la maintenance, si le reste du personnel travaille sur site.
- Incident de sécurité
- Un événement qui compromet vos informations : un courriel de fraude au virement, un automate infecté, un ordinateur de tournée perdu avec des plans dessus.
04: Mise en pratique
Comment une entreprise de production répond aux exigences clés
Les exigences de la norme sont les mêmes pour une imprimerie, un atelier de mécanique ou un fabricant d'emballages. Ce qui change, ce sont les exemples que vous mettez derrière.
Évaluer les risques
Vous recensez les systèmes de production et de gestion, puis vous notez pour chacun la probabilité et l'effet d'une panne ou d'une fuite. Un tableau suffit, tant qu'il est tenu à jour.
Définir une politique et des objectifs
Une page signée de la direction : par exemple, restaurer le serveur de fabrication en une demi-journée et ne laisser aucun fournisseur se connecter sans autorisation.
Mettre en oeuvre les mesures de l'Annexe A
Sauvegardes hors ligne, séparation entre le réseau de bureau et celui des machines, verrouillage des locaux techniques, authentification renforcée pour la télémaintenance.
Établir la déclaration d'applicabilité
Vous reprenez les mesures de l'Annexe A et notez celles qui s'appliquent à votre site, avec une phrase de justification pour chacune.
Former les collaborateurs
Quinze minutes en début de poste sur les courriels suspects et les supports amovibles valent mieux qu'une présentation annuelle que personne ne retient.
Gérer les incidents
Un formulaire simple, un responsable désigné, et une revue après chaque événement : qu'est-ce qui s'est passé, qu'est-ce qu'on change ? C'est l'amélioration continue du chapitre 10.
05: Avec Zertify
Obtenir l'ISO 27001 en ligne avec Zertify
Vous répondez à 48 questions par oui ou non. 13 d'entre elles correspondent à des exigences obligatoires de la norme : toutes doivent recevoir un oui. Sur les 35 autres, il faut au moins 24 réponses positives pour réussir. Il n'y a pas d'audit sur site : l'évaluation se fait en ligne, à votre rythme, par la personne qui connaît le mieux vos processus.
Une fois l'évaluation réussie et le paiement effectué, le certificat arrive sous 4 heures. Il est émis par G6 Agency AG sous licence de SICE, et SICE examine chaque évaluation avant l'émission. Chaque certificat porte un numéro et un code QR : votre client peut le contrôler sur la page de vérification publique, sans vous appeler.
Le prix est de 849 CHF la première année, puis de 569 CHF par an, ré-audit en ligne annuel inclus. Le certificat est valable 3 ans et confirmé chaque année par ce court ré-audit. L'abonnement est résiliable à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Un compte n'est pas nécessaire pour acheter.
06: Préparation
Ce que vous devriez clarifier avant de commencer
Fixez d'abord le périmètre : un site, plusieurs sites, uniquement le bureau d'études ou toute la production. Si vos clients ne vous demandent de protéger que les données de développement, ne promettez pas plus.
Rassemblez ensuite trois choses : la liste de vos systèmes principaux, le nom de la personne responsable de la sécurité de l'information et vos règles écrites existantes, même brèves. La plupart des entreprises industrielles ont déjà des consignes de sauvegarde ou d'accès, rarement réunies au même endroit.
Gardez en tête que le certificat atteste d'un système de management, pas d'une protection absolue. Vos mesures techniques restent à votre charge et doivent être tenues à jour. Celles et ceux qui hésitent entre la voie en ligne et la voie classique avec audit sur site par un organisme de certification peuvent comparer les deux dans notre guide.
07: Questions fréquentes
ISO 27001 pour production industrielle : vos questions
08: Guide
Pages associées
Vérifiez où en est votre site de production
L'auto-évaluation ISO 27001 compte 48 questions et vous indique tout de suite ce qui manque et ce qui est déjà en place.
Gratuit et sans inscription.