- Les origines de la norme ISO 27001 remontent au début des années 1990, lorsque le gouvernement britannique a chargé le Commercial Computer Security Centre (CCSC) d'élaborer des directives de sécurité telles que ITSEC et DISC PD003
- Les normes britanniques BS 7799-1 (1995) et BS 7799-2 (1998) ont constitué la base de la reconnaissance internationale des pratiques de gestion de la sécurité de l'information et ont ensuite conduit à l'élaboration de normes ISO
- L'ISO et la CEI ont publié la norme ISO/IEC 17799 en 2000, qui a été rebaptisée ISO/IEC 27001 en 2005 et est devenue une norme mondiale pour la gestion de la sécurité de l'information
- La norme ISO/IEC 27001 a été mise à jour pour la dernière fois en 2022 pour inclure de nouvelles technologies telles que le cloud computing et les appareils mobiles et pour fournir des contrôles avancés pour répondre aux exigences de sécurité actuelles.
De la norme BS 7799 à la norme ISO 27001 : le développement d'une norme mondiale pour la gestion de la sécurité de l'information
Avec l'avènement d'Internet au début des années 1990, l'industrie informatique a rapidement été confrontée à des menaces de sécurité. Les entreprises ont reconnu les risques potentiels liés à la cybersécurité et ont estimé qu'il était urgent que le gouvernement adopte des directives pour protéger les données sensibles.
Le ministère du Commerce et de l'Industrie (DTI) du gouvernement britannique, chargé de promouvoir l'industrie et le commerce britanniques, a chargé le Commercial Computer Security Centre (CCSC) de développer deux initiatives clés : les critères d'évaluation de la sécurité informatique (ITSEC) et les meilleures pratiques en matière de sécurité de l'information. L'objectif était d'établir une norme pour l'évaluation de la sécurité des produits informatiques et de créer un code de conduite pour la gestion de la sécurité de l'information.
L'élaboration d'un code de conduite en matière de sécurité de l'information a donné lieu à un document intitulé DISC PD003. Les travaux du CCSC sur les meilleures pratiques en matière de sécurité de l'information ont pris leur forme finale avec la division du DISC PD003 en BS 7799-1 et BS 7799-2. Le document BS 7799-1, publié en 1995, a été divisé en 10 sections à la fin des années 1990, chacune comprenant une série de mesures de contrôle et d'objectifs. Il a finalement constitué la base de la norme ISO 27002.
Entre-temps, la norme BS 7799-2, publiée pour la première fois en 1998, a complété la norme BS 7799-1 en créant une norme officielle pour la mise en œuvre d'un système de gestion de la sécurité de l'information. Cette norme britannique a rapidement acquis une reconnaissance mondiale en tant que ressource précieuse pour la gestion des risques dans le domaine de la sécurité de l'information et a finalement évolué vers la norme ISO 27001.
La reconnaissance mondiale de ces deux initiatives a attiré l'attention de l'ISO et de la CEI, des organismes non gouvernementaux chargés de définir les normes internationales. Sur la base des principes fondamentaux et des meilleures pratiques de la norme BS 7799-1, l'ISO et la CEI, en collaboration avec la British Standards Institution (BSI), ont publié la norme ISO/IEC 17799 en 2000.
À la lumière des menaces émergentes, l'ISO et la CEI ont tenu une réunion en 2001 pour discuter de la révision de la norme ISO 17799. Une nouvelle version de la norme ISO 17799 a été votée en avril 2005 ; elle a été approuvée et finalement publiée en juin 2005. La norme mise à jour, désormais connue sous le nom d'ISO/IEC 27001, s'est depuis imposée comme une norme mondialement reconnue pour la gestion de la sécurité de l'information. En 2007, la norme ISO 17799 a été renommée ISO 27002.
Révision 2022 — Ajustements aux nouveaux défis technologiques
La norme ISO/IEC 27001:2013 est une révision de la norme ISO 27001 de 2005 et contient des modifications mineures dans le libellé et la mise en forme. En 2022, compte tenu des avancées technologiques importantes et de la complexité croissante des menaces de sécurité, la dernière révision de la norme ISO 27001 a été publiée, qui est toujours valable aujourd'hui. Cette dernière version inclut des directives mises à jour pour l'évaluation et le traitement des risques, ainsi que des contrôles étendus pour prendre en compte les nouvelles technologies telles que le cloud computing et les appareils mobiles.
