6.2 — Objectifs de sécurité et plan pour les atteindre

Les objectifs transforment vos décisions de traitement des risques en un engagement tourné vers l’avenir, sur lequel votre organisation peut être tenue responsable — et que votre auditeur peut suivre d’un audit de surveillance à l’autre.

En langage clair

La sous-clause 6.2 exige de fixer des objectifs de sécurité concrets et mesurables, découlant de votre politique et de votre travail sur les risques, et de planifier — avec des ressources, un responsable et une échéance — comment vous comptez atteindre chacun d’eux.

Pourquoi cette exigence existe

Une politique qui dit « nous prenons la sécurité au sérieux » ne signifie rien sans des objectifs qui la rendent vérifiable. Cette exigence force cette traduction : de l’intention à un engagement précis, daté, dont quelqu’un est responsable.

Scénario : une organisation écrit « réduire notre surface d’attaque » comme objectif et considère le travail terminé. Un an plus tard, à l’audit de surveillance, personne ne peut dire si c’est arrivé, car aucune mesure, responsable ou échéance n’y était rattachée. Un objectif correctement planifié — « réduire les services exposés à Internet de 40 à 15 d’ici le T3, sous la responsabilité du responsable infrastructure, suivi mensuellement » — donne à l’auditeur, et à l’organisation, quelque chose de réellement vérifiable.

Ce que la norme attend

Les objectifs doivent être cohérents avec votre politique de sécurité de l’information, mesurables lorsque cela est possible, tenir compte des exigences de sécurité applicables et des résultats de votre appréciation et de votre traitement des risques, être surveillés, communiqués, mis à jour au besoin, et conservés comme information documentée. En plus de fixer les objectifs eux-mêmes, la norme exige un plan pour atteindre chacun d’eux, précisant ce qui sera fait, les ressources nécessaires, le responsable, l’échéance et la façon dont les résultats seront évalués.

En pratique

• Dériver les objectifs de votre plan de traitement des risques (6.1.3) plutôt que d’en inventer des génériques — chaque risque prioritaire devrait avoir un objectif correspondant ou se rattacher à un objectif existant.
• Écrire chaque objectif avec un chiffre et une échéance : « réduire X à Y d’ici [date] », pas « améliorer X ».
• Assigner un responsable unique par objectif, avec les ressources nécessaires réellement allouées, pas seulement supposées.
• Revoir l’avancement selon une cadence fixe (trimestrielle est courant) et faire remonter les résultats dans votre revue de direction (clause 9.3).

Preuves que l’auditeur demandera

• Une liste documentée des objectifs de sécurité en vigueur, chacun avec une mesure, un responsable et une échéance.
• Le plan d’action pour chaque objectif, montrant les ressources et les étapes prévues.
• Des registres ou tableaux de suivi montrant que les objectifs ont réellement été surveillés.
• Une preuve que les objectifs ont été communiqués au personnel concerné, pas seulement classés.

Pièges courants

• Des objectifs vagues sans chiffre associé — « améliorer la sensibilisation » plutôt que « atteindre 95 % de complétion de la formation en sécurité d’ici le T2 ».
• Des objectifs fixés une fois à la certification et jamais revus — un instantané plutôt qu’une cible vivante.
• Aucun lien traçable entre les objectifs et l’appréciation des risques ou la politique de sécurité.

Exigences liées

• 6.1.3 Traitement des risques — les décisions de traitement sont la source la plus fréquente de nouveaux objectifs.
• 6.3 Planification des modifications — poursuivre un objectif constitue souvent lui-même un changement à planifier.
• Clause parente : Clause 6 · Planification