7.1 — Ressources

Une exigence d’une seule phrase qu’un nombre surprenant de projets de SGSI échouent discrètement à respecter — parce que le plan était solide mais que personne ne l’a réellement financé.

Exigence obligatoire · Information documentée requise : non

En langage clair

La 7.1 exige de déterminer ce dont le SGSI a réellement besoin pour être construit, exploité, maintenu et amélioré en continu — personnes, budget, outils, temps — puis de le fournir, pas seulement de reconnaître que ce serait utile d’en avoir.

Pourquoi cette exigence existe

Un plan de traitement des risques sans budget derrière est une liste de souhaits. Cette exigence existe parce qu’il est facile de construire un SGSI qui semble complet sur papier tout en le privant du temps et de l’argent réels nécessaires pour le maintenir en fonction — et un auditeur qui constate des lacunes de ressources s’attendra à les voir se refléter dans des risques non fermés et une documentation périmée ailleurs dans le dossier.

Scénario : une entreprise confie la responsabilité du SGSI à un gestionnaire TI comme tâche secondaire, sans heures dédiées ni budget d’outils. Les appréciations des risques glissent, la SoA devient périmée, et les audits internes sont reportés indéfiniment — pas parce que quelqu’un manque de connaissances, mais parce que personne n’a jamais été réellement doté pour faire le travail.

Ce que la norme attend

La norme attend que l’organisation détermine et fournisse les ressources nécessaires à l’établissement, la mise en œuvre, le maintien et l’amélioration continue du SGSI. Elle ne précise pas quelles sont ces ressources ni combien suffit — cela est laissé au contexte propre de l’organisation et à son appétit pour le risque, mais la détermination et la fourniture doivent toutes deux être délibérées et traçables.

En pratique

• Nommer un responsable du SGSI avec du temps dédié alloué au rôle, pas seulement un titre ajouté à une description de poste déjà chargée.
• Rattacher une ligne budgétaire au SGSI couvrant les outils, la formation et tout soutien externe (audits, conseil) dont il a besoin.
• Revoir la dotation en ressources chaque fois que le périmètre ou le risque change significativement — une décision de dotation prise à la certification ne reste pas automatiquement adéquate.

Preuves que l’auditeur demandera

• Un budget ou plan de ressources approuvé couvrant le SGSI.
• Un responsable du SGSI nommé avec une allocation de temps définie pour le rôle.
• Une preuve que les lacunes de ressources signalées dans les appréciations de risques ou les audits ont réellement été traitées, pas seulement notées.

Pièges courants

• Traiter le SGSI comme un projet secondaire non financé, ajouté par-dessus le poste existant de quelqu’un.
• Une décision de dotation adéquate à la certification mais jamais revue à mesure que l’organisation a grandi.

Exigences liées

• 7.2 Compétence — les ressources incluent de s’assurer que les bonnes personnes ont les bonnes compétences.
• Clause 6 Planification — les décisions de dotation devraient se rattacher au plan de traitement des risques et aux objectifs fixés ici.
• Clause parente : Clause 7 Support.