4.2 — Besoins et attentes des parties intéressées

Toute demande de partie prenante n’a pas sa place dans votre SGSI. Cette exigence porte autant sur ce qu’il faut exclure que sur ce qu’il faut inclure.

En langage clair

La 4.2 exige d’identifier qui a un intérêt dans votre sécurité de l’information — clients, régulateurs, employés, actionnaires, partenaires — de déterminer ce que chacun exige réellement de vous, puis de décider lesquelles de ces exigences votre SGSI prendra formellement en charge.

Pourquoi cette exigence existe

Les parties intéressées s’entendent rarement sur les priorités. Un régulateur veut des contrôles précis documentés d’une certaine façon ; un client majeur veut un questionnaire de sécurité répondu selon ses propres termes ; les investisseurs veulent le risque exprimé en langage d’affaires. Sans un processus délibéré pour concilier tout cela, le SGSI essaie soit de plaire à tout le monde à la fois — devenant ingérable — soit favorise silencieusement la partie prenante qui a crié le plus fort.

Scénario : le plus grand client d’une entreprise insiste sur une norme de chiffrement précise que l’organisation juge excessive par rapport à son niveau de risque réel. Sans une décision documentée sur les exigences des parties intéressées que le SGSI traite formellement, l’équipe ignore silencieusement la demande du client (risquant la relation) ou l’implante de façon incohérente dans l’entreprise (créant des contrôles inégaux et difficiles à auditer). Une décision délibérée en vertu de la 4.2 — traitée comme un contrôle spécifique au client, avec un périmètre explicite — évite les deux issues.

Ce que la norme attend

La norme attend que l’organisation détermine les parties intéressées pertinentes pour le SGSI, et les exigences pertinentes de ces parties intéressées. La révision 2022 a ajouté un troisième point explicite : l’organisation doit déterminer lesquelles de ces exigences seront traitées par le SGSI. Cet ajout compte — il transforme un exercice de liste passif en une décision active de cadrage, et constitue le pont direct vers la façon dont la 4.3 trace la frontière du SGSI.

En pratique

• Bâtir un registre simple des parties intéressées : qui elles sont, ce qu’elles exigent, et si le SGSI traite formellement cette exigence ou non, explicitement.
• Inclure à la fois les exigences formelles (lois, réglementations, contrats) et informelles (attentes des clients, normes de l’industrie) plutôt que seulement celles qui sont juridiquement contraignantes.
• Rendre la décision « traitée ou non » explicite et documentée — le silence sur une exigence se lit comme un oubli, pas comme un choix de cadrage délibéré.

Preuves que l’auditeur demandera

• Un registre des parties intéressées avec les exigences et une décision explicite d’inclusion ou d’exclusion du périmètre pour chacune.
• Une traçabilité d’une exigence précise de partie intéressée vers un contrôle ou une politique qui la traite.

Pièges courants

• Une liste de parties intéressées sans analyse de ce qu’elles exigent réellement.
• Aucune décision explicite sur les exigences que le SGSI traite — l’ajout 2022 le plus souvent manqué.

Exigences liées

• 4.1 Compréhension du contexte — la moitié complémentaire du contexte : ce qui vous entoure, pas seulement qui s’en soucie.
• 4.3 Périmètre du SGSI — utilise les exigences traitées ici pour aider à tracer la frontière du SGSI.
• Clause parente : Clause 4 · Contexte de l’organisation

Correspondance 2013 → 2022