# ISO/CEI 27004

L'ISO/CEI 27004 est une norme internationale concernant la sécurité de l'information. Elle a été publiée conjointement en 2009, puis révisée en 2016, par l'Organisation internationale de normalisation (ISO) et la Commission Électrotechnique Internationale (CEI). Son titre en français est Technologies de l'information — Techniques de sécurité — Management de la sécurité de l'information — Surveillance, mesurage, analyse et évaluation. Elle fait partie de la famille ISO/CEI 27000.

## Objectifs

L'ISO/CEI 27004 a pour but d'assister les organisations dans l'évaluation de la performance de leur Système de Management de la Sécurité de l'Information (SMSI) mais également de sa conformité avec la clause 9.1 de l'ISO/CEI 27001. Elle établie :
* Le suivi et la mesure des performances en matière de sécurité de l'information.
* La surveillance et la mesure de l'efficacité d'un SMSI, y compris ses processus et ses contrôles.
* L'analyse et l'évaluation des résultats de la surveillance et de la mesure.
Elle est applicable à tous les types et à toutes les tailles d'organismes.

## Liens avec l'ISO/CEI 27001

Il ne faut surtout pas confondre l'ISO/CEI 27001 avec l'ISO/CEI 27004.
* La première définit les exigences pour mettre en place et opérer un SMSI. Elle se concentre notamment sur la mise en œuvre des mesures des mesures de sécurité.
* Tandis que la seconde fournit un cadre pour évaluer la performance et la conformité du SMSI. Elle permet de s'assurer que les mesures de sécurité sont correctement implémentés, efficaces et adaptées aux besoins de l'organisation.

## Avantages

Une organisation peut espérer obtenir plusieurs bénéfices si elle utilise l'ISO/CEI 27004 pour évaluer la performance de son SMSI :
* Réduction des incidents : l'organisation peut mieux anticiper et prévenir les incidents avant qu'ils ne se produisent.
* Optimisation des ressources : l'organisation peut plus facilement se concentrer sur les points critiques de son SMSI.
* Transparence améliorée : l'organisation rend plus transparent son SMSI ce qui facilite la prise de décisions.
* Efficacité améliorée : l'organisation peut rendre plus efficace les processus de son SMSI qui ont été identifiés comme peu performant.
* Preuves de conformité : l'organisation obtient des preuves de conformité avec l'ISO/CEI 27001 et les réglementations qu'elle doit respecter.

## Structure de l'ISO/CEI 27004:2016

Il n'existe pas aujourd'hui de traduction française. Les titres des chapitres ci-dessous sont donc tirés de la version anglaise de la norme puis traduis en français.
Il y a 8 chapitres principaux :
* Périmètre
* Références normatives
* Termes et définitions
* Structure et aperçu
* Raison d'être
* Caractéristiques
* Types de mesures
* Processus
Puis il y a 3 annexes à la fin du document :
* Annexe A : Un modèle de mesure de la sécurité de l'information
* Annexe B : Exemples de construction d'indicateurs
* Annexe C : Exemple de construction d'un indicateur basé sur un formulaire en texte libre

## Exemple de construction d'un indicateur

L'exemple de construction d'un indicateur ci-dessous est tiré de l'annexe B de l'ISO/CEI 27004:
B.34 : Tendance des incidents de sécurité :
| Descripteur de l'information | Signification ou but |
| ID de l'indicateur | Défini par l'organisation |
| Information recherchée | 1. Tendance des incidents de sécurité de l'information 2. Tendance des incidents de sécurité de l'information en fonction des catégories |
| Mesure | 1. Nombre d'incidents de sécurité de l'information sur une période de temps définie (ex: mois) 2. Nombre d'incidents de sécurité de l'information d'une catégorie spécifique sur une période de temps définie (ex: mois) |
| Formule / calcul | Comparer la valeur de mesure moyenne pour les 2 dernières périodes de temps avec la valeur de mesure moyenne pour les 6 dernières périodes de temps. Définir un seuil pour les indicateurs de tendance : < 1.0 équivaut à Vert 1.00 - 1.30 équivaut à Jaune > 1.3 équivaut à Rouge Réaliser l'analyse pour tous les incidents Réaliser l'analyse pour chaque catégorie spécifique |
| Cible | Vert |
| Preuve d'implémentation | Les valeurs des indicateurs sont reportées chaque mois |
| Fréquence | Chaque mois |
| Source de donnée | Les rapports des incidents de sécurité de l'information |
| Format de rapport | Tableau avec les valeurs de l'indicateur Graphique de tendance |