ISO/IEC 20000
La norme ISO/IEC 20000 est la norme internationale relative à la gestion des services informatiques — c'est-à-dire la manière dont les services informatiques sont conçus, fournis et améliorés de manière rigoureuse et reproductible. Il ne s’agit pas d’une norme de sécurité en soi, mais de nombreux résultats en matière de sécurité dépendent discrètement de la maturité de la gestion des services sur laquelle elle repose : la gestion des incidents, la gestion des changements et la gestion des configurations sont toutes présentes dans ces deux domaines, simplement décrites dans un langage différent.
Ce lien est plus important qu’il n’y paraît à première vue. Un processus de changement mal maîtrisé constitue autant un problème de sécurité qu’un problème opérationnel : la plupart des pannes et un nombre non négligeable de violations de données trouvent leur origine dans un changement qui n’a pas été examiné, testé ou annulé correctement. Traiter l’ITSM et la sécurité comme deux sujets distincts revient généralement à affaiblir ces deux domaines au-delà de ce qui est nécessaire.
C’est là que j’interviens
Je collabore avec des organisations qui visent la certification ISO/IEC 20000 afin de m’assurer que les processus de gestion des services mis en place — gestion des incidents, gestion des problèmes, contrôle des changements — sont conçus en tenant compte de la sécurité dès le départ, plutôt que d’y ajouter la sécurité a posteriori sous la forme d’un processus distinct et parallèle. Cela implique des processus de consultation sur les changements qui abordent réellement la question de la sécurité, une catégorisation des incidents capable de distinguer une interruption de service d’un événement de sécurité, ainsi qu’une gestion des configurations qui vous donne une image précise de ce qui est réellement en cours d’exécution.
Remarque pratique
La certification est utile en tant que levier de changement et comme preuve auprès des clients et des partenaires, mais sa véritable valeur réside dans la discipline qu’elle instaure : savoir ce qui a changé, quand, pourquoi et qui l’a approuvé. Cette discipline porte ses fruits, que vous affichiez ou non le certificat au mur.
Si vous mettez en place ou renforcez votre gestion des services informatiques et que vous souhaitez intégrer la sécurité dès le départ plutôt que de l’ajouter a posteriori, contactez-moi.