Qu’est-ce qu’ISO 27001 ?
Mise à jour : depuis mars 2025, Bitwarden est certifié ISO 27001 conformément aux ensembles de contrôles ISO 27001 relatifs à la sécurité des données.
ISO 27001, norme internationale, pose les bases de la création, de la maintenance et du développement de systèmes de management de la sécurité de l’information (SMSI), y compris la gestion des données. Les entreprises qui cherchent à atteindre la conformité ou la certification ISO 27001 devraient envisager d’ajouter la gestion des mots de passe ISO 27001 à leur panoplie d’outils.
L’Organisation internationale de normalisation (ISO) est une organisation mondiale qui élabore et publie des normes techniques, industrielles et commerciales internationales. Mise à jour pour la dernière fois en octobre 2022, la norme ISO 27001 relative aux SMSI fournit un cadre de sécurité des données composé de 93 ensembles de contrôles. Pour obtenir la certification ISO 27001, les entreprises doivent démontrer leur conformité à chacun d’eux.
Pour être certifiée ISO 27001, une entreprise doit se conformer à 93 ensembles de contrôles.
Le processus de certification ISO 27001 consiste en un audit réalisé par des organismes de certification indépendants qui examinent les politiques et procédures de sécurité des données de l’entreprise, ainsi que leur application. Le processus peut être long, mais réussir un audit de certification ISO 27001 montre que votre entreprise a effectué une évaluation des risques de sécurité afin d’identifier les menaces potentielles et a mis en place des contrôles de sécurité pour se protéger contre les violations de données.
Les avantages de la certification et de la conformité ISO 27001
La certification ISO 27001 donne aux organisations un avantage concurrentiel pour attirer et fidéliser les clients, car elle démontre l’existence de contrôles robustes en matière de sécurité de l’information. Elle peut également aider à attirer et à fidéliser les fournisseurs et autres parties prenantes soucieux de la manière dont leurs informations sont gérées et protégées.
Le simple fait de se préparer au processus d’audit peut renforcer les politiques de sécurité ISO 27001 existantes et améliorer les systèmes, structures et processus métier quotidiens internes. Le processus de gestion des risques peut également aider les organisations à mieux respecter les lois sur la protection des données, telles que le CCPA et le RGPD, et à éviter les amendes pour non-conformité ou une atteinte à leur réputation due à une violation de données évitable.
Découvrez comment votre entreprise peut renforcer ses pratiques de cybersécurité pour réussir des audits de sécurité.
Les ensembles de contrôles ISO 27001
Les 93 ensembles de contrôles sont regroupés dans l’Annexe A et relèvent de 4 grands thèmes. Pour obtenir la certification ISO 27001, les entreprises doivent démontrer leur conformité à ces contrôles. Les catégories sont les suivantes :
Contrôles organisationnels (37 contrôles)
Contrôles liés aux personnes (8 contrôles)
Contrôles physiques (14 contrôles)
Contrôles technologiques (34 contrôles)
La version précédente de la norme ISO comprenait 114 contrôles répartis en 14 catégories. Cette version incluait également des formulations encadrant l’ouverture de session sécurisée et les systèmes de gestion des mots de passe.
Le contrôle relatif à l’ouverture de session sécurisée précisait : « l’accès aux systèmes et aux applications doit être contrôlé par une procédure d’ouverture de session sécurisée lorsque la Politique de contrôle d’accès l’exige ». Avec un gestionnaire de mots de passe, les utilisateurs bénéficient d’une couche de sécurité supplémentaire pour leurs identifiants et disposent d’un emplacement unique pour aider à gérer et intégrer l’authentification à deux facteurs pour tous les sites web qui la prennent en charge.
Le contrôle relatif au système de gestion des mots de passe indiquait : « les systèmes de gestion des mots de passe doivent être coopératifs afin de garantir la qualité des mots de passe ». L’ISO recommande d’utiliser un gestionnaire de mots de passe qui permet aux utilisateurs de créer des mots de passe forts et uniques, et offre des fonctionnalités de partage sécurisé pour la collaboration.
Les gestionnaires de mots de passe définissent la robustesse des mots de passe, imposent la 2FA et utilisent des journaux d’événements pour surveiller l’activité des utilisateurs : autant de capacités que les entreprises doivent mettre en place pour répondre aux exigences ISO relatives au contrôle d’accès, à la protection des données personnelles et à la protection des terminaux.
La dernière version d’ISO 27001 traite de la gestion des mots de passe dans l’Annexe A 5.17. De nombreuses autres exigences de l’Annexe A peuvent être satisfaites ou prises en charge par l’adoption d’un gestionnaire de mots de passe. Sans être exhaustive, la liste suivante donne quelques exemples :
Annexe A 5.3, Séparation des tâches : Les tâches incompatibles et les domaines de responsabilité incompatibles doivent être séparés.
Annexe A 5.14, Transfert d’informations : Des règles, procédures ou accords relatifs au transfert d’informations doivent être en place pour tous les types de moyens de transfert au sein de l’organisation et entre l’organisation et d’autres parties.
Annexe A 5.15, Contrôle d’accès : Des règles visant à contrôler l’accès physique et logique aux informations et aux autres actifs associés doivent être établies et mises en œuvre en fonction des exigences métier et de sécurité de l’information.
Annexe A 5.16, Gestion des identités : Le cycle de vie complet des identités doit être géré.
Annexe A 5.17, Informations d’authentification : L’attribution et la gestion des informations d’authentification doivent être contrôlées par un processus de gestion, notamment en conseillant le personnel sur les bonnes pratiques de traitement des informations d’authentification.
Un présentation détaillée sur ce critère présente des recommandations relatives aux mots de passe, avec des conseils pour gérer les mots de passe, notamment la possibilité de créer des mots de passe sécurisés. En outre, l’objectif recommande aux organisations d’éviter les identifiants faibles, très répandus ou compromis.
Compte tenu de ce critère, les organisations devraient idéalement déployer un système de gestion des mots de passe leur permettant de générer des rapports sur les mots de passe exposés, réutilisés, faibles ou potentiellement compromis, et d’obtenir des informations exploitables à leur sujet.
Annexe A 5.34, Confidentialité et protection des informations personnelles identifiables (PII) : L’organisation doit identifier et respecter les exigences relatives à la préservation de la vie privée et à la protection des PII, conformément aux lois et réglementations applicables ainsi qu’aux exigences contractuelles.
Annexe A 8.1, Appareils terminaux des utilisateurs : Les informations stockées sur les appareils terminaux des utilisateurs, traitées par ceux-ci ou accessibles via ceux-ci doivent être protégées.
Annexe A 8.4, Accès au code source : L’accès en lecture et en écriture au code source, aux outils de développement et aux bibliothèques logicielles doit être géré de manière appropriée.
Annexe A 8.5, Authentification sécurisée : Des technologies et procédures d’authentification sécurisée doivent être mises en œuvre en fonction des restrictions d’accès aux informations et de la politique spécifique au contrôle d’accès.
Cet objectif se concentre sur l’utilisation de l’authentification multifacteur pour se connecter en toute sécurité aux systèmes. Avec un gestionnaire de mots de passe, les utilisateurs bénéficient d’une couche de sécurité supplémentaire pour les identifiants, ainsi que d’un emplacement unique pour gérer et intégrer l’authentification à deux facteurs (2FA) pour tous les sites web qui la prennent en charge. L’objectif souligne également que les mots de passe doivent rester confidentiels en permanence, ce qui plaide fortement en faveur d’un coffre de mots de passe entièrement chiffré.
Les systèmes de gestion des mots de passe permettent aux organisations d’identifier les éléments de leurs coffres pour lesquels la 2FA est inactive.
Annexe A 8.11, Masquage des données : Le masquage des données doit être utilisé conformément à la politique spécifique au contrôle d’accès de l’organisation, aux autres politiques spécifiques connexes et aux exigences métier, en tenant compte de la législation applicable.
Annexe A 8.12, Fuite de données : Des mesures de prévention des fuites de données doivent être appliquées aux systèmes, aux réseaux et à tout autre appareil qui traite, stocke ou transmet des informations sensibles.
Le saviez-vous ?
Bitwarden propose des rapports sur l’état du coffre qui peuvent contribuer à promouvoir de bonnes pratiques de cybersécurité et permettre aux employés d’identifier les comptes faiblement protégés.
Obtenir la certification ISO 27001 grâce à un gestionnaire de mots de passe
Un système de gestion des mots de passe prend en charge les nombreuses exigences de l’Annexe A répertoriées ci-dessus, ainsi qu’un grand nombre des exigences incluses dans les ensembles de contrôles globaux.
Les utilisateurs peuvent garder secrètes les informations d’authentification, appliquer les bonnes pratiques relatives aux mots de passe comme la génération de mots de passe forts et uniques, et partager des mots de passe en toute sécurité avec un gestionnaire de mots de passe qui sécurise les informations sensibles grâce au chiffrement de bout en bout. En limitant les personnes autorisées à voir certaines informations sensibles ou critiques, les gestionnaires de mots de passe aident également à séparer les tâches et à limiter les menaces internes.
Les organisations qui utilisent des gestionnaires de mots de passe définissent des exigences de robustesse des mots de passe, imposent l’authentification à deux facteurs (2FA) et utilisent des journaux d’événements pour surveiller l’activité des utilisateurs — autant de capacités que les entreprises doivent mettre en place pour répondre aux exigences ISO en matière de contrôle d’accès, de protection des PII et de protection des terminaux. La plupart des gestionnaires de mots de passe réputés facilitent également l’intégration SSO, fournissant aux administrateurs les outils nécessaires pour gérer l’accès et le processus d’authentification. Cette capacité contribue à satisfaire à l’exigence ISO d’authentification sécurisée.
Lorsqu’elles évaluent des gestionnaires de mots de passe pour soutenir la certification ISO 27001, les organisations doivent vérifier si le logiciel respecte des normes de sécurité et de conformité de niveau entreprise, telles que la conformité SOC2 type 2, la conformité au RGPD, le Data Privacy Framework et HIPAA. Les entreprises doivent choisir une solution qui offre un chiffrement de bout en bout à connaissance nulle.
Études de cas :
Inventory Hive, plateforme logicielle leader d’inspection immobilière et de visites virtuelles au Royaume-Uni, a obtenu la certification ISO 27001 avec Bitwarden.
Bitwarden Secrets Manager et Bitwarden Password Manager permettent tous deux à Titanom Technologies de démontrer sa résilience en matière de cybersécurité et d’être pris en considération pour la certification ISO 27001.