La conformité est la discipline consistant à respecter les obligations externes et internes qui s'appliquent à la manière dont une organisation traite ses informations et ses systèmes. Ces obligations découlent de lois et de réglementations, d'engagements contractuels, de normes sectorielles et des propres politiques de l'organisation. On peut citer le droit de la protection des données, les règles sectorielles pour la finance ou la santé, et les exigences de certification que les clients attendent de leurs fournisseurs.
La conformité occupe une place centrale dans la gouvernance, car elle traduit un langage juridique et réglementaire abstrait en exigences de contrôle concrètes et vérifiables. Elle relie les obligations de l'organisation aux politiques, procédures et mesures techniques qui les satisfont, et elle fournit la preuve que ces obligations sont bien respectées.
La raison pour laquelle cela importe est simple : la non-conformité peut entraîner des amendes, la perte d'une certification, la résiliation de contrats et une atteinte à la réputation. Au-delà de l'évitement des sanctions, une posture de conformité mature instaure la confiance avec les clients, les régulateurs et les partenaires, et elle rehausse souvent la qualité globale du programme de sécurité.
Le travail de conformité consiste à identifier les exigences applicables, à les rattacher à un référentiel de contrôle, à en attribuer la responsabilité, à collecter des preuves et à assurer une surveillance continue. Rattacher les exigences à un référentiel commun évite les efforts redondants lorsque plusieurs obligations se recoupent, en permettant à un même contrôle bien mis en œuvre de satisfaire plusieurs exigences à la fois.
Références#
- ISO/IEC 27001 et ISO/IEC 27002, qui fournissent un système de management et un catalogue de mesures de sécurité de l'information.
- NIST Cybersecurity Framework (CSF), qui aide à rattacher les obligations aux résultats attendus des contrôles.