ISO/IEC 27000:2018

INTERNATIONAL ISO/IEC
STANDARD 27000
Fifth edition
2018-02
Information technology — Security
techniques — Information security
management systems — Overview and
vocabulary
Technologies de l'information — Techniques de sécurité — Systèmes
de management de la sécurité de l'information — Vue d'ensemble et
vocabulaire
Reference number
ISO/IEC 27000:2018(E)
©
ISO/IEC 2018

---------------------- Page: 1 ----------------------
ISO/IEC 27000:2018(E)

COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2018
All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may
be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting
on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address
below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva, Switzerland
Tel. +41 22 749 01 11
Fax +41 22 749 09 47
copyright@iso.org
www.iso.org
Published in Switzerland
ii © ISO/IEC 2018 – All rights reserved

---------------------- Page: 2 ----------------------
ISO/IEC 27000:2018(E)

Contents Page
Foreword .iv
Introduction .v
1 Scope . 1
2 Normative references . 1
3 Terms and definitions . 1
4 Information security management systems .11
4.1 General .11
4.2 What is an ISMS? .11
4.2.1 Overview and principles .11
4.2.2 Information.12
4.2.3 Information security .12
4.2.4 Management .12
4.2.5 Management system .13
4.3 Process approach .13
4.4 Why an ISMS is important .13
4.5 Establishing, monitoring, maintaining and improving an ISMS .14
4.5.1 Overview .14
4.5.2 Identifying information security requirements .14
4.5.3 Assessing information security risks .15
4.5.4 Treating information security risks . .15
4.5.5 Selecting and implementing controls .15
4.5.6 Monitor, maintain and improve the effectiveness of the ISMS .16
4.5.7 Continual improvement .16
4.6 ISMS critical success factors .17
4.7 Benefits of the ISMS family of standards .17
5 ISMS family of standards .18
5.1 General information .18
5.2 Standard describing an overview and terminology: ISO/IEC 27000 (this document) .19
5.3 Standards specifying requirements .19
5.3.1 ISO/IEC 27001 .19
5.3.2 ISO/IEC 27006 .20
5.3.3 ISO/IEC 27009 .20
5.4 Standards describing general guidelines .20
5.4.1 ISO/IEC 27002 .20
5.4.2 ISO/IEC 27003 .20
5.4.3 ISO/IEC 27004 .21
5.4.4 ISO/IEC 27005 .21
5.4.5 ISO/IEC 27007 .21
5.4.6 ISO/IEC TR 27008 .21
5.4.7 ISO/IEC 27013 .22
5.4.8 ISO/IEC 27014 .22
5.4.9 ISO/IEC TR 27016 .22
5.4.10 ISO/IEC 27021 .22
5.5 Standards describing sector-specific guidelines .23
5.5.1 ISO/IEC 27010 .23
5.5.2 ISO/IEC 27011 .23
5.5.3 ISO/IEC 27017 .23
5.5.4 ISO/IEC 27018 .24
5.5.5 ISO/IEC 27019 .24
5.5.6 ISO 27799 .25
Bibliography .26
© ISO/IEC 2018 – All rights reserved iii

---------------------- Page: 3 ----------------------
ISO/IEC 27000:2018(E)

Foreword
ISO (the International Organization for Standardization) is a worldwide federation of national standards
bodies (ISO member bodies). The work of preparing International Standards is normally carried out
through ISO technical committees. Each member body interested in a subject for which a technical
committee has been established has the right to be represented on that committee. International
organizations, governmental and non-governmental, in liaison with ISO, also take part in the work.
ISO collaborates closely with the International Electrotechnical Commission (IEC) on all matters of
electrotechnical standardization.
The procedures used to develop this document and those intended for its further maintenance are
described in the ISO/IEC Directives, Part 1. In particular the different approval criteria needed for the
different types of ISO documents should be noted. This document was drafted in accordance with the
editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/ directives).
Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. ISO shall not be held responsible for identifying any or all such patent rights. Details of
any patent rights identified during the development of the document will be in the Introduction and/or
on the ISO list of patent declarations received (see www .iso .org/ patents).
Any trade name used in this document is information given for the convenience of users and does not
constitute an endorsement.
For an explanation on the voluntary nature of standards, the meaning of ISO specific terms and
expressions related to conformity assessment, as well as information about ISO's adherence to the
World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see the following
URL: www .iso .org/ iso/ foreword .html.
This document was prepared by Technical Committee ISO/IEC JTC 1, Information technology, SC 27, IT
Security techniques.
This fifth edition cancels and replaces the fourth edition (ISO/IEC 27000:2016), which has been
technically revised. The main changes compared to the previous edition are as follows:
— the Introduction has been reworded;
— some terms and definitions have been removed;
— Clause 3 has been aligned on the high-level structure for MSS;
— Clause 5 has been updated to reflect the changes in the standards concerned;
— Annexes A and B have been deleted.
iv © ISO/IEC 2018 – All rights reserved

---------------------- Page: 4 ----------------------
ISO/IEC 27000:2018(E)

Introduction
0.1  Overview
International Standards for management systems provide a model to follow in setting up and
operating a management system. This model incorporates the features on which experts in the field
have reached a consensus as being the international state of the art. ISO/IEC JTC 1/SC 27 maintains an
expert committee dedicated to the development of international management systems standards for
information security, otherwise known as the Information Security Management system (ISMS) family
of standards.
Through the use of the ISMS family of standards, organizations can develop and implement a framework
for managing the security of their information assets, including financial information, intellectual
property, and employee details, or information entrusted to them by customers or third parties. These
standards can also be used to prepare for an independent assessment of their ISMS applied to the
protection of information.
0.2  Purpose of this document
The ISMS family of standards includes standards that:
a) define requirements for an ISMS and for those certifying such systems;
b) provide direct support, detailed guidance and/or interpretation for the overall process to establish,
implement, maintain, and improve an ISMS;
c) address sector-specific guidelines for ISMS; and
d) address conformity assessment for ISMS.
0.3  Content of this document
In this document, the following verbal forms are used:
— “shall” indicates a requirement;
— “should” indicates a recommendation;
— “may” indicates a permission;
— “can” indicates a possibility or a capability.
Information marked as "NOTE" is for guidance in understanding or clarifying the associated
requirement. “Notes to entry” used in Clause 3 provide additional information that supplements the
terminological data and can contain provisions relating to the use of a term.
© ISO/IEC 2018 – All rights reserved v

---------------------- Page: 5 ----------------------
INTERNATIONAL STANDARD ISO/IEC 27000:2018(E)
Information technology — Security techniques —
Information security management systems — Overview
and vocabulary
1 Scope
This document provides the overview of information security management systems (ISMS). It also
provides terms and definitions commonly used in the ISMS family of standards. This document is
applicable to all types and sizes of organization (e.g. commercial enterprises, government agencies, not-
for-profit organizations).
The terms and definitions provided in this document
— cover commonly used terms and definitions in the ISMS family of standards;
— do not cover all terms and definitions applied within the ISMS family of standards; and
— do not limit the ISMS family of standards in defining new terms for use.
2 Normative references
There are no normative references in this document.
3 Terms and definitions
ISO and IEC maintain terminological databases for use in standardization at the following addresses:
— ISO Online browsing platform: available at https:// www .iso .org/ obp
— IEC Electropedia: available at https:// www .electropedia .org/
3.1
access control
means to ensure that access to assets is authorized and restricted based on business and security
requirements (3.56)
3.2
attack
attempt to destroy, expose, alter, disable, steal or gain unauthorized access to or make unauthorized
use of an asset
3.3
audit
systematic, independent and documented process (3.54) for obtaining audit evidence and evaluating it
objectively to determine the extent to which the audit criteria are fulfilled
Note 1 to entry: An audit can be an internal audit (first party) or an external audit (second party or third party),
and it can be a combined audit (combining two or more disciplines).
Note 2 to entry: An internal audit is conducted by the organization itself, or by an external party on its behalf.
Note 3 to entry: “Audit evidence” and “audit criteria” are defined in ISO 19011.
© ISO/IEC 2018 – All rights reserved 1

---------------------- Page: 6 ----------------------
ISO/IEC 27000:2018(E)

3.4
audit scope
extent and boundaries of an audit (3.3)
[SOURCE: ISO 19011:2011, 3.14, modified — Note 1 to entry has been deleted.]
3.5
authentication
provision of assurance that a claimed characteristic of an entity is correct
3.6
authenticity
property that an entity is what it claims to be
3.7
availability
property of being accessible and usable on demand by an authorized entity
3.8
base measure
measure (3.42) defined in terms of an attribute and the method for quantifying it
Note 1 to entry: A base measure is functionally independent of other measures.
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.3, modified — Note 2 to entry has been deleted.]
3.9
competence
ability to apply knowledge and skills to achieve intended results
3.10
confidentiality
property that information is not made available or disclosed to unauthorized individuals, entities, or
processes (3.54)
3.11
conformity
fulfilment of a requirement (3.56)
3.12
consequence
outcome of an event (3.21) affecting objectives (3.49)
Note 1 to entry: An event can lead to a range of consequences.
Note 2 to entry: A consequence can be certain or uncertain and, in the context of information security, is usually
negative.
Note 3 to entry: Consequences can be expressed qualitatively or quantitatively.
Note 4 to entry: Initial consequences can escalate through knock-on effects.
[SOURCE: ISO Guide 73:2009, 3.6.1.3, modified — Note 2 to entry has been changed after “and”.]
3.13
continual improvement
recurring activity to enhance performance (3.52)
2 © ISO/IEC 2018 – All rights reserved

---------------------- Page: 7 ----------------------
ISO/IEC 27000:2018(E)

3.14
control
measure that is modifying risk (3.61)
Note 1 to entry: Controls include any process (3.54), policy (3.53), device, practice, or other actions which modify
risk (3.61).
Note 2 to entry: It is possible that controls not always exert the intended or assumed modifying effect.
[SOURCE: ISO Guide 73:2009, 3.8.1.1 — Note 2 to entry has been changed.]
3.15
control objective
statement describing what is to be achieved as a result of implementing controls (3.14)
3.16
correction
action to eliminate a detected nonconformity (3.47)
3.17
corrective action
action to eliminate the cause of a nonconformity (3.47) and to prevent recurrence
3.18
derived measure
measure (3.42) that is defined as a function of two or more values of base measures (3.8)
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.8, modified — Note 1 to entry has been deleted.]
3.19
documented information
information required to be controlled and maintained by an organization (3.50) and the medium on
which it is contained
Note 1 to entry: Documented information can be in any format and media and from any source.
Note 2 to entry: Documented information can refer to
— the management system (3.41), including related processes (3.54);
— information created in order for the organization (3.50) to operate (documentation);
— evidence of results achieved (records).
3.20
effectiveness
extent to which planned activities are realized and planned results achieved
3.21
event
occurrence or change of a particular set of circumstances
Note 1 to entry: An event can be one or more occurrences, and can have several causes.
Note 2 to entry: An event can consist of something not happening.
Note 3 to entry: An event can sometimes be referred to as an “incident” or “accident”.
[SOURCE: ISO Guide 73:2009, 3.5.1.3, modified — Note 4 to entry has been deleted.]
© ISO/IEC 2018 – All rights reserved 3

---------------------- Page: 8 ----------------------
ISO/IEC 27000:2018(E)

3.22
external context
external environment in which the organization seeks to achieve its objectives (3.49)
Note 1 to entry: External context can include the following:
— the cultural, social, political, legal, regulatory, financial, technological, economic, natural and competitive
environment, whether international, national, regional or local;
— key drivers and trends having impact on the objectives of the organization (3.50);
— relationships with, and perceptions and values of, external stakeholders (3.37).
[SOURCE: ISO Guide 73:2009, 3.3.1.1]
3.23
governance of information security
system by which an organization’s (3.50) information security (3.28) activities are directed and
controlled
3.24
governing body
person or group of people who are accountable for the performance (3.52) and conformity of the
organization (3.50)
Note 1 to entry: The governing body can, in some jurisdictions, be a board of directors.
3.25
indicator
measure (3.42) that provides an estimate or evaluation
3.26
information need
insight necessary to manage objectives (3.49), goals, risks and problems
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.12]
3.27
information processing facilities
any information processing system, service or infrastructure, or the physical location housing it
3.28
information security
preservation of confidentiality (3.10), integrity (3.36) and availability (3.7) of information
Note 1 to entry: In addition, other properties, such as authenticity (3.6), accountability, non-repudiation (3.48),
and reliability (3.55) can also be involved.
3.29
information security continuity
processes (3.54) and procedures for ensuring continued information security (3.28) operations
3.30
information security event
identified occurrence of a system, service or network state indicating a possible breach of information
security (3.28) policy (3.53) or failure of controls (3.14), or a previously unknown situation that can be
security relevant
3.31
information security incident
single or a series of unwanted or unexpected information security events (3.30) that have a significant
probability of compromising business operations and threatening information security (3.28)
4 © ISO/IEC 2018 – All rights reserved

---------------------- Page: 9 ----------------------
ISO/IEC 27000:2018(E)

3.32
information security incident management
set of processes (3.54) for detecting, reporting, assessing, responding to, dealing with, and learning
from information security incidents (3.31)
3.33
information security management system (ISMS) professional
person who establishes, implements, maintains and continuously improves one or more information
security management system processes (3.54)
3.34
information sharing community
group of organizations (3.50) that agree to share information
Note 1 to entry: An organization can be an individual.
3.35
information system
set of applications, services, information technology assets, or other information-handling components
3.36
integrity
property of accuracy and completeness
3.37
interested party (preferred term)
stakeholder (admitted term)
person or organization (3.50) that can affect, be affected by, or perceive itself to be affected by a decision
or activity
3.38
internal context
internal environment in which the organization (3.50) seeks to achieve its objectives
Note 1 to entry: Internal context can include:
— governance, organizational structure, roles and accountabilities;
— policies (3.53), objectives (3.49), and the strategies that are in place to achieve them;
— the capabilities, understood in terms of resources and knowledge (e.g. capital, time, people, processes (3.54),
systems and technologies);
— information systems (3.35), information flows and decision-making processes (both formal and informal);
— relationships with, and perceptions and values of, internal stakeholders (3.37);
— the organization's culture;
— standards, guidelines and models adopted by the organization;
— form and extent of contractual relationships.
[SOURCE: ISO Guide 73:2009, 3.3.1.2]
3.39
level of risk
magnitude of a risk (3.61) expressed in terms of the combination of consequences (3.12) and their
likelihood (3.40)
[SOURCE: ISO Guide 73:2009, 3.6.1.8, modified — “or combination of risks” has been deleted in the
definition.]
© ISO/IEC 2018 – All rights reserved 5

---------------------- Page: 10 ----------------------
ISO/IEC 27000:2018(E)

3.40
likelihood
chance of something happening
[SOURCE: ISO Guide 73:2009, 3.6.1.1, modified — Notes 1 and 2 to entry have been deleted.]
3.41
management system
set of interrelated or interacting elements of an organization (3.50) to establish policies (3.53) and
objectives (3.49) and processes (3.54) to achieve those objectives
Note 1 to entry: A management system can address a single discipline or several disciplines.
Note 2 to entry: The system elements include the organization’s structure, roles and responsibilities, planning
and operation.
Note 3 to entry: The scope of a management system may include the whole of the organization, specific and
identified functions of the organization, specific and identified sections of the organization, or one or more
functions across a group of organizations.
3.42
measure
variable to which a value is assigned as the result of measurement (3.43)
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.15, modified — Note 2 to entry has been deleted.]
3.43
measurement
process (3.54) to determine a value
3.44
measurement function
algorithm or calculation performed to combine two or more base measures (3.8)
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.20]
3.45
measurement method
logical sequence of operations, described generically, used in quantifying an attribute with respect to a
specified scale
Note 1 to entry: The type of measurement method depends on the nature of the operations used to quantify an
attribute (3.4). Two types can be distinguished:
— subjective: quantification involving human judgment; and
— objective: quantification based on numerical rules.
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.21, modified — Note 2 to entry has been deleted.]
3.46
monitoring
determining the status of a system, a process (3.54) or an activity
Note 1 to entry: To determine the status, there may be a need to check, supervise or critically observe.
3.47
nonconformity
non-fulfilment of a requirement (3.56)
3.48
non-repudiation
ability to prove the occurrence of a claimed event (3.21) or action and its originating entities
6 © ISO/IEC 2018 – All rights reserved

---------------------- Page: 11 ----------------------
ISO/IEC 27000:2018(E)

3.49
objective
result to be achieved
Note 1 to entry: An objective can be strategic, tactical, or operational.
Note 2 to entry: Objectives can relate to different disciplines (such as financial, health and safety, and
environmental goals) and can apply at different levels [such as strategic, organization-wide, project, product and
process (3.54)].
Note 3 to entry: An objective can be expressed in other ways, e.g. as an intended outcome, a purpose, an
operational criterion, as an information security objective or by the use of other words with similar meaning (e.g.
aim, goal, or target).
Note 4 to entry: In the context of information security management systems, information security objectives are
set by the organization, consistent with the information security policy, to achieve specific results.
3.50
organization
person or group of people that has its own functions with responsibilities, authorities and relationships
to achieve its objectives (3.49)
Note 1 to entry: The concept of organization includes but is not limited to sole-trader, company, corporation, firm,
enterprise, authority, partnership, charity or institution, or part or combination thereof, whether incorporated
or not, public or private.
3.51
outsource
make an arrangement where an external organization (3.50) performs part of an organization’s function
or process (3.54)
Note 1 to entry: An external organization is outside the scope of the management system (3.41), although the
outsourced function or process is within the scope.
3.52
performance
measurable result
Note 1 to entry: Performance can relate either to quantitative or qualitative findings.
Note 2 to entry: Performance can relate to the management of activities, processes (3.54), products (including
services), systems or organizations (3.50).
3.53
policy
intentions and direction of an organization (3.50), as formally expressed by its top management (3.75)
3.54
process
set of interrelated or interacting activities which transforms inputs into outputs
3.55
reliability
property of consistent intended behaviour and results
3.56
requirement
need or expectation that is stated, generally implied or obligatory
Note 1 to entry: “Generally implied” means that it is custom or common practice for the organization and
interested parties that the need or expectation under consideration is implied.
Note 2 to entry: A specified requirement is one that is stated, for example in documented information.
© ISO/IEC 2018 – All rights reserved 7

---------------------- Page: 12 --
...

NORME ISO/IEC
INTERNATIONALE 27000
Redline version
compare la Cinquième édition
à la Quatrième édition
Technologies de l'information —
Techniques de sécurité — Systèmes
de management de la sécurité de
l'information — Vue d'ensemble et
vocabulaire
Information technology — Security techniques — Information
security management systems — Overview and vocabulary
Numéro de référence
ISO/IEC 27000:redline:2018(F)
©
ISO/IEC 2018

---------------------- Page: 1 ----------------------
ISO/IEC 27000:redline:2018(F)

IMPORTANT — PLEASE NOTE
This is a mark-up copy and uses the following colour coding:
Text example 1 — indicates added text (in green)
Text example 2 — indicates removed text (in red)
— indicates added graphic figure
— indicates removed graphic figure
1.x . — Heading numbers containg modifications are highlighted in yellow in
the Table of Contents
DISCLAIMER
This Redline version provides you with a quick and easy way to compare the main changes
between this edition of the standard and its previous edition. It doesn’t capture all single
changes such as punctuation but highlights the modifications providing customers with
the most valuable information. Therefore it is important to note that this Redline version is
not the official ISO standard and that the users must consult with the clean version of the
standard, which is the official standard, for implementation purposes.
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2018
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en oeuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 2 ----------------------
ISO/IEC 27000:redline:2018(F)

Sommaire Page
Avant-propos .v
Introduction .vi
0.2 La famille de normes du SMSI .vi
0.2  Objet du présent document . vii
0.3 Objet de la présente Norme internationale . vii
1 Domaine d’application . 1
2 Références normatives . 1
2 3 Termes et définitions definitions . 1
3 4 Systèmes de management de la sécurité de l'information .14
3.1 4.1 Généralités .14
3.2 4.2 Qu'est-ce qu'un SMSI? .15
3.2.1 4.2.1 Vue d'ensemble et principes .15
3.2.2 4.2.2 L'information .16
3.2.3 4.2.3 Sécurité de l'information .16
3.2.4 4.2.4 Management .16
3.2.5 4.2.5 Système de management .16
3.3 4.3 Approche processus .17
3.4 4.4 Raisons expliquant pourquoi un SMSI est important .17
3.5 4.5 Établissement, surveillance, maintenance et amélioration d'un SMSI .18
3.5.1 4.5.1 Vue d'ensemble .18
3.5.2 4.5.2 Identifier les exigences liées à la sécurité de l'information .18
3.5.3 4.5.3 Apprécier les risques liés à la sécurité de l'information .19
3.5.4 4.5.4 Traiter les risques liés à la sécurité de l'information .19
3.5.5 4.5.5 Sélectionner et mettre en œuvre les mesures de sécurité .20
3.5.6 4.5.6 Surveiller, mettre à jour et améliorer l'efficacité du SMSI .21
3.5.7 4.5.7 Amélioration continue .21
3.6 4.6 Facteurs critiques de succès du SMSI .21
3.7 4.7 Avantages de la famille de normes du SMSI.22
4 5 La famille de normes du SMSI .22
4.1 5.1 Information Informations générales .22
4.2 5.2 Normes Norme donnant une vue d'ensemble et décrivant la terminologie ISO/
IEC 27000 (le présent document) .24
4.2.1 ISO/IEC 27000 (la présente Norme internationale) .24
4.3 5.3 Normes spécifiant des exigences .24
4.3.1 5.3.1 ISO/IEC 27001 ISO/IEC 27001 .24
4.3.2 5.3.2 ISO/IEC 27006 ISO/IEC 27006 .25
5.3.3 ISO/IEC 27009 .25
4.4 5.4 Normes décrivant des lignes directrices générales .25
4.4.1 5.4.1 ISO/IEC 27002 ISO/IEC 27002 .25
4.4.2 5.4.2 ISO/IEC 27003 ISO/IEC 27003 .26
4.4.3 5.4.3 ISO/IEC 27004 ISO/IEC 27004 .26
4.4.4 5.4.4 ISO/IEC 27005 ISO/IEC 27005 .26
4.4.5 5.4.5 ISO/IEC 27007 ISO/IEC 27007 .26
4.4.6 5.4.6 ISO/IEC/TR 27008 ISO/IEC TR 27008 .27
4.4.7 5.4.7 ISO/IEC 27013 ISO/IEC 27013 .27
4.4.8 5.4.8 ISO/IEC 27014 ISO/IEC 27014 .27
4.4.9 5.4.9 ISO/IEC/TR 27016 ISO/IEC TR 27016 .28
5.4.10 ISO/IEC 27021 .28
4.5 5.5 Normes décrivant des lignes directrices propres à un secteur .28
4.5.1 5.5.1 ISO/IEC 27010 ISO/IEC 27010 .28
4.5.2 5.5.2 ISO/IEC 27011 ISO/IEC 27011 .29
4.5.3 ISO/IEC/TR 27015 .29
4.5.4 5.5.3 ISO/IEC 27017 ISO/IEC 27017 .29
© ISO/IEC 2018 – Tous droits réservés iii

---------------------- Page: 3 ----------------------
ISO/IEC 27000:redline:2018(F)

4.5.5 5.5.4 ISO/IEC 27018 ISO/IEC 27018 .30
4.5.6 5.5.5 ISO/IEC/TR 27019 ISO/IEC 27019 .30
4.5.7 5.5.6 ISO 27799 ISO 27799 .31
Annexe A (informative) Formes verbales utilisées pour exprimer des dispositions .32
Annexe B (informative) Termes et propriété des termes .33
Bibliographie .39
iv © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 4 ----------------------
ISO/IEC 27000:redline:2018(F)

Avant-propos
L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique
internationale) forment le système spécialisé de la normalisation mondiale. Les organismes
nationauxest une fédération mondiale d'organismes nationaux de normalisation (comités membres
de l'ISO ou de l'IEC participent à l'élaboration de Normes internationales par l'intermédiaire de
comités techniques créés par l'organisme concerné pour traiter de domaines particuliers à une
activité technique. Les). L'élaboration des Normes internationales est en général confiée aux comités
techniques de l'ISO et de l'IEC collaborent dans des domaines d’intérêt commun. D'autres organismes
internationaux, gouvernementaux et non gouvernementaux. Chaque comité membre intéressé par une
étude a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l'ISO et l'IEC participent également aux
travaux. Dans le domaine des technologies de l'information, l'ISO et l'IEC ont créé un comité technique
mixte, l'ISO/IEC JTC 1L'ISO collabore étroitement avec la Commission électrotechnique internationale
(IEC) en ce qui concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documentdocuments ISO. Le présent
document a été rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC,
Partie 2 (voir http:// www .iso .org/ directiveswww .iso .org/ directives).
L’attention est appeléeL'attention est attirée sur le fait que certains des éléments du présent document
peuvent faire l’objetl'objet de droits de propriété intellectuelle ou de droits analogues. L’ISOL'ISO
ne saurait être tenue pour responsable de ne pas avoir identifié de tels droits de propriété et averti
de leur existence. Les détails concernant les références aux droits de propriété intellectuelle ou
autres droits analogues identifiés lors de l’élaborationl'élaboration du document sont indiqués dans
l’Introductionl'Introduction et/ou dans la liste des déclarations de brevets reçues par l’ISOl'ISO (voir
www .iso .org/ brevetswww .iso .org/ brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l'intentionl’intention des utilisateurs et ne sauraient
constituer un engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l'OMCl’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: Avant-propos — Informations supplémentaireswww
.iso .org/ avant -propos.
Le comité chargé de l'élaboration du présent document est l'ISO/présent document a été élaboré par le
comité technique ISO/IEC JTC 1, Technologies de l'information, sous-comité SC 27, Techniques de sécurité
des technologies de l'information.
Cette quatrièmecinquième édition annule et remplace la troisièmequatrième édition
(ISO/IEC 27000:20142016), qui a fait l'objet d'une révision technique. Les principales modifications par
rapport à l'édition précédente sont les suivantes:
— modification du texte de l'Introduction;
— suppression de certains termes et définitions;
— alignement de l'Article 3 par rapport à la structure-cadre pour MSS;
— mise à jour de l'Article 5 pour refléter les modifications dans les normes concernées;
— suppression des Annexes A et B.
© ISO/IEC 2018 – Tous droits réservés v

---------------------- Page: 5 ----------------------
ISO/IEC 27000:redline:2018(F)

Introduction
0.1  Vue d'ensemble
Les Normes internationales relatives aux systèmes de management fournissent un modèle en matière
d'établissement et d'exploitation d'un système de management. Ce modèle comprend les caractéristiques
que les experts dans le domaine s'accordent à reconnaître comme reflétant l'état de l'art au niveau
international. Le sous-comité ISO/IEC JTC 1/SC 27 bénéficie de l'expérience d'un comité d'experts
qui se consacre à l'élaboration des Normes internationales sur les systèmes de management pour la
sécurité de l'information, connues également comme famille de normes du Système de Management de
la Sécurité de l'Information (SMSI).
Grâce à l'utilisation de la famille de normes du SMSI, les organismes peuvent élaborer et mettre en œuvre
un cadre de référence pour gérer la sécurité de leurs actifs informationnels, y compris les informations
financières, la propriété intellectuelle, les informations sur les employés, ou les informations qui leur
sont confiées par des clients ou des tiers. Ils peuvent également utiliser ces normes pour se préparer à
une évaluation indépendante de leur SMSI en matière de protection de l'information.
0.2 La famille de normes du SMSI
La famille de normes du SMSI (voir Article 4) a pour objet d’aider les organismes de tous types et
de toutes tailles à déployer et à exploiter un SMSI. Elle se compose des Normes internationales
suivantes (indiquées ci-dessous par ordre numérique) regroupées sous le titre général Technologies de
l’information — Techniques de sécurité:
— ISO/IEC 27000, Systèmes de management de la sécurité de l’information — Vue d’ensemble et vocabulaire
— ISO/IEC 27001, Systèmes de management de la sécurité de l’information — Exigences
— ISO/IEC 27002, Code de bonnes pratiques pour le management de la sécurité de l’information
— ISO/IEC 27003, Lignes directrices pour la mise en œuvre du système de management de la sécurité de
l’information
— ISO/IEC 27004, Management de la sécurité de l’information — Mesurage
— ISO/IEC 27005, Gestion des risques liés à la sécurité de l’information
— ISO/IEC 27006, Exigences pour les organismes procédant à l’audit et à la certification des systèmes de
management de la sécurité de l’information
— ISO/IEC 27007, Lignes directrices pour l’audit des systèmes de management de la sécurité de l’information
— ISO/IEC/TR 27008, Lignes directrices pour les auditeurs des contrôles de sécurité de l’information
— ISO/IEC 27009, Application de l’ISO/IEC 27001 à un secteur spécifique — Exigences
— ISO/IEC 27010, Gestion de la sécurité de l’information des communications intersectorielles et
interorganisationnelles
— ISO/IEC 27011, Lignes directrices du management de la sécurité de l’information pour les organismes
de télécommunications sur la base de l’ISO/IEC 27002
— ISO/IEC 27013, Guide sur la mise en œuvre intégrée de l’ISO/IEC 27001 et ISO/IEC 20000-1
— ISO/IEC 27014, Gouvernance de la sécurité de l’information
— ISO/IEC/TR 27015, Lignes directrices pour le management de la sécurité de l’information pour les
services financiers
— ISO/IEC/TR 27016, Management de la sécurité de l’information — Économie organisationnelle
vi © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 6 ----------------------
ISO/IEC 27000:redline:2018(F)

— ISO/IEC 27017, Code de bonnes pratiques pour les contrôles de sécurité de l’information fondés sur
l’ISO/IEC 27002 pour les services du nuage
— ISO/IEC 27018, Code de bonnes pratiques pour la protection des informations personnelles identifiables
(PII) dans l’informatique en nuage public agissant comme processeur de PII
— ISO/IEC 27019, Lignes directrices de management de la sécurité de l’information fondées sur
l’ISO/IEC 27002 pour les systèmes de contrôle des processus spécifiques à l’industrie de l’énergie
NOTE Le titre général « Technologies de l’information — Techniques de sécurité » indique que ces Normes
internationales ont été élaborées par le comité technique mixte ISO/IEC JTC 1, Technologies de l’information,
sous-comité SC 27, Techniques de sécurité des technologies de l’information.
Les Normes internationales qui font également partie de la famille de normes du SMSI, mais qui ne sont
pas regroupées sous le même titre général, sont les suivantes:
— ISO 27799, Informatique de santé — Management de la sécurité de l’information relative à la santé en
utilisant l’ISO/IEC 27002
0.2  Objet du présent document
La famille de normes du SMSI comporte des normes qui:
a) définissent les exigences relatives à un SMSI et à ceux qui certifient de tels systèmes;
b) apportent des informations directes, des recommandations et/ou une interprétation détaillées
concernant le processus général visant à établir, mettre en œuvre, maintenir et améliorer un SMSI;
c) présentent des lignes directrices propres à des secteurs particuliers en matière de SMSI;
d) traitent de l'évaluation de la conformité d'un SMSI.
0.3 Objet de la présente Norme internationale
La présente Norme internationale offre une vue d’ensemble des systèmes de management de la sécurité
de l’information et définit les termes qui s’y rapportent.
NOTE L’Annexe A fournit des éclaircissements sur la façon dont les formes verbales sont utilisées pour
exprimer des exigences et/ou des préconisations dans la famille de normes du SMSI.
La famille de normes du SMSI comporte des normes qui:
a) définissent les exigences relatives à un SMSI et à ceux qui certifient de tels systèmes;
b) apportent des informations directes, des préconisations et/ou une interprétation détaillées
concernant le processus général visant à établir, mettre en œuvre, maintenir et améliorer un SMSI;
c) présentent des lignes directrices propres à des secteurs particuliers en matière de SMSI;
d) traitent de l’évaluation de la conformité d’un SMSI.
Les termes et les définitions fournis dans la présente Norme internationale:
— couvrent les termes et les définitions d’usage courant dans la famille de normes du SMSI;
— ne couvrent pas l’ensemble des termes et des définitions utilisés dans la famille de normes du SMSI;
— ne limitent pas la famille de normes du SMSI en définissant de nouveaux termes à utiliser.
0.3  Contenu du présent document
© ISO/IEC ISO pub-date year – Tous droits réservés vii

---------------------- Page: 7 ----------------------
ISO/IEC 27000:redline:2018(F)

Dans le présent document, les formes verbales suivantes sont utilisées:
— «doit» indique une exigence;
— «il convient» indique une recommandation;
— «peut» indique une autorisation («may» en anglais),
— ou une possibilité ou une capacité («can» en anglais).
Les informations sous forme de «NOTE» sont fournies pour clarifier l’exigence associée ou en
faciliter la compréhension. Les «Notes à l’article» employées à l’Article 3 fournissent des informations
supplémentaires qui viennent compléter les données terminologiques et peuvent contenir des
dispositions concernant l’usage d’un terme.
viii © ISO/IEC ISO pub-date year – Tous droits réservés

---------------------- Page: 8 ----------------------
NORME INTERNATIONALE ISO/IEC 27000:redline:2018(F)
Technologies de l'information — Techniques de sécurité —
Systèmes de management de la sécurité de l'information —
Vue d'ensemble et vocabulaire
1 Domaine d’application
La présente Norme internationale offre une vue d’ensemble des systèmes de management de la sécurité
de l’information, ainsi que des termes et définitions d’usage courant dans la famille de normes du SMSI.
La présente Norme internationale est applicable à tous les types et à toutes les tailles d’organismes (par
exemple: les entreprises commerciales, les organismes publics, les organismes à but non lucratif).
Le présent document offre une vue d’ensemble des systèmes de management de la sécurité de
l’information (SMSI). Il comprend également les termes et définitions d’usage courant dans la famille de
normes du SMSI. Le présent document est applicable à tous les types et à toutes les tailles d’organismes
(par exemple: les entreprises commerciales, les organismes publics, les organismes à but non lucratif).
Les termes et les définitions fournis dans le présent document:
— couvrent les termes et les définitions d’usage courant dans la famille de normes du SMSI;
— ne couvrent pas l’ensemble des termes et des définitions utilisés dans la famille de normes du SMSI;
— ne limitent pas la famille de normes du SMSI en définissant de nouveaux termes à utiliser.
2 Références normatives
Le présent document ne contient aucune référence normative.
2 3 Termes et définitions definitions
Pour les besoins du présent document, les termes et définitions suivants s'appliquentL’ISO et l’IEC
tiennent à jour des bases de données terminologiques destinées à être utilisées en normalisation,
consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse http:// www .electropedia .org/
2.1 3.1
contrôle d'accès
moyens mis en œuvre pour assurer que l'accès aux actifs est autorisé et limité selon les exigences
(2.63 3.56) propres à la sécurité et à l'activité métier
2.2
modèle analytique
algorithme ou calcul combinant une ou plusieurs mesures élémentaires (2.10) et/ou mesures
dérivées (2.22) avec les critères de décision associés (2.21)
2.3 3.2
attaque
tentative de détruire, de rendre public, de modifier, d'invalider, de voler ou d'utiliser sans autorisation
un actif, ou de faire un usage non autorisé de celui-ci
© ISO 2018 – Tous droits réservés 1

---------------------- Page: 9 ----------------------
ISO/IEC 27000:redline:2018(F)

2.4
attribut
propriété ou caractéristique d'un objet (2.55) qui peut être distingué quantitativement ou
qualitativement par des moyens humains ou automatiques
[SOURCE: ISO/IEC 15939:2007, 2.2, modifiée — Le terme « entité » a été remplacé par « objet » dans la
définition.]
2.5 3.3
audit
processus (2.61)processus méthodique, indépendant et documenté (3.54) permettant d'obtenir des
preuves d'audit et de les évaluer de manière objective pour déterminer dans quelle mesure les critères
d'audit sont satisfaits
Note 1 à l'article: Un audit peut être interne (audit de première partie), externe (audit de seconde ou de tierce
partie) ou combiné (associant deux disciplines ou plus).
Note 2 à l'article: Un audit interne est réalisé par l’organisme lui-même ou par une partie externe pour le compte
de celui-ci.
Note 3 à l'article: Les termes «preuves d'audit» et «critères d'audit» sont définis dans l'ISO 19011.
2.6 3.4
champ de l'audit
étendue et limites d'un audit (2.5 3.3)
[SOURCE: ISO 19011:2011, 3.14, modifiée — Suppression de la note 1 à l'article.]
2.7 3.5
authentification
méthode permettant de garantir qu'une caractéristique revendiquée pour une entité est correcte
2.8 3.6
authenticité
propriété selon laquelle une entité est ce qu'elle revendique être
2.9 3.7
disponibilité
propriété d'être accessible et utilisable à la demande par une entité autorisée
 3.8
2.10
mesure élémentaire
mesure (2.47 3.42) définie en fonction d'un attribut (2.4)attribut et de la méthode de mesurage spécifiée
pour le quantifier
[SOURCE: ISO/IEC 15939:2007, 2.3, modifiée — Suppression de la note 2 à l'article.]
Note 1 à l'article: Une mesure élémentaire est fonctionnellement indépendante des autres mesures (2.47)mesures.
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.3, modifiée — Suppression de la note 2 à l'article.]
2.11 3.9
compétence
capacité à appliquer des connaissances et des aptitudes pour obtenir les résultats escomptés
2.12 3.10
confidentialité
propriété selon laquelle l'information n'est pas diffusée ni divulguée à des personnes, des entités ou des
processus (2.61 3.54) non autorisés
2 © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 10 ----------------------
ISO/IEC 27000:redline:2018(F)

2.13 3.11
conformité
satisfaction d'une exigence (2.63 3.56)
Note 1 à l'article: Le terme anglais « conformance » est un synonyme, mais il est déconseillé.
2.14 3.12
conséquence
effet d'un événement (2.25 3.21) affectant les objectifs (2.56 3.49)
[SOURCE: Guide ISO 73:2009, 3.6.1.3, modifié]
Note 1 à l'article: Un événement (2.25)événement peut entraîner engendrer une série de conséquences.
Note 2 à l'article: Une conséquence peut être certaine ou incertaine. Dans ; dans le contexte de la sécurité de
l'information (2.33)sécurité de l'information, elle est généralement négative.
Note 3 à l'article: Les conséquences peuvent être exprimées de façon qualitative ou quantitative.
Note 4 à l'article: Des conséquences initiales peuvent déclencher des réactions en chaîne.
[SOURCE: Guide ISO 73:2009, 3.6.1.3, modifié — Modification de la Note 2 à l'article après «et».]
2.15 3.13
amélioration continue
activité régulière destinée à améliorer les performances (2.59 3.52)
2.16 3.14
mesure de sécurité
mesure qui modifie un risque (2.68 3.61)
[SOURCE: Guide ISO 73:2009, 3.8.1.1]
Note 1 à l'article: Les mesures de sécurité comprennent tous les processus (2.61 3.54), politiques (2.60 3.53),
dispositifs, pratiques ou autres actions qui modifient un risque (2.68 3.61).
Note 2 à l'article: Les Il est possible que les mesures de sécurité ne peuvent puissent pas toujours aboutir à la
modification voulue ou supposée.
[SOURCE: Guide ISO 73:2009, 3.8.1.1, — Modification de la Note 2 à l'article.]
2.17 3.15
objectif d’une d'une mesure de sécurité
déclaration décrivant ce qui est attendu de la mise en œuvre des mesures de sécurité (2.16 3.14)
2.18 3.16
correction
action visant à éliminer une non-conformité (2.53 3.47) détectée
2.19
...

NORME ISO/IEC
INTERNATIONALE 27000
Cinquième édition
2018-02
Technologies de l'information —
Techniques de sécurité — Systèmes
de management de la sécurité de
l'information — Vue d'ensemble et
vocabulaire
Information technology — Security techniques — Information
security management systems — Overview and vocabulary
Numéro de référence
ISO/IEC 27000:2018(F)
©
ISO/IEC 2018

---------------------- Page: 1 ----------------------
ISO/IEC 27000:2018(F)

DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2018
Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en oeuvre, aucune partie de cette
publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,
y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut
être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva, Switzerland
Tel. +41 22 749 01 11
Fax +41 22 749 09 47
copyright@iso.org
www.iso.org
Publié en Suisse
ii © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 2 ----------------------
ISO/IEC 27000:2018(F)

Sommaire Page
Avant-propos .iv
Introduction .v
1 Domaine d’application . 1
2 Références normatives . 1
3 Termes et definitions . 1
4 Systèmes de management de la sécurité de l'information .11
4.1 Généralités .11
4.2 Qu'est-ce qu'un SMSI? .12
4.2.1 Vue d'ensemble et principes .12
4.2.2 L'information .13
4.2.3 Sécurité de l'information .13
4.2.4 Management .13
4.2.5 Système de management .13
4.3 Approche processus .14
4.4 Raisons expliquant pourquoi un SMSI est important .14
4.5 Établissement, surveillance, maintenance et amélioration d'un SMSI .15
4.5.1 Vue d'ensemble .15
4.5.2 Identifier les exigences liées à la sécurité de l'information .15
4.5.3 Apprécier les risques liés à la sécurité de l'information .16
4.5.4 Traiter les risques liés à la sécurité de l'information .16
4.5.5 Sélectionner et mettre en œuvre les mesures de sécurité .16
4.5.6 Surveiller, mettre à jour et améliorer l'efficacité du SMSI .17
4.5.7 Amélioration continue .18
4.6 Facteurs critiques de succès du SMSI .18
4.7 Avantages de la famille de normes du SMSI.19
5 La famille de normes du SMSI .19
5.1 Informations générales .19
5.2 Norme donnant une vue d'ensemble et décrivant la terminologie ISO/IEC 27000
(le présent document) .20
5.3 Normes spécifiant des exigences .20
5.3.1 ISO/IEC 27001 .20
5.3.2 ISO/IEC 27006 .21
5.3.3 ISO/IEC 27009 .21
5.4 Normes décrivant des lignes directrices générales .21
5.4.1 ISO/IEC 27002 .21
5.4.2 ISO/IEC 27003 .22
5.4.3 ISO/IEC 27004 .22
5.4.4 ISO/IEC 27005 .22
5.4.5 ISO/IEC 27007 .22
5.4.6 ISO/IEC TR 27008 .23
5.4.7 ISO/IEC 27013 .23
5.4.8 ISO/IEC 27014 .23
5.4.9 ISO/IEC TR 27016 .24
5.4.10 ISO/IEC 27021 .24
5.5 Normes décrivant des lignes directrices propres à un secteur .24
5.5.1 ISO/IEC 27010 .24
5.5.2 ISO/IEC 27011 .25
5.5.3 ISO/IEC 27017 .25
5.5.4 ISO/IEC 27018 .25
5.5.5 ISO/IEC 27019 .26
5.5.6 ISO 27799 .27
Bibliographie .28
© ISO/IEC 2018 – Tous droits réservés iii

---------------------- Page: 3 ----------------------
ISO/IEC 27000:2018(F)

Avant-propos
L'ISO (Organisation internationale de normalisation) est une fédération mondiale d'organismes
nationaux de normalisation (comités membres de l'ISO). L'élaboration des Normes internationales est
en général confiée aux comités techniques de l'ISO. Chaque comité membre intéressé par une étude
a le droit de faire partie du comité technique créé à cet effet. Les organisations internationales,
gouvernementales et non gouvernementales, en liaison avec l'ISO participent également aux travaux.
L'ISO collabore étroitement avec la Commission électrotechnique internationale (IEC) en ce qui
concerne la normalisation électrotechnique.
Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont
décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents
critères d'approbation requis pour les différents types de documents ISO. Le présent document a été
rédigé conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www
.iso .org/ directives).
L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet de
droits de propriété intellectuelle ou de droits analogues. L'ISO ne saurait être tenue pour responsable
de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails concernant
les références aux droits de propriété intellectuelle ou autres droits analogues identifiés lors de
l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations de
brevets reçues par l'ISO (voir www .iso .org/ brevets).
Les appellations commerciales éventuellement mentionnées dans le présent document sont données
pour information, par souci de commodité, à l’intention des utilisateurs et ne sauraient constituer un
engagement.
Pour une explication de la nature volontaire des normes, la signification des termes et expressions
spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion
de l'ISO aux principes de l’Organisation mondiale du commerce (OMC) concernant les obstacles
techniques au commerce (OTC), voir le lien suivant: www .iso .org/ avant -propos.
Le présent document a été élaboré par le comité technique ISO/IEC JTC 1, Technologies de l'information,
SC 27, Techniques de sécurité des technologies de l'information.
Cette cinquième édition annule et remplace la quatrième édition (ISO/IEC 27000:2016), qui a fait l'objet
d'une révision technique. Les principales modifications par rapport à l'édition précédente sont les
suivantes:
— modification du texte de l'Introduction;
— suppression de certains termes et définitions;
— alignement de l'Article 3 par rapport à la structure-cadre pour MSS;
— mise à jour de l'Article 5 pour refléter les modifications dans les normes concernées;
— suppression des Annexes A et B.
iv © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 4 ----------------------
ISO/IEC 27000:2018(F)

Introduction
0.1  Vue d'ensemble
Les Normes internationales relatives aux systèmes de management fournissent un modèle en matière
d'établissement et d'exploitation d'un système de management. Ce modèle comprend les caractéristiques
que les experts dans le domaine s'accordent à reconnaître comme reflétant l'état de l'art au niveau
international. Le sous-comité ISO/IEC JTC 1/SC 27 bénéficie de l'expérience d'un comité d'experts
qui se consacre à l'élaboration des Normes internationales sur les systèmes de management pour la
sécurité de l'information, connues également comme famille de normes du Système de Management de
la Sécurité de l'Information (SMSI).
Grâce à l'utilisation de la famille de normes du SMSI, les organismes peuvent élaborer et mettre en œuvre
un cadre de référence pour gérer la sécurité de leurs actifs informationnels, y compris les informations
financières, la propriété intellectuelle, les informations sur les employés, ou les informations qui leur
sont confiées par des clients ou des tiers. Ils peuvent également utiliser ces normes pour se préparer à
une évaluation indépendante de leur SMSI en matière de protection de l'information.
0.2  Objet du présent document
La famille de normes du SMSI comporte des normes qui:
a) définissent les exigences relatives à un SMSI et à ceux qui certifient de tels systèmes;
b) apportent des informations directes, des recommandations et/ou une interprétation détaillées
concernant le processus général visant à établir, mettre en œuvre, maintenir et améliorer un SMSI;
c) présentent des lignes directrices propres à des secteurs particuliers en matière de SMSI;
d) traitent de l'évaluation de la conformité d'un SMSI.
0.3  Contenu du présent document
Dans le présent document, les formes verbales suivantes sont utilisées:
— «doit» indique une exigence;
— «il convient» indique une recommandation;
— «peut» indique une autorisation («may» en anglais),
— ou une possibilité ou une capacité («can» en anglais).
Les informations sous forme de «NOTE» sont fournies pour clarifier l'exigence associée ou en
faciliter la compréhension. Les «Notes à l’article» employées à l’Article 3 fournissent des informations
supplémentaires qui viennent compléter les données terminologiques et peuvent contenir des
dispositions concernant l’usage d’un terme.
© ISO/IEC 2018 – Tous droits réservés v

---------------------- Page: 5 ----------------------
NORME INTERNATIONALE ISO/IEC 27000:2018(F)
Technologies de l'information — Techniques de sécurité —
Systèmes de management de la sécurité de l'information —
Vue d'ensemble et vocabulaire
1 Domaine d’application
Le présent document offre une vue d'ensemble des systèmes de management de la sécurité de
l'information (SMSI). Il comprend également les termes et définitions d'usage courant dans la famille de
normes du SMSI. Le présent document est applicable à tous les types et à toutes les tailles d'organismes
(par exemple: les entreprises commerciales, les organismes publics, les organismes à but non lucratif).
Les termes et les définitions fournis dans le présent document:
— couvrent les termes et les définitions d'usage courant dans la famille de normes du SMSI;
— ne couvrent pas l'ensemble des termes et des définitions utilisés dans la famille de normes du SMSI;
— ne limitent pas la famille de normes du SMSI en définissant de nouveaux termes à utiliser.
2 Références normatives
Le présent document ne contient aucune référence normative.
3 Termes et definitions
L’ISO et l’IEC tiennent à jour des bases de données terminologiques destinées à être utilisées en
normalisation, consultables aux adresses suivantes:
— ISO Online browsing platform: disponible à l’adresse https:// www .iso .org/ obp
— IEC Electropedia: disponible à l’adresse http:// www .electropedia .org/
3.1
contrôle d'accès
moyens mis en œuvre pour assurer que l'accès aux actifs est autorisé et limité selon les exigences (3.56)
propres à la sécurité et à l'activité métier
3.2
attaque
tentative de détruire, de rendre public, de modifier, d'invalider, de voler ou d'utiliser sans autorisation
un actif, ou de faire un usage non autorisé de celui-ci
3.3
audit
processus méthodique, indépendant et documenté (3.54) permettant d'obtenir des preuves d'audit et de
les évaluer de manière objective pour déterminer dans quelle mesure les critères d'audit sont satisfaits
Note 1 à l'article: Un audit peut être interne (audit de première partie), externe (audit de seconde ou de tierce
partie) ou combiné (associant deux disciplines ou plus).
Note 2 à l'article: Un audit interne est réalisé par l’organisme lui-même ou par une partie externe pour le compte
de celui-ci.
Note 3 à l'article: Les termes «preuves d'audit» et «critères d'audit» sont définis dans l'ISO 19011.
© ISO 2018 – Tous droits réservés 1

---------------------- Page: 6 ----------------------
ISO/IEC 27000:2018(F)

3.4
champ de l'audit
étendue et limites d'un audit (3.3)
[SOURCE: ISO 19011:2011, 3.14, modifiée — Suppression de la note 1 à l'article.]
3.5
authentification
méthode permettant de garantir qu'une caractéristique revendiquée pour une entité est correcte
3.6
authenticité
propriété selon laquelle une entité est ce qu'elle revendique être
3.7
disponibilité
propriété d'être accessible et utilisable à la demande par une entité autorisée
3.8
mesure élémentaire
mesure (3.42) définie en fonction d'un attribut et de la méthode de mesurage spécifiée pour le quantifier
Note 1 à l'article: Une mesure élémentaire est fonctionnellement indépendante des autres mesures.
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.3, modifiée — Suppression de la note 2 à l'article.]
3.9
compétence
capacité à appliquer des connaissances et des aptitudes pour obtenir les résultats escomptés
3.10
confidentialité
propriété selon laquelle l'information n'est pas diffusée ni divulguée à des personnes, des entités ou des
processus (3.54) non autorisés
3.11
conformité
satisfaction d'une exigence (3.56)
3.12
conséquence
effet d'un événement (3.21) affectant les objectifs (3.49)
Note 1 à l'article: Un événement peut engendrer une série de conséquences.
Note 2 à l'article: Une conséquence peut être certaine ou incertaine; dans le contexte de la sécurité de
l'information, elle est généralement négative.
Note 3 à l'article: Les conséquences peuvent être exprimées de façon qualitative ou quantitative.
Note 4 à l'article: Des conséquences initiales peuvent déclencher des réactions en chaîne.
[SOURCE: Guide ISO 73:2009, 3.6.1.3, modifié — Modification de la Note 2 à l'article après «et».]
3.13
amélioration continue
activité régulière destinée à améliorer les performances (3.52)
2 © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 7 ----------------------
ISO/IEC 27000:2018(F)

3.14
mesure de sécurité
mesure qui modifie un risque (3.61)
Note 1 à l'article: Les mesures de sécurité comprennent tous les processus (3.54), politiques (3.53), dispositifs,
pratiques ou autres actions qui modifient un risque (3.61).
Note 2 à l'article: Il est possible que les mesures de sécurité ne puissent pas toujours aboutir à la modification
voulue ou supposée.
[SOURCE: Guide ISO 73:2009, 3.8.1.1, — Modification de la Note 2 à l'article.]
3.15
objectif d'une mesure de sécurité
déclaration décrivant ce qui est attendu de la mise en œuvre des mesures de sécurité (3.14)
3.16
correction
action visant à éliminer une non-conformité (3.47) détectée
3.17
action corrective
action visant à éliminer la cause d'une non-conformité (3.47) et à empêcher qu'elle ne se répète
3.18
mesure dérivée
mesure (3.42) définie en fonction d'au moins deux mesures élémentaires (3.8)
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.8, modifiée — Suppression de la note 1 à l'article.]
3.19
informations documentées
informations devant être contrôlées et mises à jour par un organisme (3.50) et le support sur lequel
elles sont stockées
Note 1 à l'article: Les informations documentées peuvent être dans n'importe quel format, sur n'importe quel
support et provenir de n'importe quelle source.
Note 2 à l'article: Les informations documentées peuvent se rapporter:
— au système de management (3.41) et aux processus associés (3.54);
— aux informations créées pour permettre à l'organisme (3.50) de fonctionner (documentation);
— aux preuves des résultats obtenus (enregistrements).
3.20
efficacité
niveau de réalisation des activités planifiées et d'obtention des résultats escomptés
3.21
événement
occurrence ou changement d'un ensemble particulier de circonstances
Note 1 à l'article: Un événement peut être unique ou se reproduire. Il peut avoir plusieurs causes.
Note 2 à l'article: Un événement peut consister en quelque chose qui ne se produit pas.
Note 3 à l'article: Un événement peut parfois être qualifié «d'incident» ou «d'accident».
[SOURCE: Guide ISO 73:2009, 3.5.1.3, modifié — Suppression de la note 4 à l'article.]
© ISO/IEC 2018 – Tous droits réservés 3

---------------------- Page: 8 ----------------------
ISO/IEC 27000:2018(F)

3.22
contexte externe
environnement externe dans lequel l'organisme cherche à atteindre ses objectifs (3.49)
Note 1 à l'article: Le contexte externe peut inclure les aspects suivants:
— l'environnement culturel, social, politique, légal, réglementaire, financier, technologique, économique,
naturel et concurrentiel, au niveau international, national, régional ou local;
— les facteurs clés et tendances ayant un impact déterminant sur les objectifs de l'organisme (3.50);
— les relations avec les parties prenantes (3.37) externes, les perceptions et valeurs relatives à celles-ci.
[SOURCE: Guide ISO 73:2009, 3.3.1.1]
3.23
gouvernance de la sécurité de l'information
système par lequel un organisme (3.50) conduit et supervise les activités liées à la sécurité de
l'information (3.28)
3.24
instances dirigeantes
personne ou groupe de personnes ayant la responsabilité des performances (3.52) et de la conformité de
l'organisme (3.50)
Note 1 à l'article: Dans certaines juridictions, les instances dirigeantes peuvent être constituées d'un conseil
d'administration.
3.25
indicateur
mesure (3.42) qui fournit une estimation ou une évaluation
3.26
besoin d'information
information nécessaire pour gérer les objectifs (3.49), les buts, les risques et les problèmes
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.12]
3.27
moyens de traitement de l'information
tout système, service ou infrastructure de traitement de l'information, ou le local les abritant
3.28
sécurité de l'information
protection de la confidentialité (3.10), de l'intégrité (3.36) et de la disponibilité (3.7) de l'information
Note 1 à l'article: En outre, d'autres propriétés, telles que l'authenticité (3.6), l'imputabilité, la non-répudiation
(3.48) et la fiabilité (3.55) peuvent également être concernées.
3.29
continuité de la sécurité de l'information
processus (3.54) et procédures visant à assurer la continuité des opérations liées à la sécurité de
l'information (3.28)
3.30
événement lié à la sécurité de l'information
occurrence identifiée de l'état d'un système, d'un service ou d'un réseau indiquant une faille possible
dans la politique (3.28) de sécurité de l'information (3.53) ou un échec des mesures de sécurité (3.14), ou
encore une situation inconnue jusqu'alors et pouvant relever de la sécurité
4 © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 9 ----------------------
ISO/IEC 27000:2018(F)

3.31
incident lié à la sécurité de l'information
un ou plusieurs événements liés à la sécurité de l'information (3.30), indésirables ou inattendus,
présentant une probabilité forte de compromettre les opérations liées à l'activité de l'organisme et de
menacer la sécurité de l'information (3.28)
3.32
gestion des incidents liés à la sécurité de l'information
ensemble de processus (3.54) visant à détecter, rapporter, apprécier, gérer et résoudre les incidents liés à
la sécurité de l'information (3.31), ainsi qu'à en tirer des enseignements
3.33
professionnel SMSI (Système de management de la sécurité de l'information)
personne chargée d'établir et de mettre en œuvre un ou plusieurs processus (3.54) d'un système de
management de la sécurité de l'information, ainsi que d'en assurer la maintenance et l'amélioration
continue
3.34
communauté de partage d'informations
groupe d'organismes (3.50) qui s'accordent pour partager des informations
Note 1 à l'article: Un organisme peut être un individu.
3.35
système d'information
ensemble d'applications, services, actifs informationnels ou autres composants permettant de gérer
l'information
3.36
intégrité
propriété d'exactitude et de complétude
3.37
partie intéressée (terme préféré)
partie prenante (terme admis)
personne ou organisme (3.50) susceptible d'affecter, d'être affecté ou de se sentir lui-même affecté par
une décision ou une activité
3.38
contexte interne
environnement interne dans lequel l'organisme (3.50) cherche à atteindre ses objectifs
Note 1 à l'article: Le contexte interne peut inclure:
— la gouvernance, la structure organisationnelle, les rôles et les responsabilités;
— les politiques (3.53), objectifs (3.49) et stratégies mises en place pour atteindre ces derniers;
— les capacités, en termes de ressources et de connaissances (par exemple: capital, temps, personnel, processus
(3.54), systèmes et technologies);
— les systèmes d'information (3.35), flux d'information et processus de prise de décision (formels et informels);
— les relations avec les parties prenantes (3.37) internes, les perceptions et valeurs associées à celles-ci;
— la culture de l'organisme;
— les normes, lignes directrices et modèles adoptés par l'organisme;
— la forme et l'étendue des relations contractuelles.
[SOURCE: Guide ISO 73:2009, 3.3.1.2]
© ISO/IEC 2018 – Tous droits réservés 5

---------------------- Page: 10 ----------------------
ISO/IEC 27000:2018(F)

3.39
niveau de risque
importance d'un risque (3.61) exprimée en termes de combinaison des conséquences (3.12) et de leur
vraisemblance (3.40)
[SOURCE: Guide ISO 73:2009, 3.6.1.8, modifiée— Suppression de «ou combinaison de risques» de la
définition.]
3.40
vraisemblance
possibilité que quelque chose se produise
[SOURCE: Guide ISO 73:2009, 3.6.1.1, modifié — Suppression des notes 1 et 2 à l'article.]
3.41
système de management
ensemble d'éléments corrélés ou interactifs d'un organisme (3.50) visant à établir des politiques (3.53),
des objectifs (3.49) et des processus (3.54) permettant d'atteindre ces objectifs
Note 1 à l'article: Un système de management peut recouvrir une ou plusieurs disciplines.
Note 2 à l'article: Les éléments du système comprennent la structure de l'organisme, les rôles et responsabilités,
la planification et les opérations.
Note 3 à l'article: Le domaine d'un système de management peut comprendre l'organisme dans son ensemble,
certaines de ses fonctions spécifiques et identifiées, certaines de ses sections spécifiques et identifiées, ou une ou
plusieurs fonctions au sein d'un groupe d'organismes.
3.42
mesure
variable à laquelle on attribue une valeur correspondant au résultat du mesurage (3.43)
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.15, modifiée — Suppression de la note 2 à l'article.]
3.43
mesurage
processus (3.54) permettant de déterminer une valeur
3.44
fonction de mesurage
algorithme ou calcul utilisé pour combiner au moins deux mesures élémentaires (3.8)
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.20]
3.45
méthode de mesurage
suite logique d'opérations décrites de manière générique qui permettent de quantifier un attribut selon
une échelle spécifiée
Note 1 à l'article: Le type de méthode de mesure employé dépend de la nature des opérations utilisées pour
quantifier un attribut (3.4). On peut en distinguer deux:
— le type subjectif: quantification faisant appel au jugement humain;
— le type objectif: quantification fondée sur des règles numériques.
[SOURCE: ISO/IEC/IEEE 15939:2017, 3.21, modifiée — Suppression de la note 2 à l'article.]
6 © ISO/IEC 2018 – Tous droits réservés

---------------------- Page: 11 ----------------------
ISO/IEC 27000:2018(F)

3.46
surveillance
détermination du statut d'un système, d'un processus (3.54) ou d'une activité
Note 1 à l'article: Pour déterminer le statut, il peut s'avérer nécessaire de vérifier, de superviser ou d'observer de
manière critique.
3.47
non-conformité
non-satisfaction d'une exigence (3.56)
3.4
...