Après la définition des objectifs, des actions sont entreprises pour les atteindre. Ensuite, on vérifie la bonne qualité des résultats, puis on se fixe de nouveaux objectifs pour être toujours totalement efficace.

Formalisation sous BS 7799

Essentiellement pragmatique, la BS 7799 n'impose pas d'autre formalisme que la mise en place d'une organisation qui garantit un bon niveau de sécurité au fil du temps.
Elle est orientée processus et déborde de ce fait des simples aspects de technique informatique. Elle s'intéresse à l'organisation du personnel ainsi qu'aux problèmes de sécurité physique (accès, locaux...).
Comme ISO 9000, BS 7799 ne porte pas sur l’efficacité des dispositions mises en place, mais sur leur existence.
Enfin, la certification peut être resserrée sur un périmètre précis.

Certification BS 7799

La seconde partie de la BS 7799, BS 7799-2 définit les bonnes pratiques en terme de sécurité, au niveau organisationnel comme au niveau technique sur un périmètre bien défini.
Elle peut donc faire l'objet d'une certification dont l'objet est de s'assurer que le dispositif de sécurité à été convenablement mis en place et reste opérationnel.
Plusieurs niveaux sont définis :

• la certification des auditeurs par le BSI qui deviennent habilités à mener un audit conformément aux principes de la BS7799,
• certification BS7799 de l'organisation par un organisme accrédité

Processus de certification suivant BS 7799

Le processus de certification s'étale sur 3 ans (presque toujours avec l'aide de consultants) et doit ensuite être renouvelé en permanence.
Schématiquement, les étapes à franchir sont les suivantes :

• préparation (définition du périmètre, analyse des risques, définition des protections à mettre en place,
• mise en place et contrôle des mesures prises,
• audit du dispositif par un auditeur accrédité par l'organisme de certification.

La certification est délivrée pour une période de 3 ans, mais un nouvel audit doit être effectué tous les ans.

Méthode EBIOS

EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) est une méthode établie par la DCSSI (Direction Centrale de la Sécurité des Systèmes d'Information) pour identifier les besoins de sécurité d'un système d'information. La DCSSI la présente comme un outil d'arbitrage au sein des directions générales.
Elle s'organise en 4 étapes principales :

• étude du contexte
• expression des besoins
• étude des risques
• identification des objectifs de sécurité

Elle se présente sous la forme d'une brochure téléchargeable et d'un logiciel dont l'obtention est gratuite.
EBIOS s'intéresse à tous les types de risques :

• incendie, dégâts des eaux
• pollution
• accidents majeurs
• phénomène climatique, sismique, volcanique, météorologique, crue
• défaillance de la climatisation
• perte d'alimentation énergétique, des moyens de télécommunications
• rayonnements électromagnétiques, thermiques
• impulsions électromagnétiques (iem)
• interception de signaux parasites compromettants
• espionnage à distance, écoute passive
• vol de supports ou de documents, vol de matériels
• divulgation interne, divulgation externe
• panne matérielle, dysfonctionnement matériel, saturation du matériel
• dysfonctionnement logiciel
• destruction de matériels
• atteinte à la maintenabilité du système d'information
• informations sans garantie de l'origine
• piégeage du matériel
• utilisation illicite des matériels
• altération du logiciel, piégeage du logiciel
• copie frauduleuse de logiciels, utilisation de logiciels contrefaits ou copiés
• altération des données abus de droit, usurpation de droit
• reniement d'actions
• fraude
• atteinte à la disponibilité du personnel

Méthode MEHARI

La méthode MEHARI (MEthode Harmonisée d'Analyse de RIsques) est proposée par le CLUSIF (Club de la Sécurité des Systèmes d'Information Français).
Elle est destinée à permettre l'évaluation des risques mais également le contrôle et la gestion de la sécurité de l'Entreprise sur court, moyen et long terme, quelle que soit la répartition géographique du système d'information.
La méthode MEHARI s'articule sur 3 types de plans :

• le PSS (Plan Stratégique de Sécurité) qui fixe les objectifs de sécurité et les métriques et qualifie le niveau de gravité des risques encourus,
• les POS (Plans Opérationnels de Sécurité) qui déterminent, par site ou entité géographique, les mesures de sécurité à mettre en place, tout en assurant la cohérence des actions choisies.
• le POE (Plan Opérationnel d'Entreprise) qui permet le pilotage de la sécurité au niveau stratégique par la mise en place d'indicateurs et la remontée d'informations sur les scénarios les plus critiques.

 
Proposant des méthodologies opérationnelles, MEHARI est une méthode parallèle à la BS 7799, avec laquelle elle offre toutefois d'évidentes compatibilités.
MEHARI remplace MARION, qui n'est plus développée.