Guide public de révision

ISO 27002:2022 : 93 mesures, questions et exemples

Étudiez la finalité de chaque mesure et les situations où elle peut être pertinente. S’entraîner consiste à distinguer des mesures proches, demander des preuves et justifier un choix dans son contexte, pas seulement mémoriser des numéros.

Que réviser et que signifient les nombres ?

Les 93 mesures comprennent 37 mesures organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques. Une mesure est un thème, pas une question. La préparation propose quatre variantes par thème et des blocs distincts des exigences de l’ISO 27001.

Différence entre ISO 27001 et ISO 27002

L’ISO 27001 définit les exigences d’un système de management de la sécurité de l’information (SMSI). L’ISO 27002 explique les mesures de sécurité et leur application. Leur sélection se justifie par les risques et exigences applicables, et non en considérant les 93 mesures comme obligatoires. La certification d’un SMSI est évaluée par rapport à l’ISO 27001, pas par les réponses à ces questions.

Comment préparer votre entraînement

Parcourez les quatre groupes : organisation (5), personnes (6), protection physique (7) et technologie (8). Notez pour chaque mesure sa finalité, une situation d’utilisation et les preuves possibles.
Comparez les mesures proches : gérer les identités (5.16) ne revient pas à revoir les droits d’accès (5.18) ; les sauvegardes (8.13) ne couvrent pas à elles seules toute la préparation des TIC à la continuité d’activité (5.30).
Travaillez des cas d’une seule norme et lisez les explications. Pour une évaluation plus large, choisissez un examen blanc de 20, 40, 60 ou 100 questions ; plusieurs peuvent concerner une même mesure sans répéter une variante.

Exemple de question avec réponse expliquée

Situation et données fictives créées par Nexsora. Consultez le texte complet dans un exemplaire autorisé de la norme.

Une équipe consigne 20 sauvegardes terminées, mais n’a jamais testé leur restauration. Quelle mesure faut-il consulter pour vérifier que les copies permettent la reprise ?

Réponse argumentée

8.13, sauvegarde des informations. Un processus terminé sans erreur ne démontre pas que les données sont récupérables. Il faut vérifier sauvegardes et restauration selon les besoins et procédures de l’organisme.

Que vérifier ?

Examinez les traces de sauvegarde, les résultats de restauration et leur comparaison aux objectifs de reprise approuvés. Si 19 copies de test sur 20 sont restaurées, 95 % décrit cet échantillon ; ce n’est pas un seuil universel de conformité fixé par l’ISO 27002.

Confusions à éviter

Une mesure n’est pas automatiquement obligatoire parce qu’elle figure dans l’ISO 27002. Reliez-la aux risques, aux obligations et à la sélection justifiée de l’organisme.
Un outil installé ou une politique publiée ne démontrent pas à eux seuls une mise en œuvre efficace. Recherchez configurations, enregistrements et résultats pertinents.

Accéder aux questions et examens blancs ISO

Sélectionnez la norme dans l’espace d’entraînement. Connectez-vous pour enregistrer vos tentatives et essayer l’échantillon gratuit ; les modes complets exigent un accès en cours de validité ou un rôle administrateur.

ISO 27001:2022 : guide de révision, questions et examens blancs

Source officielle et périmètre éditorial

Informations officielles sur ISO/IEC 27002 (site externe ; s’ouvre dans un nouvel onglet)

Base de révision : éditions 2022, sans les amendements de 2024. ISO 27001 définit les exigences du SMSI ; ISO 27002 fournit des recommandations sur les mesures de sécurité. Toutes les mesures ne sont pas obligatoires : leur sélection doit être justifiée par les risques et exigences applicables. La terminologie française ne vaut pas couverture de toutes les adaptations nationales. Matériel disponible en espagnol, anglais, portugais du Brésil et français. Le quechua et l’aymara conservent un accompagnement en espagnol. Les traductions et le contenu attendent une révision éditoriale indépendante par des spécialistes ; ce ne sont pas des versions officielles des normes.

Matériel original et indépendant de Nexsora. Ce n’est pas un examen officiel ; il ne confère aucune certification ISO et n’est pas approuvé par l’ISO. Les explications ne remplacent pas un exemplaire autorisé des normes.