Introduction : un SMSI ISO 27001 pour un établissement de paiement
Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 11 minutes
Pourquoi ce module
Section titled “Pourquoi ce module”Dans un établissement de paiement, la sécurité de l’information n’est pas un sujet technique parmi d’autres : c’est le produit. Un client qui confie son argent à un portefeuille mobile attend qu’il soit disponible à toute heure, que personne ne puisse le vider à sa place, et que ses données d’identité ne circulent pas. Le régulateur, la maison mère et les partenaires bancaires attendent la même chose, avec des preuves.
Le moyen reconnu internationalement de fournir ces preuves est un SMSI conforme à ISO/IEC 27001. Ce module montre, pas à pas, comment en construire un pour un établissement de paiement mobile, et comment l’articuler avec les autres référentiels qu’on y croise (COBIT, ITIL, SOX, ISAE 3402, PCI DSS, exigences du régulateur).
Le module prolonge directement le module 16 — Réponse aux incidents & GRC : la gestion des incidents est un des processus du SMSI.
Qu’est-ce qu’un SMSI ?
Section titled “Qu’est-ce qu’un SMSI ?”Un Système de Management de la Sécurité de l’Information est l’ensemble des politiques, processus, rôles, ressources et contrôles qu’une organisation met en place pour :
- identifier les risques qui pèsent sur ses informations ;
- décider comment les traiter ;
- appliquer les mesures choisies ;
- vérifier qu’elles fonctionnent ;
- s’améliorer en continu.
💡 À retenir : un SMSI n’est pas une liste d’outils de sécurité. C’est un système de management, au même titre qu’un système qualité ISO 9001. Les pare-feu et les antivirus en font partie, mais ce qui fait un SMSI, c’est la boucle de pilotage autour.
La roue de Deming (PDCA)
Section titled “La roue de Deming (PDCA)” ┌───────────────────────────────┐ │ PLAN — Planifier │ │ Contexte, périmètre, │ │ politique, risques, SoA │ └──────────────┬────────────────┘ ▼┌──────────────────┐ ┌──────────────────────┐│ ACT — Améliorer │ │ DO — Mettre en œuvre ││ Non-conformités, │ │ Contrôles, formation,││ actions │ │ procédures, projets ││ correctives │ │ │└────────▲─────────┘ └──────────┬───────────┘ │ ▼ ┌┴──────────────────────────────┐ │ CHECK — Vérifier │ │ Indicateurs, audits │ │ internes, revue de direction│ └───────────────────────────────┘La structure d’ISO/IEC 27001:2022
Section titled “La structure d’ISO/IEC 27001:2022”La norme a deux parties bien distinctes.
Les clauses 4 à 10 : les exigences du système de management
Section titled “Les clauses 4 à 10 : les exigences du système de management”Elles sont toutes obligatoires pour être certifié.
| Clause | Thème | Phase PDCA | Chapitre du module |
|---|---|---|---|
| 4 | Contexte de l’organisation (enjeux, parties intéressées, périmètre) | Plan | 2 |
| 5 | Leadership (engagement de la direction, politique, rôles) | Plan | 3 |
| 6 | Planification (risques, objectifs, changements) | Plan | 4, 5 |
| 7 | Support (ressources, compétences, sensibilisation, communication, documentation) | Do | 6 |
| 8 | Fonctionnement (exécution de l’appréciation et du traitement des risques) | Do | 6, 8 |
| 9 | Évaluation des performances (surveillance, audit interne, revue de direction) | Check | 9 |
| 10 | Amélioration (non-conformités, actions correctives, amélioration continue) | Act | 9 |
L’annexe A : 93 contrôles de référence
Section titled “L’annexe A : 93 contrôles de référence”Depuis la version 2022, les contrôles sont regroupés en 4 thèmes :
| Thème | Nombre | Exemples |
|---|---|---|
| 5 — Organisationnels | 37 | Politiques, rôles, fournisseurs, incidents, conformité légale |
| 6 — Liés aux personnes | 8 | Vérification des antécédents, sensibilisation, travail à distance |
| 7 — Physiques | 14 | Périmètres, contrôle d’accès physique, équipements |
| 8 — Technologiques | 34 | Accès privilégiés, cryptographie, journalisation, développement sécurisé |
On ne doit pas forcément appliquer les 93 contrôles, mais on doit tous les examiner et justifier chaque choix dans la Déclaration d’applicabilité (chapitre 5). Le détail de chaque contrôle (objectif, recommandations de mise en œuvre) se trouve dans la norme compagne ISO/IEC 27002.
La famille ISO 2700x utile dans ce module
Section titled “La famille ISO 2700x utile dans ce module”| Norme | Rôle |
|---|---|
| ISO/IEC 27001 | Exigences du SMSI — la seule certifiable de la famille |
| ISO/IEC 27002 | Guide de mise en œuvre des 93 contrôles |
| ISO/IEC 27005 | Gestion des risques liés à la sécurité de l’information |
| ISO/IEC 27035 | Gestion des incidents de sécurité |
| ISO/IEC 27701 | Extension pour la protection de la vie privée (données personnelles) |
| ISO 22301 | Continuité d’activité (hors famille 2700x, mais indispensable — chapitre 8) |
Le fil rouge : KamaPay SA
Section titled “Le fil rouge : KamaPay SA”ℹ️ Entreprise entièrement fictive. KamaPay SA, sa maison mère et ses chiffres sont inventés à des fins pédagogiques. Toute ressemblance avec un établissement existant serait fortuite.
KamaPay SA est un établissement de paiement agréé dans la zone CEMAC, filiale d’un opérateur de télécommunications fictif, TelCam. Elle propose un portefeuille électronique (wallet) accessible par USSD et par application mobile.
| Élément | Valeur |
|---|---|
| Clients actifs | 4,2 millions |
| Réseau de distribution | 18 000 agents (dépôt / retrait d’espèces) |
| Services | Transferts entre particuliers, paiement marchand, paiement de factures, transferts vers comptes bancaires, API pour marchands en ligne |
| Volume | ~2 millions de transactions par jour |
| Effectif | 220 salariés, dont 35 à la DSI ; RSSI rattaché au Directeur des risques |
| Fonds des clients | Cantonnés sur des comptes ouverts dans deux banques partenaires |
| Exigences de la maison mère | Politique sécurité du groupe, contrôles SOX (le groupe est coté), audit interne du groupe |
L’architecture simplifiée
Section titled “L’architecture simplifiée” Clients (USSD / App) Agents (App agent) Marchands (API) │ │ │ ▼ ▼ ▼ ┌─────────────────┐ ┌─────────────────┐ ┌──────────────────┐ │ Réseau opérateur│ │ Passerelle │ │ Passerelle API │ │ TelCam (USSD, │ │ applications │ │ (OAuth 2.0, WAF) │ │ SMS, données) │ │ mobiles │ │ │ └────────┬────────┘ └────────┬────────┘ └────────┬─────────┘ └────────────────────┬───────┴──────────────────────────┘ ▼ ┌──────────────────────────────┐ │ Plateforme de paiement mobile │ ◀── Back-office, KYC, │ (moteur de transactions, │ lutte anti-fraude, │ comptes wallets) │ LBC/FT └──────────────┬───────────────┘ ▼ ┌──────────────────────────────┐ │ Interfaces banques partenaires│ │ (comptes de cantonnement) │ └──────────────────────────────┘ Centre de données principal (Douala) ◀── réplication ──▶ Site de secours (Yaoundé)La situation de départ
Section titled “La situation de départ”La direction générale vient de décider, sous la pression de la maison mère et du régulateur, d’obtenir la certification ISO 27001 dans 18 mois. Il existe déjà des politiques du groupe, quelques procédures, un SOC et un dispositif anti-fraude, mais :
- aucune analyse de risques formalisée depuis trois ans ;
- les audits SOX, les inspections du régulateur et les audits du groupe sont préparés séparément, avec beaucoup de doublons ;
- le plan de continuité n’a jamais été testé de bout en bout ;
- les incidents sont suivis dans un tableur, sans reporting régulier au comité des risques.
Vous êtes l’Ingénieur Sécurité des Systèmes d’Information recruté pour piloter le projet. Les chapitres suivants déroulent votre feuille de route.
Prochaine étape : Contexte, réglementation et périmètre →