Dans cet article, nous verrons ce qu'est une non-conformité, la différence entre une non-conformité majeure et une non-conformité mineure, comment éviter et corriger les non-conformités, et nous examinerons dix exemples de non-conformité à la norme ISO 27001.
Qu'est-ce qu'une non-conformité à la norme ISO 27001 ?
Vous vous demandez peut-être ce qu'est exactement une non-conformité. La réponse est assez simple. Si votre SMSI (système de gestion de la sécurité de l'information) ne satisfait pas à l'une des exigences de la norme ISO 27001, il y a non-conformité.
Selon Wikipédia, un non-conformité se produit généralement à la suite de :
- Mauvaise communication (ou mauvaise communication)
- Mauvaise documentation (ou absence de documentation)
- Formation insuffisante ou limitée du personnel
- Faible motivation du personnel
- Matériaux de mauvaise qualité (ou absence de matériaux appropriés)
- Outils et équipements de mauvaise qualité (ou manque d'outils et d'équipements appropriés)
- Environnement opérationnel médiocre ou dysfonctionnel
Les choses se compliquent un peu, car toutes les non-conformités ne sont pas identiques : il y a des non-conformités majeures et des non-conformités mineures. Les deux seront notées lors de l'audit, et une non-conformité majeure entraînera l'impossibilité d'obtenir la certification ISO 27001.
Quelle est la différence entre une non-conformité mineure et une non-conformité majeure à la norme ISO 27001 ?
Une non-conformité mineure est :
- Une satisfaction partielle de l'une des exigences de la norme ISO 27001...
- Un manquement à une exigence mineure, ou...
- Un manquement ponctuel à l'une des exigences de la norme.
Une non-conformité majeure est :
- Un manquement répété ou non traité à l'une des exigences, ou...
- Un problème qui aura un impact sur vos clients s'il n'est pas corrigé, et/ou...
- Si des éléments essentiels du SMSI manquent ou ne sont pas mis en œuvre.
Exigences de la norme ISO 27001
Jetons un coup d'œil sur une vue d'ensemble des exigences de la norme ISO 27001 :
- 4.1 - Comprendre l'organisation et son contexte
- 4.2 - Comprendre les besoins et les attentes des parties intéressées
- 4.3 - Déterminer le champ d'application du système de gestion de la sécurité de l'information
- 4.4 - Système de gestion de la sécurité de l'information
- 5.1 - Leadership et engagement
- 5.2 - Politique de sécurité de l'information
- 5.3 - Rôles, responsabilités et pouvoirs de l'organisation
- 6.1 - Actions pour faire face aux risques et aux opportunités
- 6.2 - Objectifs de sécurité de l'information et planification pour les atteindre
- 7.1 - Ressources
- 7.2 - Compétence
- 7.3 - Sensibilisation
- 7.4 - Communication
- 7.5 - Informations documentées
- 8.1 - Planification et contrôle opérationnels
- 8.2 - Évaluation des risques en matière de sécurité de l'information
- 8.3 - Traitement des risques liés à la sécurité de l'information
- 9.1 - Suivi, mesure, analyse et évaluation
- 9.2 - Audit interne
- 9.3 - Revue de direction
- 10.1 - Non-conformité et action corrective
- 10.2 - Amélioration continue
ISO 27001 clause 10.1 - non-conformité et actions correctives
Des erreurs se produisent. Même les auditeurs le savent. Bien entendu, il est essentiel que vous vous efforciez de satisfaire à chacune des exigences de la norme que vous visez, en l'occurrence l'ISO 27001. Mais il est encore plus important d'enregistrer et de résoudre toute non-conformité, une fois qu'elle a été identifiée. Pour ce faire, vous devez prendre des mesures correctives.
La clause 10 (10.1 - 10.2) vous aidera à détecter les non-conformités et à prendre les mesures correctives qui s'imposent. Vous devez fournir des preuves de la manière dont vous vous assurez que l'action corrective que vous mettez en œuvre ramènera l'entreprise à un état de conformité. Nous y reviendrons plus tard.
3 étapes vers la conformité
Vous avez identifié une non-conformité ? Vous devez suivre les trois étapes suivantes :
- La première étape du traitement de la non-conformité consiste à identifier ce qui n'a pas fonctionné. Pour ce faire, il convient d'identifier la cause du problème en se demandant "pourquoi", ce que l'on appelle l'analyse des causes profondes.
En pratique, la réponse au premier "Pourquoi ?" devrait susciter un autre "Pourquoi ?" et la réponse au deuxième "Pourquoi ?" en suscitera une autre, et ainsi de suite. Cette méthode peut vous aider à établir la cause première d'une non-conformité.
- Ensuite, vous devez proposer l'action corrective appropriée pour arrêter et prévenir le problème. Les actions préventives sont des mesures visant à empêcher la récurrence de la non-conformité.
- Une fois les actions correctives mises en place, vous commencez à surveiller et à revoir le processus.
C'est aussi simple que 1, 2, 3.
10 exemples de non-conformités ISO 27001, mineures et majeures
Il peut être difficile de distinguer les non-conformités mineures des non-conformités majeures, mais n'oubliez pas que tout dépend du manquement, de sa fréquence et du fait qu'il soit répété ou non traité.
Non-conformités mineures
- Quelques ordinateurs portables laissés sans surveillance sur les bureaux des employés n'ont pas été sécurisés par un cadenas.
- Dysfonctionnement de la télévision en circuit fermé (CCTV) lors d'un audit.
Non-conformités majeures
- Absence de documentation obligatoire.
- L'audit interne n'est pas réalisé au sein de l'organisation.
- Le dirigeant de l'organisation ne s'implique pas ou n'accorde pas d'attention au SMSI (par exemple, il n'assiste pas aux réunions importantes sur le SMSI, il ne participe pas aux politiques principales/générales) ; il ne fournit pas de ressources pour la mise en œuvre du SMSI.
- Pas d'évaluation des performances du SGSI.
- Rien n'indique que la gestion des actifs soit correctement assurée.
- Le contenu de l'AOS n'est pas justifié ou incohérent.
- Le processus d'évaluation des risques n'a pas été suivi ou est inadéquat.
- Utilisation abusive d'une marque de certification, induisant ainsi les clients en erreur.
Quelle est la différence entre non-conformité et CAPA ?
Un processus de non-conformité et un processus d'action corrective et préventive sont essentiels pour votre SMQ (système de gestion de la qualité).
Même s'ils sont similaires, il est important de comprendre que certaines non-conformités nécessiteront une CAPA et d'autres non.
Le CAPA est un processus qui permet de prendre des mesures correctives ou préventives lorsqu'un problème est identifié par un client, la direction ou un auditeur (interne ou externe).
Le processus CAPA se déroule en cinq étapes :
- Enquête et évaluation
- Pré-enquête
- Enquête
- Planification et exécution
- Examen et vérification
Ne prenez ces mesures que si la non-conformité est critique ou systémique.
Selon le IntelexPour déterminer si le problème doit être traité dans le cadre du programme CAPA, posez-vous trois questions :
- Le problème peut-il être résolu ? dans le processus ?
- Le problème a-t-il entraîné des déchets, des rebuts, des reprises importantes ou une insatisfaction du client ?
- La non-conformité est-elle le signe d'un problème plus systémique ou est-elle susceptible de se reproduire ?
Exemple de rapport de non-conformité ISO 27001 et scénario fictif
Guide ISO 27001 fournit un aperçu clair de la différence entre un rapport de non-conformité et un rapport d'action corrective dans la norme ISO 27001.
Créons notre propre scénario fictif d'une non-conformité en action en utilisant la première non-conformité majeure mentionnée ci-dessus, à savoir l'absence de documentation obligatoire.
Non-conformité
La déclaration sur le champ d'application du SMSI est manquante
Analyse des causes profondes (Pourquoi ?)
Pourquoi ? Lorsqu'elle a été interrogée, l'équipe a montré qu'elle ne comprenait pas quels documents étaient obligatoires.
Pourquoi ? La direction a insisté pour que l'équipe tente d'obtenir la certification sans l'aide d'un outil en ligne ou d'une tierce partie.
Pourquoi ? La direction ne veut pas dépenser de "fonds inutiles".
Le problème est évident : un manque d'investissement dans le processus de certification ISO 27001.
Mesures correctives proposées
L'action corrective est désormais claire : une tierce partie (telle que le Compleye) ou en ligne Outil de certification ISO 27001 ou d'une plate-forme (telle que Compleye Online) doit être utilisé pour connaître la nature de la documentation obligatoire et comment créer une déclaration de portée du SMSI.
Voici à quoi ressemblerait la documentation relative à cette non-conformité :
Ne laissez pas la non-conformité vous empêcher de rendre la conformité (presque) amusante !
Les exemples de non-conformité à la norme ISO 27001 que nous avons fournis ne sont que quelques-uns des nombreux points d'achoppement auxquels peuvent se heurter les organisations désireuses d'obtenir la certification ISO 27001.
Pour en savoir plus sur ce que vous devez faire pour garantir le succès de votre certification ISO 27001 et pour découvrir comment nous rendons la conformité (presque) amusante, consultez le site suivant Compleye ou réservez une démonstration ci-dessous.
Frequently Asked Questions
What is an ISO 27001 non-conformity?
An ISO 27001 non-conformity is any failure of an information security management system (ISMS) to meet a requirement of the ISO 27001 standard. Non-conformities are recorded during audits and are graded as minor or major, depending on how serious the failure is, how often it occurs, and whether it has been left untreated.
What is the difference between a minor and a major ISO 27001 non-conformity?
A minor ISO 27001 non-conformity is a partial or one-off failure to meet a requirement of the standard. A major ISO 27001 non-conformity is a repeated or untreated failure, an issue that will affect customers if left uncorrected, or a case where essential parts of the ISMS are missing or not implemented.
What are examples of major ISO 27001 non-conformities?
Examples of major ISO 27001 non-conformities include missing mandatory documentation, no internal audit, leadership that does not support the ISMS, no evaluation of ISMS performance, an inadequate risk assessment process, and a Statement of Applicability that is unjustified or inconsistent. Misusing a certification mark in a way that misleads customers is also a major non-conformity.
Can you get ISO 27001 certified with a non-conformity?
A company can be ISO 27001 certified with minor non-conformities, as long as it gives the auditor an acceptable corrective action plan. A major non-conformity blocks ISO 27001 certification until the company has corrected it and the certification body has verified the fix, which may require a follow-up audit.
What is the difference between a non-conformance and CAPA?
A non-conformance is a single failure to meet a requirement, while CAPA (Corrective Action, Preventive Action) is the formal process used to investigate and resolve serious problems. Not every non-conformance needs CAPA. CAPA is reserved for non-conformances that are critical, systemic, likely to recur, or that caused waste, rework or customer dissatisfaction.
