Elle exige une attention particulière aux détails et des processus systématiques et approfondis. C'est pourquoi une liste de contrôle de la conformité à l'ISO 27001 est exactement ce qu'il vous faut pour simplifier le processus de certification.
Comment se conformer à la norme ISO 27001
"Les normes ISO sont approuvées au niveau international par des experts. Considérez-les comme une formule décrivant la meilleure façon de faire quelque chose". C'est ce que dit ISO eux-mêmes.
Pour vous conformer aux normes ISO, vous devez suivre une formule qui vous permettra de vous assurer que tous vos protocoles de sûreté et de sécurité sont en place et que vos employés en sont conscients.
Le processus commence par une compréhension claire de votre système de gestion de la sécurité de l'information (SGSI).
Nous avons mis à votre disposition une liste de contrôle ISO 27001 complète que vous pouvez utiliser pour vous assurer que toutes vos bases sont couvertes, ainsi qu'un aperçu du contenu de notre Wiki (le guide qui soutient notre outil en ligne, Compleye Online).
Liste de contrôle complète pour la conformité à la norme ISO 27001
1. Définir votre stratégie et vos ambitions en matière d'ISO 27001
À faire #1 - Organisation et contexte
Organisation et contexte est un thème obligatoire. Une bonne façon d'obtenir des informations sur le contenu de l'organisation et du contexte est de définir vos produits en les définissant (par produit) :
- Description de haut niveau
- Type de clients
- Tiers impliqués.
Cela vous amènera à poser la question :
- Quel est le défi en matière de conformité ?
- Quelles sont les exigences en matière de sécurité ?
Si vous pouvez répondre à ces questions (et les documenter), vous êtes en conformité avec la norme ISO 27001.
À faire #2 - Objectifs du SMSI
Vous devrez définir, mettre en œuvre et revoir (au moins une fois par an) les objectifs de votre SMSI.Dans leur article Objectifs de sécurité de l'information dans la norme ISO 27001, ISO27001guide.com indique que "les objectifs de sécurité de l'information de la norme ISO 27001 permettent aux organisations de définir leurs exigences dès le départ et de les contrôler en permanence pour s'assurer qu'elles les atteignent".
2. Déterminer les exigences légales et de conformité
A faire #1 - Parties intéressées et obligations légales
Vous vous pencherez ici sur les exigences légales que vous devrez respecter pour vos tiers et définirez les attentes de part et d'autre. L'auditeur externe s'attendra à ce que vous ayez documenté la manière dont vous avez établi ce processus.
Exemples de parties intéressées (https://www.iso9001help.co.uk/)
À faire #2 - Propriété intellectuelle
La propriété intellectuelle (PI) est une catégorie de biens qui comprend les créations intangibles de l'intellect humain. Dans le cas des entreprises technologiques, la propriété intellectuelle peut être le code source, les modèles d'intelligence artificielle, certaines bases de données ou une méthode de travail. En bref, la propriété intellectuelle est tout ce que vous voulez garder secret pour vos clients et vos concurrents et qui doit être protégé lorsque votre équipe l'utilise.
À faire #3 - Contrats
Veillez à ce que tous vos contrats soient regroupés dans un seul dossier afin d'en avoir une bonne vue d'ensemble - et utilisez différents dossiers à l'intérieur de ce dossier pour différents types de contrats (ou de parties prenantes). Limitez l'accès à ces contrats au sein de votre organisation. L'auditeur externe peut demander à consulter un ou deux contrats (échantillons) au cours de l'audit.
À faire #4 - Impact mondial
La pénétration de nouveaux marchés nécessitera des recherches sur les exigences en matière de protection de la vie privée et de sécurité. Les réglementations relatives à la confidentialité des données personnelles doivent être prises en compte lors de la conclusion de contrats ou de l'expansion en dehors de la zone géographique couverte par le GDPR. Les exigences supplémentaires pour votre SMSI peuvent être régies par :
- Clients
- Lois
A faire #5 - GDPR
Si vous êtes une entreprise basée en - ou exerçant des activités en - Europe, vous devez vous conformer au GDPR. En vous préparant à la certification, vous devrez :
- Définissez la base juridique sur laquelle vous recueillez les données.
- Donner une vue d'ensemble de toute la documentation pour les utilisateurs.
- Disposer d'un registre pour suivre les demandes des utilisateurs finaux, par exemple la suppression des données.
- Créer une vue d'ensemble de toutes les violations de données.
- Avoir une vue d'ensemble de tous les accords de traitement des données.
3. Définir le champ d'application
À faire #1 - Définir les composants de l'infrastructure informatique
La norme ISO 27001 exige un champ d'application pour votre SMSI, vous devrez donc définir ce que vous prendrez en compte dans le champ d'application. La définition des composants de votre infrastructure informatique vous aidera à définir votre champ d'application.
À faire #2 - Définir le champ d'application du SMSI
Consultez l'article de Compleye, 'Comment rédiger une déclaration de champ d'application ISO 27001 (+3 exemples)'.
4. Dresser la liste de tous les risques et de toutes les opportunités
A faire #1 - Aperçu des fournisseurs
Lors de la mise en œuvre d'un ensemble de contrôles et de processus visant à gérer les risques liés aux fournisseurs, les éléments suivants pourraient être pris en considération :
- Exécuter les accords contractuels avec chaque fournisseur.
- Maintenir une liste de fournisseurs à jour et facilement accessible.
- Formuler un document sur la politique et les procédures de gestion des fournisseurs.
- Mettre en œuvre des processus et des contrôles de gestion du changement pour les fournisseurs.
- Veiller à ce que les fournisseurs respectent les exigences contractuelles en matière de sécurité de l'information.
- Déterminer et documenter de manière adéquate, le cas échéant, si les fournisseurs ont accès à votre infrastructure informatique.
- Déterminer et documenter de manière adéquate, le cas échéant, si les fournisseurs peuvent être impliqués dans les procédures de sécurité.
- Effectuer l'évaluation de la sécurité des risques du fournisseur.
À faire #2 - Évaluation des fournisseurs
L'évaluation des fournisseurs est un sujet très important dans la norme ISO 27001, en particulier pour les entreprises technologiques qui font appel à un grand nombre de fournisseurs. Vous devrez contrôler vos fournisseurs et évaluer chaque année les fournisseurs à haut risque sur un certain nombre de sujets. Le propriétaire du fournisseur devra examiner les informations de base et les contrats du fournisseur.
Pour faire #3 - Évaluation des fournisseurs
Suivez les étapes suivantes :
- Examiner les fournisseurs existants.
- Attribuer à chaque fournisseur une note de sécurité.
- Répondre aux risques de sécurité et définir les indicateurs de performance des fournisseurs.
- Surveillez en permanence vos fournisseurs.
À faire #4 - Classification des données
Dans le contexte de la sécurité de l'information, la classification des données est basée sur leur niveau de confidentialité et l'impact sur l'organisation si ces données étaient divulguées, modifiées ou détruites sans autorisation. Réfléchissez aux questions suivantes lors de la classification de vos informations :
- Quelles données sur les parties prenantes votre organisation recueille-t-elle ?
- Quelles données créez-vous dans le cadre de vos activités quotidiennes ?
- Quelles sont les données dont la perte aurait un impact particulier sur votre organisation ?
- Quelles sont les données classées confidentielles ?
- Quelles données sont considérées comme des données à caractère personnel ?
- Qui est responsable de l'intégrité et de l'exactitude des données ?
- Qui peut et doit accéder aux données.
À faire #5 - Plan de continuité des activités
Chez Compleye, nous conseillons de réaliser le PCA avant l'audit interne et la revue de direction, car cette évaluation permettra probablement d'apporter les dernières améliorations nécessaires pour être prêt pour la certification. Vous pouvez également réaliser le PCA deux fois : d'abord, lorsque vous commencez à mettre en œuvre votre SMSI et ensuite, avant votre audit externe.
A faire #6 - ISRA
L'évaluation des risques liés à la sécurité de l'information (ERSI) est l'évaluation des risques la plus importante du SMSI et doit être réalisée avec votre équipe SMSI. Vous devrez effectuer une évaluation annuelle des risques de sécurité de l'information en utilisant la même méthode chaque année afin de pouvoir comparer les résultats.
A faire #7 - Tests DRP et PEN
Voici un exercice rapide pour définir votre PRD en cas de crise ou de catastrophe :
Définissez ce que vous (pour votre entreprise) considérez :
- Un événement
- Un incident
- Une catastrophe / une crise
En ce qui concerne le pentesting, c'est Breachlock qui l'explique le mieux avec cette superbe infographie :
À faire #8 - Évaluation du GDPR
Les risques et les opportunités liés au GDPR sont nombreux. Trois d'entre eux peuvent être explorés dans cet article complet de Comforte : "Trois risques et opportunités du GDPR".
Compleye Online propose un modèle d'évaluation GDPR en 22 questions.
À faire #9 - Évaluation de l'impact sur la vie privée des données
Une DPIA peut être nécessaire si vous avez plusieurs produits : effectuez une DPIA par produit (ou service). Si vous travaillez avec différents types de projets (par exemple, preuve de concept), vous devrez également réaliser une nouvelle DPIA par projet. Lorsque vous travaillez avec des organisations gouvernementales, par exemple, il est probable qu'elles vous demanderont de partager une copie de votre DPIA.
5. Décider des politiques et procédures de sécurité
À faire #1 - Politiques et procédures de sécurité
Avant de pouvoir ajouter des enregistrements, vous devez adopter des politiques et des procédures. L'une des politiques obligatoires de la norme ISO 27001 est la politique de sécurité, qui décrit les intentions et les ambitions (objectifs) que vous avez définies pour votre SMSI.
À faire #2 - Modèles
De nombreuses politiques et procédures obligatoires doivent être mises en œuvre dans votre SMSI. La création de cette documentation peut prendre du temps et vous n'êtes peut-être pas sûr d'avoir couvert tous les points nécessaires. L'utilisation de modèles tels que ceux fournis par un outil en ligne comme Compleye Online vous fournira les conseils dont vous avez besoin pour répondre aux exigences de la certification.
À faire #3 - Listes de contrôle
Votre SGSI doit être amélioré et entretenu en permanence.
La création de listes de contrôle est un moyen simple d'assurer le suivi des activités et des étapes dans le cadre des procédures d'amélioration et de maintenance.
6. Mettre en place un système de mesures et de contrôles
A faire #1 - Mesures de sécurité
Les indicateurs de sécurité sont des "KPI" définis pour vérifier si le système de gestion de la sécurité de l'information fonctionne efficacement.
Vous devrez :
- Définir ce qu'est un incident ;
- Gardez une trace de vos incidents ;
- Traiter les incidents par des actions correctives ;
- Plongez dans la cause première pour définir comment vous allez l'éviter à l'avenir.
- Suivez l'évolution de vos niveaux de service.
À faire #2 - Gestion des actifs
Les biens matériels qui transportent l'information, les serveurs et les données sont tous des actifs. Pour les gérer, vous devez garder une trace de tous vos actifs et savoir quels actifs sont utilisés et s'ils appartiennent à l'entreprise. Vous devez également suivre les changements et les mouvements des actifs.
A faire #3 - Contrôles
L'annexe A comprend 114 contrôles. Vous devrez adopter, mettre en œuvre et maintenir des contrôles. Vous pouvez définir et mettre en œuvre les contrôles de deux manières :
- Prenez la liste de l'annexe A de la norme ISO 27001 et définissez tous les contrôles au début ;
- Définir progressivement les contrôles au fur et à mesure que l'on s'achemine vers la certification et que l'on adopte des politiques/procédures ou que l'on procède à des évaluations. Vérifier que tous les contrôles de l'annexe A sont en place à la fin.
À faire #4 - Gestion de l'accès
La gestion des accès en général est un sujet important pour votre SGSI. Le fait de ne pas contrôler l'accès aux logiciels peut facilement provoquer des incidents qui se transforment en violations de données.
Vous aurez besoin d'une politique de gestion des accès et devrez contrôler les différents types d'accès :
- Accès au bureau
- Accès au matériel
- Accès aux logiciels
- Accès au stockage de la documentation
- Accès aux données Dans l'ensemble
7. Mettre en place des points de contrôle et de suivi opérationnels
À faire #1 - Réunions de sécurité
Lors des réunions de sécurité avec votre équipe ISMS, vous pouvez prendre des décisions sur tous les sujets liés à votre ISMS. Vous devrez désigner un responsable de la réunion de sécurité, documenter les changements, vérifier les contrôles et évaluer les améliorations.
A faire #2 - Appels à l'action pour les suivis
Les réunions de sécurité sont une partie obligatoire du SMSI opérationnel où l'équipe s'aligne, effectue des contrôles périodiques, travaille en collaboration sur les tâches, la planification, etc. Toutes les tâches de suivi demandées à l'équipe du SMSI sont définies par des appels à l'action à la suite de la réunion de sécurité.
8. S'occuper des rôles, des responsabilités, de l'encadrement et de la gestion
A faire #1 - Attribuer des rôles dans le SMSI
La norme ISO 27001 exige que vous disposiez d'une équipe ISMS pour la mise en place, la mise en œuvre et la maintenance. Vous devez également avoir une vue d'ensemble de tous les membres de l'équipe afin que la sécurité et la confidentialité puissent être créées autour des personnes et des processus.
Pour faire #2 - Attribuer des rôles de sécurité obligatoires
Nous vous conseillons de commencer par désigner au moins deux membres de l'équipe responsables de votre SMSI.Veillez toujours à ce qu'il y ait une connaissance de la technologie et de l'entreprise au sein de votre SGSI.
Désignez également un responsable de la sécurité (SO), un responsable de la protection de la vie privée (PO) et un responsable de la conformité (CO).
À faire #3 - Sécurité du bureau
Si vous avez un bureau, vous êtes responsable de la sécurité physique de votre bureau et du suivi des personnes qui y ont accès (par clé, carte ou code).
À faire #4 - Nouvelles embauches et contrats
Si vous embauchez du personnel, la norme ISO 27001 attend de vous que vous contrôliez le nombre de membres de l'équipe, leur titre de poste et la personne qui dirigera/encadrera chacun d'entre eux.Vous devrez contrôler vos contrats de travail. Si vous en êtes à la phase de mise en place, il est pratique d'avoir les dates d'expiration, etc. en un seul endroit.
A faire #5 - Formation
Vous devrez :
- Démontrez comment vous soutenez le développement des compétences des membres de votre équipe (ISMS).
- Organiser une formation annuelle de sensibilisation à la sécurité.
- Prouver ce qui était à l'ordre du jour et qui a participé à la formation.
- Effectuer l'évaluation de la formation.
À faire #6 - RH et organisation
Les exigences spécifiques de l'ISO en matière de ressources humaines et d'organisation sont les suivantes
Chapitre 5 : Responsabilités de l'encadrement supérieur
- Faire preuve de leadership et d'engagement
- Établir la politique de sécurité
- Établir et communiquer les responsabilités et les autorités pour les rôles du SMSI
Chapitre 7 : Ressources - Déterminer et fournir les ressources nécessaires à la mise en œuvre, à la maintenance et à l'amélioration continue du SMSI.
- Se concentrer sur les compétences nécessaires à l'accomplissement du travail
- Tous les membres de l'équipe SMSI doivent reconnaître leurs responsabilités et leur contribution à un SMSI efficace.
- Déterminer quoi, quand et comment communiquer les priorités du SMSI, tant en interne qu'en externe.
- Déterminer et tenir à jour ce qui doit être documenté (conformément à la présente norme).
9. Se préparer à la certification ISO 27001
A faire #1 - Audi internet
L'objectif de l'audit interne est de s'assurer que votre SMSI est conforme aux exigences de votre organisation (politique de sécurité de l'information, procédures, objectifs de sécurité, etc.) ainsi qu'aux exigences de la norme ISO 27001 et d'évaluer si le SMSI est effectivement mis en œuvre et tenu à jour. Consultez notre 'C'est l'heure de l'audit interne pour en savoir plus.
À faire #2 - Revue de direction
Une revue de direction est effectuée sur une base annuelle et vous devrez désigner une personne responsable de la revue. Le processus, bien que complexe, peut être résumé en trois étapes :
- Une réunion MT/CEO est prévue pour discuter de tous les sujets et des suggestions d'amélioration.
- Le MT/CEO définit et accepte les améliorations finales.
- Le MT/CEO finalise et approuve le rapport de la revue de direction qui sera présenté comme preuve lors de l'audit externe.
A faire #3 - Documentation
Outre les politiques, procédures et enregistrements obligatoires, quatre documents obligatoires doivent être disponibles et prêts pour la certification de l'audit externe :
- Examen de la gestion
- Rapport d'audit interne
- Champ d'application du SMSI
- Déclaration d'applicabilité
À faire #4 - Déclaration d'applicabilité
La SdA est un résumé de l'état de mise en œuvre de votre organisation pour chacun des 114 contrôles de l'annexe A de la norme ISO 27001 et doit définir les contrôles identifiés par votre organisation pour faire face aux risques encourus par l'entreprise. Pour ce faire, il est possible de procéder à une analyse des lacunes et à une évaluation des risques de la norme ISO 27001.
10. Organiser un audit de certification ISO 27001 en temps réel
À faire #1 - Auditeur principal accrédité
Une fois que vous êtes prêt pour l'audit, désignez un auditeur de plomb accrédité. Les auditeurs de plomb ont suivi une formation approfondie, vous êtes donc entre de bonnes mains.
A faire #2 - Planifier le maintien de la certification
Une fois qu'une organisation a obtenu la certification ISO 27001, il est important de maintenir le système de gestion de la sécurité de l'information (SGSI) en permanence pour s'assurer qu'il reste efficace, pertinent et aligné sur les objectifs de l'organisation. C'est là que l'équipe d'experts en sécurité de l'information de l Kit de maintenance ISO 27001 complet arrive.
Vous êtes prêt à cocher votre Liste de contrôle complète pour la conformité à la norme ISO 27001 (2023)
Découvrez comment Compleye peut vous aider à vous mettre en conformité avec la norme ISO 27001.
Discutez avec l'un de nos super vendeurs et commencez à cocher votre liste de contrôle complète pour la conformité à la norme ISO 27001.
