La liste des informations documentées pour la certification ISO 27001 est longue. Cependant, tous les documents ne sont pas obligatoires et votre auditeur ne voudra pas nécessairement examiner minutieusement tout ce que vous avez compilé. Mais, comme nous le disons toujours, mieux vaut être sûr, sécurisé et certifié que désolé.
Nous avons dressé une liste des documents obligatoires pour vous aider à franchir la première étape de votre parcours de certification.
Mais d'abord, répondons à quelques questions sur d'autres éléments obligatoires de la norme ISO 27001.
Combien d'exigences obligatoires sont nécessaires pour la norme ISO 27001 ?
Selon le La liste de Compleye en un coup d'œil, il y a 8 exigences pour la certification ISO 27001:
- Mettre en œuvre un système de gestion de la sécurité (SGS)
- Procéder à une évaluation des risques
- Élaborer des politiques et des procédures de sécurité
- Mettre en œuvre des contrôles pour atténuer les risques identifiés
- Contrôler et examiner l'efficacité du SGSI
- Tenir des registres du SGSI
- Communiquer le SGSI à tous les employés
- Former les employés au SGSI
Combien de clauses obligatoires y a-t-il dans la norme ISO 27001 ?
En ce qui concerne les clauses, ISO 27001 se compose de deux parties. La partie 1 (qui est la partie obligatoire) comprend 11 clauses allant de la clause 0 à la clause 10.
La partie 2, également appelée annexe A, comporte 114 (oui, vous avez bien lu, cent quatorze !) contrôles. C'est autour de ces contrôles que vous structurerez votre déclaration d'applicabilité (DDA).
Un audit interne est-il obligatoire pour la norme ISO 27001 ?
Oui. Et, si vous y réfléchissez (ou même si vous n'y réfléchissez pas), c'est tout à fait logique, car un audit vous aide également à vérifier que votre SMSI fonctionne comme il se doit.
Dans notre article 'C'est l'heure de l'audit interneNous développons les tenants et aboutissants de l'audit interne.
Le manuel du SGSI est-il un document obligatoire ?
Il n'est pas obligatoire de disposer d'un manuel de SMSI, mais cela est fortement recommandé. Un manuel de SMSI fait partie d'un stratégie de gestion des risques. Il s'agit d'une solution tout-en-un pour stocker tous vos documents afin de pouvoir les consulter rapidement et facilement.
En parlant de documents, voici la liste que nous vous avions promise :
Documentation ISO 27001 obligatoire
Bien qu'il n'existe pas de liste officielle de documents obligatoires pour la norme ISO 27001, nous avons voulu mettre en évidence les documents que vous devriez absolument envisager de collecter. La liste sur laquelle nous nous concentrerons est la suivante :
- Champ d'application du SMSI
- Politique et objectifs en matière de sécurité de l'information
- Méthodologie d'évaluation et de traitement des risques
- Déclaration d'applicabilité
- Plan de traitement des risques
- Rapport d'évaluation des risques
- Définition des rôles et responsabilités en matière de sécurité
- Inventaire des actifs
- Utilisation acceptable des actifs
- Politique de contrôle d'accès
- Procédures opérationnelles pour la gestion des technologies de l'information
- Principes d'ingénierie des systèmes sécurisés
- Politique de sécurité des fournisseurs
- Procédure de gestion des incidents
- Procédures de continuité des activités
- Exigences statutaires, réglementaires et contractuelles
Examinons ces documents de plus près et mettons-les en contexte. Vous aurez ainsi une meilleure idée de ce qui vous attend.
Champ d'application du SMSI (clause 4.3)
Cela permet à vos parties prenantes de savoir exactement quels domaines de votre entreprise sont couverts par votre SMSI. Afin de clarifier les choses pour vos parties prenantes, vous pouvez fournir une déclaration de vision et/ou une stratégie en plus du périmètre de votre SMSI. N'oubliez pas que le périmètre documenté de votre SMSI est l'ingrédient clé d'une certification réussie.
Politique et objectifs en matière de sécurité de l'information
L'encadrement supérieur doit établir une politique de sécurité de l'information adaptée à l'objectif de votre organisation spécifique (donc pas de copie de votre copain ici !). La politique montre que la direction générale s'engage à atteindre les objectifs du SMSI et à les améliorer en permanence.
Méthodologie d'évaluation et de traitement des risques
Vous devez montrer comment vous identifiez, analysez, évaluez et hiérarchisez les risques liés à l'information. Décidez de ce qui est approprié pour votre organisation et rédigez-en un rapport, une liste, une matrice ou tout autre document convaincant qui montre comment vos risques sont contrôlés.
Déclaration d'applicabilité
Une SdA rendra votre auditeur aussi heureux qu'une palourde. Dans son article Les avantages de la déclaration d'applicabilité dans les projets de SMSI", Jayakumar Sundaram explique que la SdA est "le principal lien entre l'évaluation et le traitement des risques...". La SdA est un document continuellement mis à jour et contrôlé qui fournit une vue d'ensemble de la mise en œuvre de la sécurité de l'information". Nous n'aurions pas pu mieux dire.
Plan de traitement des risques
Le point 6.1.3 explique ce qu'il faut faire pour créer un plan de traitement des risques. En bref, vous devrez fournir un processus/une procédure de traitement des risques liés à l'information et montrer que le processus fonctionne efficacement. C'est aussi simple que cela !
Rapport d'évaluation des risques
Une fois les risques identifiés, il convient de déterminer ceux qui doivent faire l'objet d'une évaluation plus approfondie, ainsi que la manière dont les évaluations sont déclenchées. Selon Info-Savvy, "Une évaluation générale des risques liés à la sécurité de l'information devrait être effectuée au moins une fois par an.
Définition des rôles et responsabilités en matière de sécurité
Il existe plusieurs façons de montrer clairement les rôles et les responsabilités. Vous pouvez consulter le tableau RASCI de la boîte à outils ISO27001.
Inventaire des actifs
Non, il n'est pas nécessaire de dresser la liste de votre machine à café et de votre fontaine à eau, mais seulement celle des actifs de votre système informatique ainsi que de leurs gestionnaires/propriétaires.
Utilisation acceptable des actifs
Il est essentiel que vous disposiez de lignes directrices (et d'une formation) sur la manière d'utiliser les ressources informatiques de votre entreprise et sur les personnes autorisées à les utiliser. Tout le monde, y compris les sous-traitants et les intérimaires, doit pouvoir accéder aux règles relatives à l'utilisation de vos ressources informatiques. Vous pouvez également établir des directives sur l'utilisation de la machine à café et de la fontaine à eau.
Politique de contrôle d'accès/Politique de gestion des accès
La combinaison d'une politique globale de contrôle d'accès et de conseils spécifiques en matière d'accès contrôlé concernant les mots de passe, les pare-feu, les réseaux privés virtuels, etc. est une excellente idée. Tous ces éléments doivent être régulièrement réexaminés et révisés.
Procédures opérationnelles pour la gestion des technologies de l'information
Des procédures opérationnelles de qualité, faciles à lire et à comprendre, doivent être élaborées, diffusées et tenues à jour.
Principes d'ingénierie des systèmes sécurisés
Le contrôle 8.27 est un contrôle préventif. Il veille à ce que vous éliminiez les menaces qui pèsent sur l'ICA. Non, pas celle-là ! La confidentialité, l'intégrité et la disponibilité de vos informations.
Politique de sécurité des fournisseurs aka Politique de gestion des fournisseurs
Si vous pouvez contrôler (presque) tout ce qui se passe à l'intérieur de votre organisation, la sécurité de vos fournisseurs échappe à votre contrôle. Veillez donc à vérifier qu'ils disposent de leurs propres politiques de sécurité.
Procédure de gestion des incidents
ISO 27001 définit un incident de sécurité comme "un événement indésirable qui pourrait mettre en danger la confidentialité, l'intégrité ou la disponibilité des informations". Qu'il s'agisse d'un événement d'hameçonnage ou une violation du système informatique, la procédure de traitement d'un incident doit comprendre la collecte rapide de preuves, une analyse médico-légale, la communication sur l'incident et, comme pour tout ce qui concerne l'ISO, la tenue d'un registre.
Procédures de continuité des activités
Quelle que soit la gravité des conséquences d'un incident ou d'un événement de sécurité pour votre entreprise, vous devez être en mesure de maintenir les fonctions essentielles et de poursuivre vos activités. la voie de la certification. Issue de la gestion de crise, la gestion de la continuité des activités doit être documentée par des stratégies, des politiques, des plans, des procédures et des rapports.
Exigences statutaires, réglementaires et contractuelles
Ah, l'annexe A.18.1, cette clause délicate qui fait trébucher tant de candidats à l'ISO ! Les entreprises ne se rendent pas compte de l'ampleur de la législation et de la réglementation qui les concernent. Mais votre sympathique auditeur veut savoir comment vous avez traité vos obligations légales, réglementaires et contractuelles.
Enregistrements ISO 27001 obligatoires
Registres des formations, des compétences, de l'expérience et des qualifications
Gérer un SGSI n'est pas un jeu d'enfant. Vous avez besoin d'une équipe qui possède les compétences et la formation nécessaires, non seulement du point de vue de la sécurité, mais aussi du point de vue des ressources humaines, du droit, du commerce, de l'informatique (et la liste n'est pas exhaustive). Pour démontrer la conformité, vous pouvez (assez) facilement dresser un tableau indiquant les personnes impliquées, ce qu'elles font et leur expérience.
Suivi et résultats des mesures
Cette pièce de l'ICT Institute explique le mieux la clause 9.1. "Le contrôle consiste à observer les données créées au cours d'un processus ou par un système. La mesure, en revanche, exige que les données soient collectées par le biais d'une action. Vous pouvez, par exemple moniteur la disponibilité de votre site web en vérifiant le pourcentage de disponibilité de votre serveur web à l'aide d'un tableau de bord, ou mesure la disponibilité en comptant le nombre de rapports de panne de serveur créés dans votre système de billetterie". C'est logique, non ?
Programme d'audit interne
Comme indiqué plus haut, vous avez besoin d'un audit interne comme le désert a besoin de la pluie (il y a une chanson là-dedans quelque part). Et vous en avez besoin régulièrement pour vous assurer que votre SMSI (système de gestion de la sécurité de l'information) continue de répondre aux normes ISO 27001 et pour faciliter l'amélioration continue.
Résultats des audits internes
Il ne sert à rien de réaliser un audit interne si l'on n'en enregistre pas les résultats. Le rapport doit contenir
- Examen de la documentation
- Échantillonnage des preuves
- Entretiens avec le personnel clé de l'ISMS
- Entretiens avec d'autres membres du personnel, voire avec des contractants extérieurs
- Évaluation des résultats
Résultats de la revue de direction
Il va sans dire (mais nous le disons quand même) que l'objectif d'une revue de direction est d'informer la direction générale et de lui prouver que le SMSI mis en œuvre et ses objectifs continuent de montrer des signes d'efficacité, de transparence et d'intégrité.
Résultats des actions correctives
Une fois qu'un risque a été identifié, des mesures correctives doivent être prises. Les actions (de la découverte à la correction) doivent être documentées, parfois par le biais de registres, de manière à montrer que les mesures correctives prises ont été efficaces.
Journaux des activités des utilisateurs, des exceptions et des événements de sécurité
Lors de l'enregistrement d'activités, d'exceptions et d'événements, n'oubliez pas que des informations privées, sensibles et/ou personnelles peuvent être utilisées dans les journaux d'événements ; des mesures de protection de la vie privée doivent donc être mises en œuvre de manière appropriée. Pas d'exceptions !
Obtenez de l'aide pour rassembler vos documents ISO 27001 obligatoires
Sachez que votre auditeur choisira ce qu'il veut voir. Pour rendre votre audit aussi facile que possible, il est donc préférable de vous préparer en vous assurant que vous disposez de tous les bons documents et qu'ils sont triés, classés et indexés pour un accès facile.
La meilleure façon de s'assurer que toutes les conditions sont réunies est d'utiliser une plateforme en ligne qui vous fournit les conseils et les outils dont vous avez besoin pour obtenir la certification.
Réservez une démonstration avec Compleye pour savoir comment nous pouvons vous aider à rassembler vos documents obligatoires ISO 27001.
