La déclaration sur le champ d'application de l'ISO 27001... semble beaucoup plus importante que ce qu'elle est. En réalité, il est assez simple d'en créer une. Dans ce guide sur la déclaration de champ d'application, nous vous expliquons le quoi, le comment et le pourquoi de la rédaction d'une déclaration de champ d'application ISO 27001.
Nous avons ajouté quelques exemples, un modèle téléchargeable et une vidéo super cool et informative mettant en scène notre propre innovatrice en matière de conformité, Mari E. Curious.
Que voulez-vous de plus ?
Pourquoi avez-vous besoin d'une définition du champ d'application ?
Dans leur articleCertification ISO IEC 27001TUV déclare que les organisations mettent en œuvre un SMSI pour :
"Protéger les données qui sont cruciales pour l'entreprise, atténuer les risques et assurer la stabilité des opérations, donner confiance aux parties prenantes et aux clients".
La déclaration de champ d'application de l'ISO 27001 est un engagement et un reflet de cette ambition. En outre, il s'agit non seulement du seul élément d'information obligatoire à fournir dans le cadre du segment de la norme relatif au domaine d'application, mais aussi du plus important.
Selon le Meilleures pratiques BizLe concept derrière la déclaration de portée est de vous faire comprendre ce qui suit :
- Lois et règlements auxquels vous devez vous conformer
- Interfaces et dépendances avec d'autres modèles
- Questions internes et externes pertinentes pour la sécurité de l'information de votre SMSI
- Les processus et les contrôles de sécurité nécessaires au fonctionnement de votre entreprise
La déclaration sur le champ d'application de la norme ISO 27001 définit :
- Ce que fait votre entreprise.
- Quelles sont les informations importantes couvertes par le SMSI ?
- Pourquoi la sécurité est-elle importante pour votre organisation ?
- Quelles sont les parties de votre entreprise qui sont certifiées.
C'est ce qui figure sur votre certificat ISO 27001 pour le monde entier (enfin, pas pour le monde entier). tous Le monde, mais vous voyez ce que nous voulons dire) à voir.
En bref, il s'agit de ce qui intéresse vos clients en matière de sécurité.
Quel est le champ d'application de la norme ISO 27001 ?
Le champ d'application de la norme ISO 27001 définit tout ce qui est protégé par votre SMSI, des données aux produits, des processus aux services, des systèmes aux zones géographiques. Il définit également tout ce qui n'est pas protégé.
Afin d'établir correctement le champ d'application de votre organisation, vous devez déterminer les limites et l'applicabilité du SMSI.
Cela signifie qu'il faut examiner toutes les questions externes et internes définies à la clause 4.1 de l'accord de Cotonou. la norme ISO 27001Il s'agit de comprendre les besoins et les attentes des parties intéressées (4.2) et de déterminer les liens entre les activités réalisées par votre organisation et les organisations externes.
En examinant et en comprenant quelles parties de l'entreprise sont impliquées dans la création, l'accès ou le traitement de vos précieuses informations, et en procédant à une évaluation des risques, vous resterez sur la bonne voie lorsque vous définirez le champ d'application de votre SMSI.
Pourquoi est-il si important de définir le champ d'application de la norme ISO 27001 ?
Tout ce qui entre dans votre champ d'application doit être couvert par votre SMSI ; tout ce qui est en dehors du champ d'application ne doit pas être couvert par votre SMSI.
Ainsi, si vous laissez hors du champ d'application un élément qui aurait dû y figurer, vous risquez de vous retrouver avec des problèmes de sécurité non désirés, des données non protégées et des clients et/ou des parties prenantes insatisfaits.
Si vous incluez dans le champ d'application un élément qui n'a pas lieu d'y figurer, vous ne faites qu'alourdir le travail de votre équipe et vous risquez de dépenser de l'argent dont vous n'avez pas vraiment besoin. En outre, un champ d'application trop large n'est pas agile en ce sens qu'il ne permet pas de prendre en compte les changements de technologies et de fonctionnalités.
Comment rédiger une déclaration sur le champ d'application de la norme ISO 27001 ?
La déclaration de champ d'application est un résumé de votre champ d'application et doit indiquer clairement à vos clients que ce qu'ils achètent chez vous, qu'il s'agisse d'un produit ou d'un service, est couvert par votre SMSI.
En outre, lorsque vous rédigez votre déclaration de portée, répondez aux questions suivantes :
- Que fait mon organisation ?
- Quels sont les produits ou services concernés ?
- Quelles informations devons-nous protéger ?
- Quels sont les processus associés à ces informations ?
- Existe-t-il des exclusions (lieux, processus, etc.) qui peuvent être laissées en dehors du champ d'application ?
Appliquons ces questions à une entreprise fictive pour voir comment elles permettent d'élaborer une déclaration sur le champ d'application. Nous appellerons cette entreprise FindMyPet.
- Que fait mon organisation ?
FindMyPet réunit les animaux de compagnie et leurs propriétaires...
- Quels sont les produits ou services concernés ?
... en utilisant la technologie des scanners et des micro-puces ...
- Quelles informations devons-nous protéger ?
...qui stockent les données personnelles des clients (nom, adresse physique, numéro de téléphone) ...
- Quels sont les processus associés à ces informations ?
...qui est également stockée dans une base de données centrale située dans nos bureaux à Dogtown...
- Existe-t-il des exclusions (lieux, processus, etc.) qui peuvent être laissées en dehors du champ d'application ?
...qui n'est accessible qu'à notre service informatique.
Tous ensemble maintenant :
FindMyPet réunit les animaux de compagnie et leurs propriétaires à l'aide de scanners et de puces électroniques qui stockent les données personnelles des clients (nom, adresse physique, numéro de téléphone) dans une base de données centrale située dans nos bureaux de Dogtown et à laquelle personne d'autre que notre service informatique n'a accès.
Erreurs courantes à éviter lors de l'élaboration de la déclaration de champ d'application
Comme pour tout ce qui a trait à l'ISO, vous devez toujours être conscient de ce qui suit pièges potentiels. Bien que la déclaration de champ d'application soit un document simple et court, elle doit être précise et claire, excluant les éléments superflus et incluant tout ce que vous jugez digne d'être protégé par le SMSI.
Si vous ne comprenez pas quelles informations votre organisation stocke, traite et gère, vous risquez d'omettre un élément essentiel dans votre déclaration.
Pour vous assurer que vous savez tout ce qu'il y a à savoir sur les données traitées par votre entreprise, vous pouvez envisager d'assister à un cours de formation sur la gestion des données. des sessions sur la conformité professionnelle.
Tout ce qui sort du cadre défini est considéré comme dangereux. Il n'est donc pas judicieux d'exclure tout ce que votre client pourrait refuser d'acheter parce qu'il n'a pas été certifié.
Votre déclaration de portée ne doit être ni trop ambitieuse ni trop ambiguë. Ne visez pas trop haut et n'incluez pas tous les départements, toutes les personnes et toutes les données. Dans le même temps, n'essayez pas de réduire vos coûts de mise en œuvre en réduisant votre champ d'application.
A lire également : Les 10 meilleurs logiciels de certification ISO 27001
Exemples de bonnes déclarations sur le champ d'application de la norme ISO 27001
Pour vous aider à rédiger votre propre déclaration de champ d'application, voici quelques exemples de bonnes déclarations de champ d'application. Comme vous pouvez le constater, elles figurent sur le certificat ISO 27001 et renvoient à la déclaration d'applicabilité.
1. Déclaration de la BSI sur le champ d'application de la norme ISO 27001
Dans notre premier exemple, vous pouvez clairement voir que le SMSI du Online Computer Library Center s'applique aux activités de sécurité de l'information associées aux services de gestion de l'entreprise, au partage des ressources, aux services de métadonnées, à la découverte et à la référence, ainsi qu'au rapport sur l'infrastructure interne. Notez la référence à la déclaration d'applicabilité.
2. Déclaration sur le champ d'application de la norme ISO 27001 de MGM Technology Partners
MGM précise la nature de ses activités (conseil aux clients du secteur public, des assurances et du commerce électronique sur la numérisation de leurs activités et de leurs processus informatiques ; développement de logiciels pour les applications critiques, conseil en gestion pour les départements spécialisés et informatiques et test et mise en œuvre de la sécurité sur le web).
Ils n'indiquent toutefois pas explicitement à quoi s'applique le SMSI. Nous pouvons donc supposer que leur SMSI couvre tout ce qui est lié à l'ensemble de leurs activités et de leurs produits.
3. Déclaration sur le champ d'application de la norme ISO 27001 de Monday.com
L'énoncé du champ d'application de Monday.com est très clair. Son SMSI s'applique au département des opérations informatiques liées au développement, au marketing, à la vente, à la promotion, au soutien et à la conception d'un système d'exploitation permettant de gérer le travail d'équipe, d'exécuter des flux de travail et des processus, et d'héberger du contenu et des fichiers.
Modèle de déclaration de champ d'application de l'ISO 27001 (télécharger)
Nous avons rédigé un modèle de déclaration de champ d'application de l'ISO 27001 que vous pouvez utiliser.
Ce modèle peut être utilisé soit pour combler les lacunes, soit pour vous guider dans la création de votre propre déclaration de portée.
Ne tardez pas, rédigez dès aujourd'hui le périmètre ISO 27001 !
Enfin, comme il faut du temps pour être bref, commencez à rédiger votre déclaration de portée dès que possible. N'oubliez pas de ne pas être trop ambitieux ou trop ambigu et assurez-vous de bien comprendre quelles sont les informations traitées par votre entreprise.
Pour obtenir l'aide de professionnels ou pour commencer à utiliser le meilleur outil de mise en conformité sur le marché aujourd'hui, Réservez une démonstration avec Compleye.
Frequently Asked Questions
What is an ISO 27001 scope statement?
An ISO 27001 scope statement is a short summary of what an organisation’s information security management system (ISMS) covers: what the business does, which products, services and information are protected, and which parts of the business are certified. The scope statement appears on the ISO 27001 certificate, so customers can see exactly what the certification applies to.
What should an ISO 27001 scope statement include?
An ISO 27001 scope statement should state what the organisation does, which products or services are in scope, which information needs protecting, which processes handle that information, and any exclusions such as locations or departments. Answering these five questions in one or two clear sentences produces a scope statement that customers and auditors can understand.
What are the most common mistakes when writing an ISO 27001 scope statement?
The most common ISO 27001 scope statement mistakes are making the scope too broad, making it too narrow, and not knowing what information the organisation actually handles. A scope that is too broad adds cost and work. A scope that is too narrow leaves out products or data that customers expect to be certified.
What is the difference between an ISO 27001 scope statement and a Statement of Applicability?
An ISO 27001 scope statement defines the boundary of the ISMS: which products, services, locations and information are covered. The Statement of Applicability lists the Annex A security controls, states which ones apply within that boundary, and justifies each choice. The scope is required by clause 4.3 of ISO 27001 and the Statement of Applicability by clause 6.1.3.
Can an ISO 27001 scope cover only part of a company?
Yes. An ISO 27001 scope can be limited to a single product, service, department or location, which is a common choice for companies that certify their core product first. The scope must still account for interfaces and dependencies with everything outside it, and customers will see the limited scope on the ISO 27001 certificate.
