La liste de contrôle de l'audit interne ISO 27001 est un outil pratique pour s'assurer que vous cochez toutes les cases de l'audit interne. Nous vous fournissons votre propre Modèle de liste de contrôle pour l'audit interne ISO 27001ainsi que des informations très utiles sur le processus d'audit interne de la norme ISO 27001.
Qu'est-ce qu'un audit interne ISO 27001 ?
On pourrait penser qu'un audit interne est un peu comme un test pour le test ultime - l'audit externe - mais ce n'est pas tout à fait exact. Dans leur article "Audits de certification ISO 27001 et audits internes de SMSI : La différence est importante", Pivot Point Security souligne la différence de manière succincte :
"En d'autres termes, l'audit interne du SMSI permet à la direction de valider l'efficacité du SMSI, tandis que l'audit de certification permet à l'auditeur de valider la conformité du SMSI à la norme.
Voilà qui résume bien la situation. Pour l'essentiel, l'audit interne ISO 27001 est un processus intensif qui répond à la clause 9.2. des exigences de la norme ISO 27001. La clause 9.2 exige que vous meniez des audits internes réguliers pour vérifier que votre SMSI et les contrôles de sécurité de l'information de l'annexe A sont en place et fonctionnent comme prévu et requis.
L'audit interne est-il obligatoire pour la norme ISO 27001 ?
Pour obtenir votre certification ISO 27001, un audit interne est en effet obligatoire. Sans lui, vous ne pourrez pas passer à l'étape suivante de votre processus de certification et, en fin de compte, à l'audit externe. Vous ne pourrez pas non plus identifier les non-conformités et mettre en œuvre des améliorations.
Et puisque (selon les termes de l'ISO elle-même) "Les normes ISO sont approuvées au niveau international par des experts. Considérez-les comme une formule qui décrit la meilleure façon de faire quelque chose". vous voulez vous assurer que vous effectuez votre certification de la meilleure façon possible. Cela signifie que vous devez suivre les processus requis, étape par étape (détaillée). Si vous faites cela, vous serez certainement l'un des nombreux candidats à la certification ISO 27001 exemples de réussites.
Outre la réalisation d'un audit interne ISO 27001 parce qu'il est obligatoire pour obtenir votre certification, une fois que vous avez obtenu votre certificat ISO 27001, vous ne pouvez pas simplement dire adieu au processus d'audit interne. Des audits réguliers sont nécessaires pour s'assurer que votre SMSI continue à répondre aux exigences de la norme ISO 27001.
Le maintien de votre SMSI n'est cependant pas la seule raison de procéder à des audits réguliers. Grâce à des audits réguliers, vous pouvez détecter les non-conformités à temps, maintenir un système de sécurité solide en place et assurer une amélioration continue.
Peut-on échouer à un audit ISO 27001 ?
Bien que vous puissiez obtenir de nombreuses non-conformités ou suggestions d'amélioration lors de votre audit interne ISO 27001, vous ne pouvez pas l'échouer. Néanmoins, il est essentiel de planifier votre audit interne. Naturellement, un modèle d'audit interne ISO 27001 vous aidera à vous assurer de couvrir toutes les preuves nécessaires.
Dans notre article Exemples de non-conformité à la norme ISO 27001 : majeures et mineuresDans ce chapitre, nous parlons des non-conformités qui pourraient empêcher votre organisation d'obtenir la certification ISO 27001. Bien entendu, avant d'en arriver à l'audit externe, vous devez d'abord cocher la case de l'audit interne. Il existe un certain nombre de raisons pour lesquelles vous pourriez ne pas obtenir de bons résultats lors de l'audit interne de l'ISO 27001.
Examinons cinq des principales causes de non-conformité :
1. Documentation obligatoire manquante
Le volume de la documentation requise pour la norme ISO 27001 est l'une des raisons pour lesquelles les organisations hésitent à s'engager dans ce processus. Mais grâce aux outils en ligne et aux plateformes automatisées d'aujourd'hui, le suivi et l'organisation de la documentation sont devenus plus simples et plus faciles que jamais.
D'un simple clic, vous pouvez désormais voir quelles sont les preuves dont vous disposez. Votre auditeur aura accès à une liste de documents qu'il souhaitera que vous ayez à portée de main. Bien qu'il n'y ait pas de liste officielle des liste des documents obligatoiresIl y a certains documents que votre auditeur est susceptible de demander.
Il s'agit notamment de
- Champ d'application du SMSI
- Politique et objectifs en matière de sécurité de l'information
- Méthodologie d'évaluation et de traitement des risques
- Déclaration d'applicabilité
- Plan de traitement des risques
- Rapport d'évaluation des risques
- Définition des rôles et responsabilités en matière de sécurité
- Inventaire des actifs
- Utilisation acceptable des actifs
- Politique de contrôle d'accès
- Procédures opérationnelles pour la gestion des technologies de l'information
- Principes d'ingénierie des systèmes sécurisés
- Politique de sécurité des fournisseurs
- Procédure de gestion des incidents
- Procédures de continuité des activités
- Exigences statutaires, réglementaires et contractuelles
2. Non-respect des procédures
Il ne s'agit pas d'une liste de procédures fournie par quelqu'un d'autre. Il s'agit de vos propres procédures, politiques et processus, qui seront définis dans votre SMSI.
Non seulement vous devez respecter l'ensemble de vos politiques, procédures et processus, mais votre personnel doit également en avoir été informé par le biais d'une formation.
Vous devez vous assurer que vos politiques et procédures sont documentées et être en mesure de les retrouver facilement.
3. Un SMSI qui ne définit pas suffisamment les questions externes et internes affectant la finalité de votre organisation.
Les problèmes internes sont tous les facteurs qui relèvent du contrôle de votre organisation :
- Structure organisationnelle
- Ressources disponibles
- Facteurs organisationnels
- Opérations organisationnelles
Les questions externes sont des facteurs extérieurs à votre entreprise qui peuvent entraver votre réussite. Bien que vous ne puissiez pas contrôler les facteurs externes, vous pouvez vous y adapter. Voici quelques exemples de facteurs externes :
- Tendances du marché et des clients
- Perceptions et valeurs des parties intéressées externes
- Lois et règlements applicables
- Conditions politiques et économiques
- Tendances et innovations technologiques
4. L'incapacité de l'encadrement supérieur à démontrer son engagement en faveur de la mise en œuvre du SMSI
L'encadrement supérieur doit faire preuve de leadership et d'engagement en ce qui concerne le SMSI :
- Veiller à ce que la politique et les objectifs de sécurité de l'information soient établis et compatibles avec l'orientation stratégique de l'organisation.
- Assurer l'intégration des exigences du système de gestion de la sécurité de l'information dans les processus de l'organisme.
- Veiller à ce que les ressources nécessaires au système de gestion de la sécurité de l'information soient disponibles
- Communiquer l'importance d'une gestion efficace de la sécurité de l'information et du respect des exigences du système de gestion de la sécurité de l'information
- Veiller à ce que le système de gestion de la sécurité de l'information atteigne les résultats escomptés
- Diriger et soutenir les personnes qui contribuent à l'efficacité du système de gestion de la sécurité de l'information
- Promouvoir l'amélioration continue
5. Absence d'attribution des rôles et des responsabilités en matière de sécurité de l'information
La sécurité de l'information et la gestion du SMSI sont différentes. Tout le monde est responsable de la sécurité de l'information. Il s'agit d'une initiative à l'échelle de l'organisation.
Cinq rôles et responsabilités types peuvent être attribués :
- Leadership en matière de sécurité
- Gestion des risques de sécurité
- Audit interne
- Propriétaires de contrôle
- Formation de tous les employés
Coûts d'un audit ISO 27001
Selon Drata, "Le coût d'un audit interne ISO 27001 pour une petite ou moyenne entreprise coûtera de $5 000 à $15 000". Soit de 4 676,80 € à 14 030,40 €.
Heureusement, il existe des entreprises qui s'adressent spécifiquement aux start-ups : Compleye facture par exemple environ 1 750 euros (environ 2 jours de travail, y compris la réunion d'investigation).
Préparation d'une liste de contrôle pour l'audit ISO
La préparation de votre liste de contrôle est une étape importante pour vous assurer que vous êtes prêt pour votre audit. La liste de contrôle est utilisée par votre auditeur pour évaluer si votre SMSI répond aux exigences de la norme ISO 27001. Pour préparer votre liste de contrôle :
- Examiner la documentation ISO 27001
- Identifier les processus et procédures clés
- Déterminez si vous avez documenté votre SMSI conformément à la norme.
Une fois les exigences identifiées, vous pouvez élaborer une liste de contrôle pour guider le processus d'audit. Cette liste doit être claire et concise et comporter des questions détaillées pour aider les auditeurs à évaluer la conformité de votre organisation.
En préparant une liste de contrôle d'audit ISO complète et bien structurée, vous démontrez votre engagement en matière de gestion de la qualité et vous garantissez un processus d'audit sans heurts.
Une liste de contrôle de haut niveau pour l'audit interne ISO 27001 et un modèle de liste de contrôle pour l'audit interne ISO 27001
Une liste de contrôle complète (gratuite) peut être téléchargée. iciMais pour vous donner une idée de ce que votre liste de contrôle devrait couvrir, nous vous proposons ci-dessous une liste de contrôle de haut niveau pour l'audit interne de l'ISO 27001.
- Responsabilité de la direction : Politique et objectifs du SMSI, mise en œuvre et révision de la gestion
- Gestion des actifs : Identification et classification des actifs, processus de protection des actifs
- Sécurité des ressources humaines : Politiques de sécurité du personnel, vérification des antécédents des employés et procédure de licenciement
- Sécurité physique et environnementale : Contrôles d'accès physiques et protection contre les menaces environnementales
- Communications et gestion des opérations : Sauvegarde des données et reprise après sinistre, logiciels opérationnels et contrôle des systèmes
- Contrôle d'accès : Contrôles d'accès des utilisateurs et gestion des mots de passe, contrôle d'accès aux ressources du réseau
- Acquisition, développement et maintenance des systèmes d'information : Politiques relatives au cycle de vie du développement de logiciels, gestion des changements dans les systèmes d'information
- Gestion des incidents de sécurité de l'information : Rapports d'incidents, réponse aux incidents de sécurité
- Gestion de la continuité des activités : Plans de reprise après sinistre et de continuité des activités, tests et maintenance des plans de continuité des activités
- Conformité : Conformité aux exigences légales et réglementaires, contrôle et assurance de la conformité en cours
L'avenir des contrôles d'audit interne
La bonne nouvelle est que l'avenir de l'audit interne ISO 27001 est l'audit en temps réel, où les vérifications de preuves seront automatisées (80%) et manuelles (20%). Compleye Online a déjà fait un grand pas vers l'automatisation de votre certification de conformité et nous vous invitons à consulter notre démo gratuite. ici.
