La liste des informations document\u00e9es pour la certification ISO 27001 est longue. Cependant, tous les documents ne sont pas obligatoires et votre auditeur ne voudra pas n\u00e9cessairement examiner minutieusement tout ce que vous avez compil\u00e9. Mais, comme nous le disons toujours, mieux vaut \u00eatre s\u00fbr, s\u00e9curis\u00e9 et certifi\u00e9 que d\u00e9sol\u00e9.<\/p>\n
Nous avons dress\u00e9 une liste des documents obligatoires pour vous aider \u00e0 franchir la premi\u00e8re \u00e9tape de votre parcours de certification.<\/p>\n
Mais d'abord, r\u00e9pondons \u00e0 quelques questions sur d'autres \u00e9l\u00e9ments obligatoires de la norme ISO 27001.<\/p>\n
Selon le La liste de Compleye en un coup d'\u0153il,<\/b> il y a 8 exigences pour la certification ISO 27001<\/a>:<\/p>\n En ce qui concerne les clauses, ISO 27001<\/a> se compose de deux parties. La partie 1 (qui est la partie obligatoire) comprend 11 clauses allant de la clause 0 \u00e0 la clause 10.<\/p>\n La partie 2, \u00e9galement appel\u00e9e annexe A, comporte 114 (oui, vous avez bien lu, cent quatorze !) contr\u00f4les. C'est autour de ces contr\u00f4les que vous structurerez votre d\u00e9claration d'applicabilit\u00e9 (DDA). <\/p>\n Oui. Et, si vous y r\u00e9fl\u00e9chissez (ou m\u00eame si vous n'y r\u00e9fl\u00e9chissez pas), c'est tout \u00e0 fait logique, car un audit vous aide \u00e9galement \u00e0 v\u00e9rifier que votre SMSI fonctionne comme il se doit. <\/p>\n Dans notre article 'C'est l'heure de l'audit interne<\/a>Nous d\u00e9veloppons les tenants et aboutissants de l'audit interne. <\/p>\n Il n'est pas obligatoire de disposer d'un manuel de SMSI, mais cela est fortement recommand\u00e9. Un manuel de SMSI fait partie d'un strat\u00e9gie de gestion des risques<\/a>. Il s'agit d'une solution tout-en-un pour stocker tous vos documents afin de pouvoir les consulter rapidement et facilement.<\/p>\n En parlant de documents, voici la liste que nous vous avions promise :<\/p>\n Bien qu'il n'existe pas de liste officielle de documents obligatoires pour la norme ISO 27001, nous avons voulu mettre en \u00e9vidence les documents que vous devriez absolument envisager de collecter. La liste sur laquelle nous nous concentrerons est la suivante :<\/p>\n Examinons ces documents de plus pr\u00e8s et mettons-les en contexte. Vous aurez ainsi une meilleure id\u00e9e de ce qui vous attend.<\/p>\n Cela permet \u00e0 vos parties prenantes de savoir exactement quels domaines de votre entreprise sont couverts par votre SMSI. Afin de clarifier les choses pour vos parties prenantes, vous pouvez fournir une d\u00e9claration de vision et\/ou une strat\u00e9gie en plus du p\u00e9rim\u00e8tre de votre SMSI. N'oubliez pas que le p\u00e9rim\u00e8tre document\u00e9 de votre SMSI est l'ingr\u00e9dient cl\u00e9 d'une certification r\u00e9ussie. <\/p>\n L'encadrement sup\u00e9rieur doit \u00e9tablir une politique de s\u00e9curit\u00e9 de l'information adapt\u00e9e \u00e0 l'objectif de votre organisation sp\u00e9cifique (donc pas de copie de votre copain ici !). La politique montre que la direction g\u00e9n\u00e9rale s'engage \u00e0 atteindre les objectifs du SMSI et \u00e0 les am\u00e9liorer en permanence. <\/p>\n Vous devez montrer comment vous identifiez, analysez, \u00e9valuez et hi\u00e9rarchisez les risques li\u00e9s \u00e0 l'information. D\u00e9cidez de ce qui est appropri\u00e9 pour votre organisation et r\u00e9digez-en un rapport, une liste, une matrice ou tout autre document convaincant qui montre comment vos risques sont contr\u00f4l\u00e9s. <\/p>\n Une SdA rendra votre auditeur aussi heureux qu'une palourde. Dans son article Les avantages de la d\u00e9claration d'applicabilit\u00e9 dans les projets de SMSI\",<\/a> Jayakumar Sundaram explique que la SdA est \"le principal lien entre l'\u00e9valuation et le traitement des risques...\". La SdA est un document continuellement mis \u00e0 jour et contr\u00f4l\u00e9 qui fournit une vue d'ensemble de la mise en \u0153uvre de la s\u00e9curit\u00e9 de l'information\". Nous n'aurions pas pu mieux dire. <\/p>\n Le point 6.1.3 explique ce qu'il faut faire pour cr\u00e9er un plan de traitement des risques. En bref, vous devrez fournir un processus\/une proc\u00e9dure de traitement des risques li\u00e9s \u00e0 l'information et montrer que le processus fonctionne efficacement. C'est aussi simple que cela ! <\/p>\n Une fois les risques identifi\u00e9s, il convient de d\u00e9terminer ceux qui doivent faire l'objet d'une \u00e9valuation plus approfondie, ainsi que la mani\u00e8re dont les \u00e9valuations sont d\u00e9clench\u00e9es. Selon Info-Savvy, \"Une \u00e9valuation g\u00e9n\u00e9rale des risques li\u00e9s \u00e0 la s\u00e9curit\u00e9 de l'information devrait \u00eatre effectu\u00e9e au moins une fois par an.<\/b><\/a><\/p>\n Il existe plusieurs fa\u00e7ons de montrer clairement les r\u00f4les et les responsabilit\u00e9s. Vous pouvez consulter le tableau RASCI de la bo\u00eete \u00e0 outils ISO27001.<\/a> <\/p>\n Non, il n'est pas n\u00e9cessaire de dresser la liste de votre machine \u00e0 caf\u00e9 et de votre fontaine \u00e0 eau, mais seulement celle des actifs de votre syst\u00e8me informatique ainsi que de leurs gestionnaires\/propri\u00e9taires. <\/p>\n Il est essentiel que vous disposiez de lignes directrices (et d'une formation) sur la mani\u00e8re d'utiliser les ressources informatiques de votre entreprise et sur les personnes autoris\u00e9es \u00e0 les utiliser. Tout le monde, y compris les sous-traitants et les int\u00e9rimaires, doit pouvoir acc\u00e9der aux r\u00e8gles relatives \u00e0 l'utilisation de vos ressources informatiques. Vous pouvez \u00e9galement \u00e9tablir des directives sur l'utilisation de la machine \u00e0 caf\u00e9 et de la fontaine \u00e0 eau. <\/p>\n La combinaison d'une politique globale de contr\u00f4le d'acc\u00e8s et de conseils sp\u00e9cifiques en mati\u00e8re d'acc\u00e8s contr\u00f4l\u00e9 concernant les mots de passe, les pare-feu, les r\u00e9seaux priv\u00e9s virtuels, etc. est une excellente id\u00e9e. Tous ces \u00e9l\u00e9ments doivent \u00eatre r\u00e9guli\u00e8rement r\u00e9examin\u00e9s et r\u00e9vis\u00e9s. <\/p>\n Des proc\u00e9dures op\u00e9rationnelles de qualit\u00e9, faciles \u00e0 lire et \u00e0 comprendre, doivent \u00eatre \u00e9labor\u00e9es, diffus\u00e9es et tenues \u00e0 jour.<\/p>\n Le contr\u00f4le 8.27 est un contr\u00f4le pr\u00e9ventif. Il veille \u00e0 ce que vous \u00e9liminiez les menaces qui p\u00e8sent sur l'ICA. Non, pas celle-l\u00e0 ! La confidentialit\u00e9, l'int\u00e9grit\u00e9 et la disponibilit\u00e9 de vos informations. <\/p>\n Si vous pouvez contr\u00f4ler (presque) tout ce qui se passe \u00e0 l'int\u00e9rieur de votre organisation, la s\u00e9curit\u00e9 de vos fournisseurs \u00e9chappe \u00e0 votre contr\u00f4le. Veillez donc \u00e0 v\u00e9rifier qu'ils disposent de leurs propres politiques de s\u00e9curit\u00e9. <\/p>\n ISO 27001<\/a> d\u00e9finit un incident de s\u00e9curit\u00e9 comme \"un \u00e9v\u00e9nement ind\u00e9sirable qui pourrait mettre en danger la confidentialit\u00e9, l'int\u00e9grit\u00e9 ou la disponibilit\u00e9 des informations\". Qu'il s'agisse d'un \u00e9v\u00e9nement d'hame\u00e7onnage<\/a> ou une violation du syst\u00e8me informatique, la proc\u00e9dure de traitement d'un incident doit comprendre la collecte rapide de preuves, une analyse m\u00e9dico-l\u00e9gale, la communication sur l'incident et, comme pour tout ce qui concerne l'ISO, la tenue d'un registre. <\/p>\n Quelle que soit la gravit\u00e9 des cons\u00e9quences d'un incident ou d'un \u00e9v\u00e9nement de s\u00e9curit\u00e9 pour votre entreprise, vous devez \u00eatre en mesure de maintenir les fonctions essentielles et de poursuivre vos activit\u00e9s. la voie de la certification<\/a>. Issue de la gestion de crise, la gestion de la continuit\u00e9 des activit\u00e9s doit \u00eatre document\u00e9e par des strat\u00e9gies, des politiques, des plans, des proc\u00e9dures et des rapports. <\/p>\n Ah, l'annexe A.18.1, cette clause d\u00e9licate qui fait tr\u00e9bucher tant de candidats \u00e0 l'ISO ! Les entreprises ne se rendent pas compte de l'ampleur de la l\u00e9gislation et de la r\u00e9glementation qui les concernent. Mais votre sympathique auditeur veut savoir comment vous avez trait\u00e9 vos obligations l\u00e9gales, r\u00e9glementaires et contractuelles. <\/p>\n G\u00e9rer un SGSI n'est pas un jeu d'enfant. Vous avez besoin d'une \u00e9quipe qui poss\u00e8de les comp\u00e9tences et la formation n\u00e9cessaires, non seulement du point de vue de la s\u00e9curit\u00e9, mais aussi du point de vue des ressources humaines, du droit, du commerce, de l'informatique (et la liste n'est pas exhaustive). Pour d\u00e9montrer la conformit\u00e9, vous pouvez (assez) facilement dresser un tableau indiquant les personnes impliqu\u00e9es, ce qu'elles font et leur exp\u00e9rience. <\/p>\n\n
Combien de clauses obligatoires y a-t-il dans la norme ISO 27001 ?<\/strong><\/h2>\n
Un audit interne est-il obligatoire pour la norme ISO 27001 ?<\/strong><\/h2>\n
Le manuel du SGSI est-il un document obligatoire ?<\/strong><\/h2>\n
Documentation ISO 27001 obligatoire<\/strong><\/h3>\n
\n
Champ d'application du SMSI (clause 4.3)<\/strong><\/h4>\n
Politique et objectifs en mati\u00e8re de s\u00e9curit\u00e9 de l'information<\/strong><\/h4>\n
M\u00e9thodologie d'\u00e9valuation et de traitement des risques<\/strong><\/h4>\n
D\u00e9claration d'applicabilit\u00e9<\/strong><\/h4>\n
Plan de traitement des risques<\/strong><\/h4>\n
Rapport d'\u00e9valuation des risques<\/strong><\/h4>\n
D\u00e9finition des r\u00f4les et responsabilit\u00e9s en mati\u00e8re de s\u00e9curit\u00e9<\/strong><\/h4>\n
Inventaire des actifs<\/strong><\/h4>\n
Utilisation acceptable des actifs<\/strong><\/h4>\n
Politique de contr\u00f4le d'acc\u00e8s\/Politique de gestion des acc\u00e8s<\/strong><\/h4>\n
Proc\u00e9dures op\u00e9rationnelles pour la gestion des technologies de l'information<\/strong><\/h4>\n
Principes d'ing\u00e9nierie des syst\u00e8mes s\u00e9curis\u00e9s<\/strong><\/h4>\n
Politique de s\u00e9curit\u00e9 des fournisseurs aka Politique de gestion des fournisseurs <\/strong><\/h4>\n
Proc\u00e9dure de gestion des incidents<\/strong><\/h4>\n
Proc\u00e9dures de continuit\u00e9 des activit\u00e9s <\/strong><\/h4>\n
Exigences statutaires, r\u00e9glementaires et contractuelles<\/strong><\/h4>\n
Enregistrements ISO 27001 obligatoires<\/strong><\/h3>\n
Registres des formations, des comp\u00e9tences, de l'exp\u00e9rience et des qualifications<\/strong><\/h4>\n
Suivi et r\u00e9sultats des mesures <\/strong><\/h4>\n