Après cette lecture, vous saurez construire la déclaration à partir du traitement des risques et écrire des justifications qui tiennent en audit.
Définition
La clause 6.1.3 d en précise le contenu : les mesures nécessaires, la raison de leur inclusion, leur mise en œuvre ou non, et la raison de l'exclusion de toute mesure de l'annexe A.
Le traitement des risques décide quelles mesures sont nécessaires. Elles peuvent venir de l'annexe A, d'un autre référentiel ou de votre propre conception.
Pourquoi c'est important
Elle relie les risques aux mesures et montre quelles mesures le système certifié applique. Les acheteurs en demandent souvent une copie, et les auditeurs s'en servent pour décider quoi tester.
Comment ça fonctionne
Partez du plan de traitement des risques et listez les mesures retenues. Parcourez ensuite les 93 mesures de l'annexe A pour confirmer que rien de nécessaire n'a été oublié.
Pour chaque mesure, écrivez la raison de son inclusion ou de son exclusion, son état de mise en œuvre, et un renvoi au document ou à l'enregistrement qui le prouve.
Faites-la approuver, gérez-en les versions, et mettez-la à jour quand les risques ou les mesures changent.
Un cas concret
Mesure 7.10, supports de stockage. Une entreprise sans support amovible dans son périmètre l'exclut, en expliquant que toutes les données restent sur sa plateforme cloud et que la politique des postes désactive les ports USB.
Mesure 8.13, sauvegarde des informations. Elle est incluse pour traiter le risque de perte de données et elle est mise en œuvre, avec un renvoi à la procédure de sauvegarde et au test de restauration du 12 mai.
Bonnes pratiques
- Rattachez chaque mesure à un risque ou à une obligation.
- Renvoyez vers la preuve. La recopier rend le document illisible et vite dépassé.
- Mettez la déclaration à jour après chaque revue des risques, et vérifiez à quelle version le certificat fait référence.
Erreurs fréquentes
- Exclure une mesure parce qu'elle dérange. La raison doit venir de vos risques et de votre périmètre.
- La remplir avant l'appréciation des risques, ce qui renverse la logique de la norme.
- Tout marquer comme mis en œuvre. Un échantillon de trois enregistrements suffit à le démentir.
- Écrire « applicable » comme justification, ce qui n'explique rien.
Questions
- Faut-il inclure toutes les mesures de l'annexe A ?
- Non, mais chacune doit être traitée : incluse avec une raison, ou exclue avec une raison.
- La déclaration d'applicabilité est-elle publique ?
- Elle n'a pas à l'être. Les entreprises la partagent souvent avec les acheteurs sous accord de confidentialité.
- Peut-elle contenir des mesures hors de l'annexe A ?
- Oui. La clause 6.1.3 autorise des mesures de toute source, et elles sont listées avec les autres.
- Qui approuve la déclaration d'applicabilité ?
- La norme exige que la déclaration soit produite sans désigner d'approbateur. L'approbation par le responsable de la sécurité et la direction est la pratique courante.
- En quoi diffère-t-elle d'un plan de traitement des risques ?
- Le plan dit comment les risques seront traités, par qui et pour quand. La déclaration donne la position sur chaque mesure.