Après cette lecture, vous saurez comprendre ce que la norme exige, comment se déroule la certification et par où commencer.
Définition
Pour revendiquer la conformité, une entreprise doit satisfaire les clauses 4 à 10 : contexte, leadership, planification, support, fonctionnement, évaluation des performances et amélioration.
L'annexe A de l'édition 2022 liste 93 mesures réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. L'appréciation des risques décide lesquelles sont nécessaires, et toute exclusion doit être justifiée.
Pourquoi c'est important
Les grands acheteurs la demandent sans cesse, car un certificat accrédité leur épargne une partie des vérifications de leurs fournisseurs.
Son autre bénéfice se voit en interne. Des efforts de sécurité dispersés deviennent un seul système, guidé par le risque et revu par la direction.
Comment ça fonctionne
Définissez le périmètre et obtenez l'engagement de la direction. Appréciez les risques, choisissez les mesures et consignez-les dans la déclaration d'applicabilité.
Mettez les mesures en œuvre et laissez-les fonctionner assez longtemps pour produire des enregistrements. Un audit interne puis une revue de direction montrent ensuite ce qui doit être corrigé.
Pour la certification, un organisme accrédité audite d'abord les documents, puis la pratique. Un certificat est généralement valable trois ans, avec des audits de surveillance entre-temps.
Un cas concret
Une entreprise SaaS de 40 personnes limite son système à son produit et à son support. Elle exclut les mesures de l'annexe A sur les supports physiques qu'elle ne détient pas, et écrit pourquoi.
Après un premier audit interne et une revue de direction, l'audit de certification relève deux non-conformités mineures. L'entreprise clôt chacune par un plan d'actions correctives.
Bonnes pratiques
- Choisissez un périmètre qui correspond à ce que les clients vous achètent réellement.
- Appréciez les risques avant d'écrire les politiques, pour que les documents répondent à de vrais besoins.
- Réutilisez comme preuves les enregistrements que vos équipes produisent déjà.
- Tenez réellement la revue de direction, et sortez-en avec des décisions.
- Incluez les fournisseurs et les services cloud dont dépend le périmètre.
Erreurs fréquentes
- Écrire des dizaines de politiques le premier mois. Elles correspondent rarement à la façon dont les gens travaillent, et sont vite dépassées.
- Remplir l'annexe A comme une liste à cocher, ce qui saute le raisonnement sur lequel repose la norme.
- Choisir un périmètre si étroit que le certificat ne rassure personne.
- Laisser le système s'éteindre entre deux audits de surveillance, puis courir chaque année.
Questions
- L'ISO 27001 est-elle obligatoire ?
- Aucune loi ne l'impose en général, mais les contrats et les appels d'offres l'exigent souvent.
- Combien de temps prend la certification ISO 27001 ?
- Cela dépend du périmètre et du point de départ. Les petites entreprises ont souvent besoin de plusieurs mois, car l'auditeur attend un historique de fonctionnement.
- Quelle différence entre l'ISO 27001 et l'ISO 27002 ?
- L'ISO/IEC 27001 contient les exigences qui sont auditées. L'ISO/IEC 27002 donne des recommandations pour mettre en œuvre les mesures.
- Quels sont les documents obligatoires de l'ISO 27001 ?
- Entre autres : le périmètre, la politique de sécurité, le processus et les résultats d'appréciation et de traitement des risques, la déclaration d'applicabilité, et les résultats des audits et des revues.
- L'ISO 27001 garantit-elle la conformité au RGPD ?
- Non. Elle aide pour les obligations de sécurité, alors que le RGPD couvre aussi la licéité, les droits des personnes et bien d'autres points.