Ce qu'il faut prendre en compte
- Les enjeux externes et internes (clause 4.1).
- Les exigences des parties intéressées (clause 4.2).
- Les interfaces et dépendances avec des activités réalisées par d'autres, comme les fournisseurs cloud.
Comment le rédiger
- Partez de ce que les clients ou les régulateurs ont besoin de voir couvert.
- Nommez les activités, produits et services.
- Nommez les sites, équipes et systèmes.
- Dites ce qui est exclu et comment les interfaces sont protégées.
- Restez assez court pour figurer sur le certificat.
Choisir la largeur
Un périmètre étroit se certifie plus vite mais peut ne pas répondre à ce que demandent les clients. Un périmètre large donne plus d'assurance et coûte plus cher. Un périmètre limité à un produit ou un service est accepté si ses limites sont claires et que les mesures le protègent.
Erreurs fréquentes
- Exclure un fournisseur ou une équipe sans lesquels le service ne fonctionne pas, et ignorer l'interface.
- Un périmètre qui ne correspond pas à ce que l'équipe commerciale dit aux clients.
- Un périmètre non mis à jour après un déménagement, une acquisition ou un nouveau produit.
Questions
- Un SMSI peut-il ne couvrir qu'une partie de l'entreprise ?
- Oui, à condition que les limites, les interfaces et les dépendances soient définies et que les mesures protègent ce qui est dans le périmètre.
- Le périmètre figure-t-il sur le certificat ?
- Oui, une déclaration de périmètre figure sur le certificat, pour que les clients puissent vérifier qu'il couvre le service qu'ils achètent.