Points forts de l'ISO 27001 et comment obtenir la certification
Découvrez la norme ISO/IEC 27001:2013 et comment préparer la certification de votre organisation.
Conformité
Un guide pour mieux comprendre la norme ISO 17025
Découvrez la norme ISO/IEC 27001:2013 et comment préparer la certification de votre organisation.
La norme ISO 27001 est une norme internationale qui définit un cadre pour le SMSI ou système de gestion de la sécurité de l’information dans le contexte de l’organisation. La norme internationale pour le SMSI que les entreprises peuvent faire certifier, ISO 27001, est officiellement connue sous le nom d’ISO/IEC 27001:2013 et a été créée par un comité composé d’experts de l’Organisation internationale de normalisation (ISO) et de la Commission électrotechnique internationale (CEI).
L’ISO 27001:2013 ne doit pas être confondue avec l’ ISO/CEI 27000:2018, une autre norme ISO/CEI 27000, qui vise à définir les terminologies communes utilisées dans le corps de normes ISMS.
La norme ISO 27001 est importante car elle établit une référence pour le type de cadre ISMS que les entreprises ou les organisations peuvent mettre en œuvre et affiner en fonction de leurs besoins. Elle définit une norme minimale pour le système de gestion de la sécurité de l’information que l’on peut attendre de toute entreprise, quelle que soit sa taille, son secteur d’activité ou son emplacement, qui cherche à être reconnue comme ayant un SMSI robuste.
La technologie numérique faisant désormais partie intégrante des opérations quotidiennes des entreprises et des organisations, il est devenu nécessaire de sécuriser les informations numériques liées à la gestion de ces entreprises. Voici quelques-uns des domaines qui ont été confrontés à des défis en matière de sécurité de l’information :
La mise en place d’un système solide de gestion de la sécurité de l’information nécessite un effort concerté au sein de l’organisation et le savoir-faire nécessaire pour le maintenir.
L’un des avantages de la mise en œuvre de la norme est qu’elle exige la preuve que les processus existants contribuent à assurer la sécurité des informations et que les besoins uniques de l’entreprise en matière de maintien d’un SMSI solide sont pris en compte.
Les clauses 4.1 à 10.2, qui constituent les exigences fondamentales de la norme, sont présentées ci-dessous. Ils permettent de découvrir les lacunes des processus et d’évaluer l’état de préparation d’une organisation à la certification.
4. Contexte de l’organisation
4.1 Comprendre l’organisation et son contexte
4.2 Comprendre les besoins et les attentes des parties intéressées
4.3 Déterminer le champ d’application du système de gestion de la sécurité de l’information
4.4 Système de gestion de la sécurité de l’information
5. Leadership
5.1 Leadership et engagement
5.2 Politique
5.3 Rôles, responsabilités et pouvoirs de l’organisation
6. Planification
6.1 Actions pour faire face aux risques et aux opportunités
6.2 Objectifs de sécurité de l’information et plans pour les atteindre
7. Soutien
7.1 Ressources
7.2 Compétence
7.3 Prise de conscience
7.4 Communication
7.5 Informations documentées
8. Opération
8.1 Planification et contrôle opérationnels
8.2 Évaluation des risques liés à la sécurité de l’information
8.3 Traitement des risques liés à la sécurité de l’information
9. Évaluation des performances
9.1 Surveillance, mesures, analyse et évaluation
9.2 Audit interne
9.3 Revue de direction
10. Amélioration
10.1 Non-conformité et action corrective
10.2 Amélioration continue
ISO/IEC 27001:2013 est la norme internationale pour le SMSI parmi la famille ISO 27000 pour laquelle les entreprises peuvent être certifiées. Les organisations et les entreprises peuvent suivre ces étapes pour se préparer à la certification :
Familiarisez-vous avec la norme ISO/IEC 27001:2013 et vérifiez comment vos processus internes existants s’alignent sur celle-ci. Vérifiez votre SGSI actuel et ces trois documents en particulier – politique de sécurité de l’information, déclaration d’applicabilité et plan de traitement des risques de sécurité de l’information – car la norme exige ces documents pour qu’une organisation soit certifiée.
Évaluez l’état de préparation de votre organisation en effectuant un audit interne à l’aide d’une liste de contrôle ISO 27001 qui prend en compte les trois documents et d’autres détails sur votre SMSI que les auditeurs tiers examineront au cours de l’audit de certification proprement dit.
Après avoir effectué votre propre audit interne et préparé votre organisation du mieux que vous pouvez, prenez contact avec un auditeur tiers qui peut effectuer un audit objectif afin d’obtenir une certification pour votre entreprise.
Une fois certifiée, l’entreprise doit ensuite maintenir sa conformité. La réalisation d’audits internes réguliers peut permettre de s’assurer que le SGSI en place est toujours efficace contre les menaces à la sécurité de l’information et qu’il est conforme aux normes mondiales.
Mitti (by SafetyCulture) est utilisé par les leaders du secteur pour s’aligner sur les normes internationales et se conformer aux réglementations applicables. Mitti (by SafetyCulture) peut aider les entreprises à se préparer à la certification de la manière suivante :
Réaliser des audits internes pour découvrir les lacunes des processus à l’aide de modèles tels que la liste de contrôle ISO 27001:2013 que les utilisateurs peuvent personnaliser pour répondre aux besoins de l’organisation.
Identifier les domaines à améliorer et enregistrer efficacement les actions correctives réalisées en vue de la certification.
Des informations sécurisées qui ne sont accessibles qu’au personnel autorisé via le cloud, un système qui est déjà conforme à la norme
Maintenir la conformité à la norme par des révisions régulières du SGSI actuel
Cette liste de contrôle de l’audit interne peut vous aider à vous préparer à la certification par une tierce partie par le biais des éléments suivants :
Personnalisez cette liste de contrôle comme vous le souhaitez en fonction de la nature de votre entreprise.
Découvrez les lacunes des processus en examinant le SGSI de votre organisation et en vérifiant son alignement sur la norme ISO 27001:2013.
Utilisez cette liste de contrôle pour vous assurer que vous êtes en conformité avec ces trois éléments en particulier – politique de sécurité de l’information, déclaration d’applicabilité et plan de traitement des risques de sécurité de l’information – comme l’exige la norme.
Dans cet article
