Certification ISO/IEC 27001
La norme ISO 27001 est celle à laquelle la plupart des gens font référence lorsqu’ils disent : « Nous avons besoin d’un véritable système de gestion de la sécurité de l’information. » Elle ne vous fournit pas une liste de contrôle figée de mesures techniques, mais vous demande de mettre en place un système de gestion : comprenez vos risques, décidez de manière réfléchie de la manière dont vous allez les traiter, choisissez dans l’annexe A (ou ailleurs) les mesures de contrôle qui y répondent réellement, puis gérez l’ensemble comme un cycle continu de surveillance, d’audit interne et d’amélioration, plutôt que comme un projet doté d’une date de fin.
C’est là que se déroule le véritable travail
Ce qui pose le plus souvent problème dans la norme ISO 27001, ce ne sont généralement pas les contrôles eux-mêmes, mais bien l’évaluation des risques et la déclaration d’applicabilité qui est censée en découler. J’ai vu de nombreuses déclarations d’applicabilité (SoA) qui avaient été remplies en copiant un modèle et en cochant la plupart des contrôles comme « mis en œuvre », sans que personne ne retrace réellement le lien logique entre un risque spécifique, un contrôle spécifique et des preuves spécifiques. Un auditeur repérera immédiatement cette lacune et, plus important encore, cela signifie que le SMSI ne gère pas réellement vos risques réels.
Comment je gère cela
Je commence par une évaluation des risques qui reflète votre environnement réel — vos données, votre architecture, votre paysage de menaces — et non une liste générique propre à votre secteur d’activité. À partir de là, la déclaration d’applicabilité devient un véritable document : chaque décision relative aux contrôles est rattachée à un risque spécifique, avec une justification claire pour tout élément exclu. Nous mettons ensuite en place le système de gestion proprement dit : des politiques décrivant vos activités réelles, des rôles et responsabilités clairement définis, un programme d’audit interne, ainsi qu’une revue de direction qui examine véritablement si le SMSI fonctionne, et non une simple réunion de formalité.
Si vous visez une certification, je vous aide à vous préparer aux deux étapes de l’audit externe : l’examen de la documentation et l’audit opérationnel, au cours duquel l’auditeur vérifie si la réalité correspond aux documents. Si vous mettez en place un SMSI pour lui-même plutôt que pour obtenir un certificat, nous appliquons le même niveau de rigueur.
À qui s'adresse ce document ?
Les entreprises qui ont besoin de la certification ISO 27001 pour remporter des contrats d’entreprise ou internationaux, les organisations qui formalisent un programme de sécurité ayant dépassé le stade des politiques ponctuelles, et les équipes qui ont déjà tenté cette démarche une fois en s’appuyant sur des modèles prédéfinis et qui savent que cela n’a pas vraiment porté ses fruits.
Si vous mettez en place un SMSI à partir de zéro ou si vous essayez d’améliorer un système qui ne fonctionne pas correctement, n’hésitez pas à nous contacter.