Glossaire de conformité
Qu’est-ce que l’ISO/IEC 27001?
L’ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l’information (SMSI). La certification est délivrée par un organisme de certification accrédité à la suite d’un audit.
En une phrase : l’ISO/IEC 27001 est la certification reconnue mondialement qui prouve qu’une organisation exploite un système géré et audité de protection de ses informations.
Définition
L’ISO/IEC 27001 est publiée conjointement par l’ISO (Organisation internationale de normalisation) et la CEI (Commission électrotechnique internationale). Elle énonce les exigences relatives à l’établissement et à la tenue d’un système de management de la sécurité de l’information.
La mise à jour de 2022 a restructuré les contrôles en quatre thèmes : organisationnels (37 contrôles), humains (8), physiques (14) et technologiques (34), pour un total de 93 contrôles. La certification exige un organisme d’audit accrédité et demeure valide pendant trois ans, avec des audits de surveillance annuels.
Composantes principales
- Clauses du système de management (4 à 10) couvrant le contexte, le leadership, la planification, le soutien, la mise en œuvre, l’évaluation des performances et l’amélioration.
- 93 contrôles de l’annexe A de 2022 organisés en quatre thèmes (organisationnels, humains, physiques, technologiques).
- Déclaration d’applicabilité, un document qui indique l’état de chaque contrôle.
- Processus documentés d’évaluation et de traitement des risques.
- Audits internes réguliers, habituellement annuels.
- Revues par la haute direction à intervalles planifiés.
Pourquoi c’est important
L’ISO 27001 est devenue le signal de confiance international en sécurité de l’information. Elle a un poids particulier dans les processus d’approvisionnement internationaux hors de l’Amérique du Nord, où les acheteurs exigent souvent le certificat avant de signer.
Comme la norme est une norme de système de management plutôt qu’une liste fixe de contrôles, elle démontre que la sécurité est gouvernée et révisée de façon continue plutôt que mise en place une seule fois.
Comment Lavawall® vous aide avec l’ISO/IEC 27001
Lavawall® intègre l’ISO/IEC 27001 comme cadre de première classe. Les contrôles de l’annexe A de 2022 correspondent aux preuves en direct recueillies sur les postes Windows, macOS et Linux et sur les locataires M365, Entra, Azure et Google Workspace; les contrôles technologiques sont donc prouvés en continu plutôt que reconstitués avant chaque audit.
Le suivi de la déclaration d’applicabilité, le soutien du registre des risques et les rapports en marque partagée aident un FSG ou une équipe TI réduite à accompagner un client de l’évaluation des écarts jusqu’à la délivrance du certificat et au cycle annuel de surveillance.
Questions fréquentes
- ISO 27001 ou SOC 2?
- Cela dépend de l’endroit où se trouvent vos clients et vos prospects. L’ISO 27001 est généralement mieux acceptée à l’international, tandis que SOC 2 est plus courante auprès des acheteurs technologiques nord-américains.
- Quelle est la différence entre ISO 27001 et ISO 27002?
- L’ISO 27001 est la norme certifiable de système de management. L’ISO 27002 est le guide de mise en œuvre des contrôles auxquels renvoie l’annexe A de l’ISO 27001.
- Combien de temps prend la certification ISO 27001?
- La certification initiale prend habituellement de 6 à 12 mois, de l’évaluation initiale des écarts à la délivrance du certificat, selon la maturité de départ.