ISO 27001 : un SMSI qui fonctionne
ISO/IEC 27001 est la norme internationale de sécurité de l'information. Ce qu'elle exige, le déroulement d'un projet de certification et le lien avec NIS2.
Qu’est-ce qu’ISO 27001 ?
ISO/IEC 27001 est la norme internationale pour un système de management de la sécurité de l’information, un SMSI. C’est une manière structurée de maîtriser les risques pour votre information et de vous améliorer en continu.
La version actuelle date de 2022. Son annexe A contient 93 mesures réparties en quatre thèmes : organisationnel, humain, physique et technologique. Vous choisissez les mesures adaptées à vos risques et justifiez ce choix.
Un certificat délivré par un organisme de certification accrédité montre à vos clients, partenaires et autorités que vous maîtrisez la sécurité de l’information de manière démontrable.
Que demande la norme ?
- Contexte et périmètre : l’organisation, les processus et les systèmes couverts par le SMSI, et les attentes des parties intéressées.
- Leadership : une politique, des rôles clairs et une direction qui porte le SMSI.
- Risques : une appréciation des risques, un plan de traitement et une déclaration d’applicabilité.
- Support : des ressources, des compétences, la sensibilisation et une documentation maîtrisée.
- Fonctionnement et suivi : les mesures en pratique, des indicateurs, des audits internes et une revue de direction.
- Amélioration : traiter les non-conformités et continuer à améliorer le système.
Comment se déroule un projet ?
- Périmètre et état des lieux : nous définissons le périmètre et établissons, par une analyse d’écarts, où vous en êtes.
- Appréciation des risques : nous évaluons les risques et rédigeons la déclaration d’applicabilité.
- Mesures : nous mettons en place les mesures et documents nécessaires, en visant ce qui fonctionne dans votre organisation plutôt que la paperasse.
- Démontrer le fonctionnement : le suivi, la sensibilisation, un audit interne et une revue de direction montrent que le système tourne.
- Certification : un organisme indépendant réalise l’audit de certification en deux étapes. Suivent des audits de surveillance annuels et une recertification après trois ans.
La durée dépend de la taille et du point de départ. Pour une organisation de taille moyenne, il faut généralement compter de quelques mois à un an.
ISO 27001 et NIS2
ISO 27001 peut vous aider à démontrer votre conformité à NIS2. Les conditions sont publiées par le CCB : La loi NIS2 sur Safeonweb@Work. Pour savoir comment nous vous accompagnons, consultez notre page sur NIS2.
Comment SecurityAdvice vous aide
- Une analyse d’écarts par rapport à ISO 27001, avec un plan d’action concret.
- Un accompagnement dans la mise en place du SMSI, de l’appréciation des risques à la revue de direction.
- Des audits internes selon ISO 27001.
- La préparation à l’audit de certification.
SecurityAdvice n’est pas un organisme de certification. Nous vous préparons, l’audit de certification est réalisé par un organisme indépendant et accrédité.
Des questions sur ISO 27001 ou NIS2 ?
Un premier échange permet de voir rapidement où vous en êtes et quelle est la prochaine étape.