Le blog ISO 27001
Les exigences de la norme, clause par clause, et des guides pratiques sur les questions qui reviennent le plus souvent dans nos missions, de la certification à l'audit interne.
Guides pratiques
- Audit à blanc ou audit interne ISO 27001
L'audit interne est exigé par la norme, l'audit à blanc est une répétition de la certification. Ce qui les distingue et comment les combiner.
- Choisir son auditeur interne ISO 27001
Qui peut mener votre audit interne ISO 27001, quelles compétences exiger, les types de prestataires et les questions à poser avant de signer.
- Combien coûte un audit interne ISO 27001 ?
Combien coûte un audit interne ISO 27001 pour une PME ou une scale-up : les prix constatés sur le marché français, ce qui les fait varier, ce que doit comprendre un forfait, et notre prix.
- Combien coûte une certification ISO 27001
Ce que coûte une certification ISO 27001 : accompagnement, audit interne, organisme certificateur et charge interne, puis les coûts récurrents.
- Combien de temps dure un audit interne ISO 27001 ?
Combien de jours d'entretiens demande un audit interne ISO 27001, ce qui fait varier cette durée, un exemple de répartition sur deux jours et le calendrier complet jusqu'au rapport.
- Comment réaliser une analyse de risques conforme à la norme ISO 27001 ?
La norme n'impose aucune méthode d'analyse de risques. Voici la démarche en sept étapes, de l'identification des actifs au plan de traitement.
- Inventaire des actifs ISO 27001
Ce que votre inventaire des actifs doit contenir, jusqu'où descendre dans le détail, qui en est propriétaire et comment le tenir à jour.
- La grille d'audit interne ISO 27001
La grille d'audit interne ISO 27001 chapitre par chapitre : la question posée, la preuve attendue et le constat le plus fréquent.
- La norme ISO 27001 exige-t-elle des tests d’intrusion (pentest) ?
La norme demande d'identifier et de maîtriser vos vulnérabilités techniques. Le test d'intrusion répond-il à cette exigence, et est-il obligatoire ?
- Le rapport d'audit interne ISO 27001
La structure d'un rapport d'audit interne ISO 27001 élément par élément, la classification des constats et un constat rédigé en exemple.
- Norme ISO 27001 : ce qu'elle exige et comment obtenir la certification
Ce que la norme ISO 27001 demande, comment elle est construite, comment se déroule la certification, combien elle coûte et en combien de temps, pour une PME ou une scale-up.
- Plan et programme d'audit ISO 27001
Le programme d'audit organise votre cycle de trois ans, le plan d'audit une journée. Ce que contient chacun et ce que l'organisme vérifie.
- Politique de sécurité de l’information ISO 27001 : comment rédiger votre PSSI
Le plan d'une PSSI conforme à l'ISO 27001 avec des exemples, les politiques thématiques à prévoir et ce que vérifie l'auditeur.
- Vanta et plateformes de conformité : ce qu'elles changent à l'audit interne ISO 27001
Vanta et les plateformes de conformité rangent vos preuves ISO 27001. Elles facilitent l'audit interne, sans garantir que tout est couvert.
Hébergement de données de santé
- Audit interne HDS : ce que le référentiel exige en plus de l'ISO 27001
L'audit interne exigé pour la certification HDS : ce que le référentiel ajoute à l'ISO 27001, qui peut le mener, son déroulé. Dès 3 900 € HT, option HDS 1 200 € HT.
- Certification HDS : qui doit l'obtenir, et comment
Qui est concerné par la certification HDS, les six activités du référentiel, pourquoi l'ISO 27001 en est le socle, le calendrier réel et ce que coûte la démarche.
Chapitre 4, contexte de l'organisation
- Clause 4.1 de l’ISO 27001 : comprendre l’organisation et son contexte
Quels enjeux internes et externes recenser, à quelle fréquence les revoir, et comment cette analyse commande le périmètre et les risques du SMSI.
- Clause 4.2 de l’ISO 27001 : les attentes des parties intéressées
Qui sont vos parties intéressées, ce qu'elles attendent de votre sécurité, et comment tenir le registre que la clause 4.2 de l'ISO 27001 demande.
- Clause 4.3 de l’ISO 27001 : déterminer le domaine d’application
Comment délimiter le périmètre de votre SMSI, justifier les exclusions, et pourquoi un périmètre trop étroit fait perdre le bénéfice du certificat.
- Clause 4.4 : Système de management de la sécurité de l’information
Ce qu'est un système de management de la sécurité de l'information, ce que la clause 4.4 demande d'établir et de tenir à jour, et par quoi commencer.
Chapitre 5, leadership
- Clause 5.1 de l’ISO 27001 : leadership et engagement
La clause 5.1 de l'ISO 27001 attend des décisions, pas des déclarations. Ce que la direction doit porter, et les traces qui le prouvent en audit.
- Clause 5.2 de l’ISO 27001 : la politique de sécurité de l’information
Ce que la clause 5.2 exige de votre politique de sécurité de l'information : son contenu, son approbation, sa diffusion et sa revue.
- Clause 5.3 de l’ISO 27001 : rôles, responsabilités et autorités
Quels rôles attribuer, à qui, avec quelles autorités, et pourquoi un rôle confié à quelqu'un qui a quitté l'entreprise est un écart si fréquent en audit.
Chapitre 6, planification
- Clause 6.1 de l’ISO 27001 : les actions liées aux risques et opportunités
Ce que la clause 6.1 de l'ISO 27001 exige : apprécier les risques, décider de leur traitement et relier chaque décision à un plan daté et suivi.
- Clause 6.2 de l’ISO 27001 : les objectifs de sécurité de l’information
Comment fixer des objectifs de sécurité mesurables, qui en répond, à quelle échéance, et la preuve de suivi que l'auditeur vient chercher.
Chapitre 7, support
- Clause 7.1 de l’ISO 27001 : planifier les ressources
Quelles ressources humaines, techniques et budgétaires votre SMSI réclame, et comment montrer que la direction les a réellement allouées.
- Clause 7.2 de l’ISO 27001 : la compétence
Quelles compétences votre SMSI réclame, comment les établir, et quelles preuves conserver pour chaque personne qui tient un rôle de sécurité.
- Clause 7.3 de l’ISO 27001 : la sensibilisation à la cybersécurité
Ce que la clause 7.3 de l'ISO 27001 demande en matière de sensibilisation, et comment prouver qu'elle a bien eu lieu, participants compris.
- Clause 7.4 de l’ISO 27001 : la communication
Ce que la clause 7.4 de l'ISO 27001 demande sur la communication interne et externe : qui communique, sur quoi, quand et par quel moyen.
- Clause 7.5 de l’ISO 27001 : les informations documentées
Quels documents la norme exige, comment les approuver, les diffuser, les protéger et les conserver, et pourquoi le document périmé est le constat classique.
Chapitre 8, fonctionnement
- Clause 8.1 de l’ISO 27001 : planification et contrôle opérationnels
Ce que la clause 8.1 de l'ISO 27001 exige pour piloter la sécurité au quotidien, et les preuves d'exécution demandées sur toute la période auditée.
- Clause 8.2 de l’ISO 27001 : l’appréciation des risques de sécurité de l’information
À quelle fréquence apprécier les risques, dans quels cas la refaire en cours d'année, et la trace que la clause 8.2 attend de chaque appréciation.
- Clause 8.3 de l’ISO 27001 : le traitement des risques de sécurité
Comment passer de l'appréciation des risques au plan de traitement, qui décide, qui accepte le risque résiduel, et ce qui se prouve en audit.
Chapitre 9, évaluation des performances
- Clause 9.1 de l’ISO 27001 : surveiller, analyser et évaluer son SMSI
Quels indicateurs suivre, à quelle fréquence, qui les analyse, et ce que l'auditeur attend comme preuve que la mesure sert vraiment à décider.
- Audit interne ISO 27001 : la clause 9.2 en pratique
Ce que la clause 9.2 exige, comment mener l'audit interne étape par étape, ce que contient le rapport et ce que votre organisme certificateur vérifiera.
- Revue de direction ISO 27001 : ordre du jour, compte rendu et exemple
Ce que la revue de direction ISO 27001 doit examiner, un exemple d'ordre du jour, ce que garde le compte rendu, à quelle fréquence la tenir et ce que l'auditeur vérifie.
Chapitre 10, amélioration
- Non-conformité et action corrective ISO 27001 : la méthode et des exemples
Ce qu'est une non-conformité ISO 27001, la différence entre correction et action corrective, des exemples, la méthode des cinq pourquoi et la preuve d'efficacité.
Vous voulez être guidé dans votre démarche ? Découvrez nos offres : certification, audit interne et maintien.