Une fois votre entreprise certifiée ISO 27001, la relation avec l’organisme certificateur se poursuit. Le certificat est délivré pour trois ans, et son maintien dépend d’un audit de surveillance mené chaque année. L’auditeur revient ainsi la deuxième et la troisième année pour s’assurer que votre système de management de la sécurité de l’information, le SMSI, continue de fonctionner comme lors de la certification.
Cet article vous explique ce que l’auditeur examine lors de ces visites, ce qui peut l’amener à relever une non-conformité, et comment organiser votre année pour aborder chaque audit sereinement.
Le texte de l’ISO/IEC 27001 est protégé par le droit d’auteur et s’achète auprès de l’ISO ou de l’AFNOR. Vous ne trouverez donc ici aucun extrait de la norme : ses exigences sont décrites avec nos mots.
Sommaire
Trois ans, trois audits
Le cycle commence par l’audit de certification, conduit en deux étapes. L’auditeur examine d’abord votre documentation et votre état de préparation, puis il vérifie que votre système est effectivement appliqué. Le plus souvent, il mène la première étape à distance et la seconde dans vos locaux, mais il peut aussi conduire les deux au cours d’une même visite. Le certificat vous est délivré à l’issue de cette seconde étape.
Le premier audit de surveillance a lieu environ un an plus tard, et le second l’année suivante. Avant la fin de la troisième année, l’organisme certificateur conduit un audit de renouvellement, qui ouvre un nouveau cycle de trois ans.
Pour une entreprise de moins de 200 personnes sur un site unique, les honoraires de l’organisme certificateur s’élèvent à 10 000 à 15 000 € HT pour l’ensemble du cycle. Notre article sur le coût d’une certification ISO 27001 détaille ce budget.
Ce que l’auditeur examine à chaque visite
Un audit de surveillance est plus court que l’audit de certification, car l’auditeur n’examine pas l’ensemble de votre système à chaque visite. Il revient cependant systématiquement sur quatre sujets.
- L’audit interne et la revue de direction. L’auditeur se fait présenter le rapport de votre dernier audit interne et le compte rendu de votre dernière revue de direction. Ces deux dispositifs permettent à votre entreprise de vérifier elle-même son système de management, et l’auditeur s’assure qu’ils ont bien été menés depuis sa précédente visite.
- Les suites données aux constats précédents. L’auditeur reprend les écarts relevés lors du dernier audit. Il vérifie que vous les avez corrigés, puis que les corrections ont produit l’effet attendu.
- Les changements intervenus dans l’entreprise. Un nouveau produit, un changement d’hébergeur, une réorganisation ou une forte croissance modifient vos risques. L’auditeur vérifie que votre analyse de risques et votre déclaration d’applicabilité en tiennent compte.
- Vos objectifs et vos indicateurs de sécurité. L’auditeur regarde comment vous les mesurez et quelles décisions vous en tirez.
Au-delà de ces quatre sujets, l’auditeur sélectionne à chaque visite une partie des mesures de sécurité de votre système et les examine en détail. Pour chacune, il choisit lui-même un échantillon d’enregistrements, les contrôle un à un, et en tire une conclusion sur l’application de la mesure dans l’ensemble du périmètre certifié. D’une visite à l’autre, il couvre ainsi l’ensemble de votre système sur la durée du cycle.
Le principal risque : un système qui n’est plus entretenu
Une fois le certificat obtenu, il est tentant de considérer que le travail est terminé. C’est la première cause de difficultés lors d’un audit de surveillance.
Lors de l’audit de certification, l’auditeur a pris connaissance de vos règles de sécurité et des premières preuves de leur application. Lors de l’audit de surveillance, il attend la preuve que ces règles ont été appliquées tout au long de l’année écoulée. Voici les activités pour lesquelles ces preuves font le plus souvent défaut lorsque le système n’a pas été suivi.
- La revue des accès. Si vos règles prévoient une revue trimestrielle des droits d’accès, l’auditeur vous demandera la trace de chacune. Il vérifiera aussi que les comptes des collaborateurs qui ont quitté l’entreprise ont bien été fermés.
- La gestion des incidents de sécurité. Vous devez pouvoir présenter le registre de vos incidents, l’analyse de chacun et les actions qui en ont découlé. Si aucun incident n’y figure, l’auditeur vous demandera comment vous les détectez.
- L’évaluation des fournisseurs. Chaque nouveau fournisseur ayant accès à vos données ou à vos systèmes doit avoir été évalué selon les critères que vous avez fixés, et les fournisseurs existants doivent avoir été réévalués au rythme prévu.
- La revue de code. Si vos règles de développement imposent une relecture avant chaque mise en production, l’auditeur sélectionnera plusieurs mises en production et recherchera la trace de cette relecture.
- La gestion des vulnérabilités. Vous devez pouvoir montrer comment vous détectez les vulnérabilités de vos systèmes, dans quels délais vous les corrigez et comment vous suivez celles qui restent ouvertes.
- Le suivi des indicateurs de sécurité. Les indicateurs que vous avez définis doivent avoir été mesurés régulièrement et présentés en revue de direction.
- La sensibilisation. Vous devez pouvoir prouver que vos collaborateurs, nouveaux arrivants compris, ont été sensibilisés à la sécurité au cours de l’année.
Prises une à une, ces activités sont simples. Elles demandent surtout de la régularité : elles se mènent tout au long de l’année, et leurs preuves ne peuvent pas être reconstituées dans les semaines qui précèdent l’audit.
Les suites d’un écart
L’auditeur classe ses constats selon leur gravité, et les suites diffèrent.
Une non-conformité mineure correspond à un écart ponctuel sur une exigence par ailleurs respectée. Vous transmettez un plan d’action à l’organisme certificateur, et l’auditeur vérifie lors de sa visite suivante qu’il a été mené à bien.
Une non-conformité majeure signifie qu’une exigence n’est pas satisfaite dans son ensemble : un audit interne qui n’a pas eu lieu, par exemple, ou une activité de sécurité abandonnée pendant toute l’année. L’organisme certificateur vous accorde alors un délai pour corriger l’écart et lui en apporter la preuve. Faute de correction dans ce délai, il peut suspendre votre certificat.
Notre article sur les non-conformités et les actions correctives explique comment traiter un écart et démontrer l’efficacité de la correction.
Organiser votre année
Un audit de surveillance se prépare tout au long de l’année, et non dans les semaines qui le précèdent.
- Établissez un calendrier annuel dès la fin de l’audit. Partez de la date du prochain audit de surveillance et placez-y vos activités récurrentes : revues des accès, réévaluation des fournisseurs, sensibilisation, mise à jour de l’analyse de risques, audit interne et revue de direction.
- Enregistrez les preuves au moment où vous menez chaque activité. Une revue des accès réalisée mais non documentée ne pourra pas être présentée à l’auditeur.
- Traitez en priorité les constats du dernier audit. L’auditeur commencera par eux, et une action corrective doit avoir eu le temps de produire ses effets pour qu’il puisse juger de son efficacité.
- Réalisez l’audit interne au moins trois mois avant l’audit de surveillance. Vous disposerez ainsi du temps nécessaire pour corriger les écarts relevés par l’auditeur interne et pour en conserver la preuve.
- Tenez la revue de direction après l’audit interne. Votre direction pourra ainsi s’appuyer sur ses conclusions pour décider des actions à mener.
- Informez l’organisme certificateur de vos changements. L’ouverture d’un site ou l’ajout d’une activité au périmètre peut modifier la durée de l’audit suivant.
Au terme des trois ans, l’audit de renouvellement
L’audit de renouvellement se rapproche davantage de l’audit de certification que d’un audit de surveillance : l’auditeur examine à nouveau l’ensemble de votre système, ainsi que son évolution au cours du cycle. L’organisme certificateur doit avoir conduit cet audit et pris sa décision avant la date d’expiration de votre certificat. Convenez donc avec lui de la date de l’audit plusieurs mois à l’avance.
Si vos audits de surveillance se sont bien déroulés et que votre calendrier annuel a été respecté, le renouvellement ne demande pas de préparation particulière : vous disposez déjà des preuves accumulées pendant trois ans.
Comment Protectam peut vous accompagner
Nous proposons deux offres aux entreprises déjà certifiées, selon que vous souhaitez être accompagné tout au long de l’année ou au moment de l’audit interne.
Le maintien du SMSI. En début d’année, nous fixons avec vous le calendrier de toutes les échéances : mise à jour de l’analyse de risques, préparation de l’audit interne, revue de direction, suivi des actions et préparation de l’audit de surveillance. Nous vous accompagnons à chacune d’elles, et vous gardez le même interlocuteur d’une année sur l’autre. Votre système reste à jour, et vous abordez chaque audit de surveillance avec des preuves en ordre. Le détail est sur la page de notre offre de maintien du SMSI.
L’audit interne. Si votre équipe fait vivre le système elle-même, nous réalisons votre audit interne quelques mois avant l’audit de surveillance. L’auditeur examine les mêmes preuves que celles que demandera l’organisme certificateur, vous explique chaque constat et échange avec vous sur la façon de le traiter. Pour une entreprise de moins de 200 personnes sur un site unique, comptez en général deux à trois jours d’entretiens et de collecte des preuves. Le détail est sur la page de notre offre d’audit interne.