Vous avez entendu parler de la norme ISO 27001 relative à la sécurité des données, mais vous ne savez pas par où commencer ? Si c’est le cas, vous êtes au bon endroit. Ce guide vous aidera à obtenir la ISO 27001 certification et à garantir la sécurité et la bonne protection de vos données.
Qu’est-ce que la norme ISO 27001 ? Définition
L’ISO 27001 est la seule norme de sécurité de l’information véritablement mondiale. Elle est donc naturellement l’une des plus recherchées.
Elle s’applique à tous les secteurs d’activité y compris les entreprises du domaine informatique et explique comment concevoir, construire et mettre en œuvre un système de management de la sécurité de l’information (SMSI) qui peut être certifié de manière indépendante à des fins d’assurance.
Elle a été conçue par l’ISO, l’Organisation internationale de normalisation, un réseau d’organismes nationaux de normalisation couvrant la plupart des pays du monde.
Elle définit les exigences exigences en matière d’organisation d’ un système de gestion de la sécurité de l’information, y compris les contrôles de sécurité, qui doivent être mis en œuvre pour garantir que les informations sont conservées, traitées et transmises en toute sécurité.
La certification ISO/IEC 27001 donne une assurance aux clients et aux autres parties intéressées sur la façon dont l’organisation gère ses actifs informationnels.
Les exigences de la norme ISO/IEC 27001 pour la sécurité informatique
La norme ISO/CEI 27001 est une norme d’exigences. Elle constitue le référentiel pour l’élaboration et la certification SMSI.
La structure de cette norme est alignée sur celle des référentiels ISO 9001 (qualité) et ISO 14001 (environnement). Mais elle présente aussi une synergie avec la série des ISO/CEI 20000 (Technologies de l’information – Gestion des services).
Aussi, lorsque cela est opportun, il est recommandé de réaliser des économies d’échelles en procédant à une certification multiple. Par exemple « 9001-27001 » ou « 20000-27001 ».
Les paragraphes suivants sont consacrés aux exigences applicables à un SMSI :
paragraphe 4 : Contexte de l’organisation ;
paragraphe 5 : Leadership ;
paragraphe 6 : Planification ;
paragraphe 7 : Support ;
paragraphe 8 : Fonctionnement ;
paragraphe 9 : Évaluation des performances ;
paragraphe 10 : Amélioration continue ;
Cette norme comporte une seule annexe : l’Annexe A (normative). Cette annexe très importante décrit les objectifs et les mesures de sécurité
Quels sont les 4 critères de sécurité selon la norme iso 27001 ?
Les quatre critères de sécurité que les organisations doivent respecter pour obtenir leur certification ISO 27001 sont la confidentialité, l’intégrité, la disponibilité et la responsabilité.
La confidentialité exige que les données soient protégées contre tout accès ou utilisation non autorisés. L’intégrité exige que les données soient exactes et fiables.
La disponibilité exige que les données soient accessibles aux utilisateurs autorisés en cas de besoin.
La responsabilité exige que toute modification apportée au système puisse être suivie afin de garantir que seules les personnes autorisées y apportent des changements.
La réussite de la sécurité de l’information repose sur la formation adéquate des collaborateurs. Les employés et les entrepreneurs doivent avoir une parfaite connaissance des raisons justifiant l’environnement de contrôle qui les entoure, de façon à pouvoir maintenir la sécurité de l’information au bon niveau et ne pas la compromettre.
C’est quoi iso 27001 certification?
L’obtention de la certification est un point important pour assurer la sécurité des systèmes d’information et des données des entreprises, elle signifie que vous avez :
- Réaliser la mise en œuvre un système de management de la sécurité de l’information conforme à la norme ISO 27001
- Le faire certifier par un organisme certificateur accrédité
- Être prêt à le maintenir et à l’améliorer en permanence
L’ISO 27001 certification peut aider à prévenir les pertes de confidentialité en mettant en place des mesures de sécurité et des procédures pour gérer les informations sensibles.
Elle permet de prouver la capacité de la société à gérer les informations de manière sécurisée et à protéger la confidentialité des données.
Pour obtenir la certification, vous devez choisir un organisme certificateur accrédité qui connaît votre taille et votre type d’organisation.
Comment obtenir la certification ISO 27001 ?
Pour être certifiées conformes à la norme ISO 27001, les organisations doivent démontrer qu’elles satisfont aux exigences de la norme. Comme il peut être difficile de le faire soi-même, il est judicieux d’engager un consultant expert pour vous guider tout au long du processus.
- Définir les rôles et les responsabilités au sein du système, il s’agit notamment de déterminer qui sera responsable de certaines tâches, comme le responsable de la sécurité (RSSI)
- Réaliser une analyse de risques (L’appréciation des risques de sécurité de l’information et le processus de traitement figurant dans la présente Norme internationale s’alignent sur les principes et les lignes directrices générales fournies dans l’ISO 31000).
- Identifier les ressources et les moyens à mettre en œuvre et la formation du personnel.
- La direction doit établir une politique de sécurité de l’information en incluant l’engagement d’œuvrer pour l’amélioration continue.
- élaborer un plan de traitement des risques de sécurité de l’information.
- Des mesures de protection physique contre les désastres naturels, les attaques malveillantes ou les accidents doivent être conçues et appliquées.
- Surveiller les mesures mises en place et leur efficacité (audits internes).
- Planifier les actions correctrices identifiées.
- Effectuer une déclaration d’applicabilité. Ce document obligatoire liste les objectifs et mesures de sécurité sélectionnés et mis en œuvre, ainsi que ceux exclus et les raisons de leur exclusion.
- La promotion de l’amélioration continue.
- Rétroaction sur l’analyse des risques.
Pour faciliter l’obtention et le maintien de la certification tous les trois ans, il est fortement recommandé de former vos équipes en interne. Faites appel à un organisme de formation spécialisé dans les certifications ISO pour vous aider à atteindre votre objectif !
Voici les principales formations :
- ISO/IEC 27001 Lead Auditor
- ISO/IEC 27001 Lead Implementer
- ISO/IEC 27005 Risk Manager
Processus de certification ISO 27001 2022
Une nouvelle version de la norme ISO 27001 version 2022 a été mise en ligne en octobre, ouvrant un cycle de ré-certification pour de nombreuses entreprises dans le monde, Globalement, cette nouvelle version allège les exigences normatives mais resserre les exigences de performance.
Une fois qu’une entreprise a terminé la mise en œuvre, le processus de certification peut commencer – voici les trois principales étapes de la certification :
Audit de l’étape 1
Revue des documents. Lors de cet audit, l’auditeur recherchera le champ d’application documenté, la politique et les objectifs du SMSI, la description de la méthodologie pour l’analyse des es risques, le rapport d’évaluation des risques, la déclaration d’applicabilité et le plan de traitement des risques, ainsi que les procédures de contrôle des documents, les actions correctives et préventives et l’audit interne.
Audit de l’étape 2
Audit principal. Cette étape suit généralement de quelques semaines l’audit de l’étape 1. L’auditeur vérifiera si votre SMSI s’est réellement matérialisé dans votre entreprise ou s’il n’existe que sur le papier. Il le vérifiera en observant et en interrogeant vos employés, mais surtout en contrôlant vos dossiers. Vous devez donc vous assurer que vous respectez réellement tout ce que vous avez écrit dans vos politiques et procédures de sécurité. S’il n’y a pas de non-conformités majeures, l’organisme de certification délivrera le certificat à votre entreprise.
Si l’auditeur a trouvé une non-conformité majeure, il vous donnera une date limite à laquelle la non-conformité doit être résolue (généralement 90 jours).
Audit d’étape 3
Audit de surveillance. Le certificat délivré par l’organisme de certification sera valable pendant trois ans. Pendant cette période, l’organisme de certification vérifiera si votre SMSI est maintenu correctement, d’où les audits de surveillance. Les audits de surveillance sont très similaires aux audits principaux, mais ils sont beaucoup plus courts – environ 30% de la durée de l’audit principal. Il y aura au moins un audit de surveillance par an.
Qui délivre la certification iso 27001 ?
ISO 27001 certification est délivrée par des organismes de certification indépendants et accrédités dans le monde entier.
Le Forum international de l’accréditation (IAF) et l’Organisation internationale de normalisation sont chargés de définir les exigences nécessaires pour délivrer la certification.
Les organisations aspirantes doivent contacter un organisme de certification local ou international afin de recevoir leur ISO 27001 certification.
Devenez Lead Auditor ISO 27001 PECB pour garantir la sécurité informatique – Passer la certification En ligne
Tout système de management repose sur l’audit. Par conséquent, il s’accompagne d’obligations importantes, d’obstacles difficiles et de problèmes complexes. Les formation en ligne ISO 27001 Lead Auditor de PECB prépare les participants à la procédure de qualification.
Pour y participer, vous devez avoir des compétences nécessaires et de l’expérience dans l’un des domaines suivants :
Professionnels de la gestion de la sécurité de l’information
Managers, professionnels et consultants en gestion de la sécurité de l’information
Consultants experts en système de management de la sécurité de l’information (ISMS)
Il est recommandé de posséder la certification ISO/IEC 27001 Foundation du PECB ou d’avoir une compréhension de base des normes ISO/IEC 27001.
Combien d’entreprises sont certifiées ISO ?
Il n’existe pas de liste centrale officielle des organisations certifiées ISO 27001. Les informations concernant les entreprises certifiées doivent donc être recueillies directement auprès des entreprises certifiées ISO 27001.
Le site Web ISO.org donne un aperçu général des organisations certifiées, classées par secteur, pays, nombre de sites, etc.
