CevroCertification ISO 27001 pour les entreprises qui vendent à l'international
ISO/IEC 27001 est la norme internationale du système de management de la sécurité de l'information (SMSI). Contrairement à SOC 2, elle débouche sur un certificat délivré par un organisme de certification accrédité, ce qui lui donne du poids dans les achats hors des États-Unis.
Ce qu'exige la norme
Vous définissez le périmètre de votre SMSI, évaluez les risques de sécurité de l'information, choisissez et mettez en œuvre des contrôles pour les traiter, puis vous vous améliorez en continu par des audits internes et une revue de direction. Le système de management compte autant que les contrôles pris isolément.
Les contrôles de l'annexe A
L'édition 2022 de l'annexe A comprend 93 contrôles répartis en quatre thèmes. Vous documentez ceux qui s'appliquent à vous, et pourquoi, dans une déclaration d'applicabilité.
- Contrôles organisationnels
- Contrôles liés aux personnes
- Contrôles physiques
- Contrôles technologiques
Comment fonctionne la certification
Un organisme de certification audite en deux étapes : une revue documentaire, puis une évaluation de la mise en œuvre. Les certificats sont valables trois ans avec des audits de surveillance annuels. Les organisations certifiées selon l'édition 2013 devaient passer à l'édition 2022 avant le 31 octobre 2025.
Préparation concrète
- Fixez un périmètre réaliste avant de rattacher les contrôles
- Tenez un registre des risques vivant, avec des responsables et des échéances
- Collectez les preuves en continu plutôt qu'avant l'audit
- Réalisez un audit interne et une revue de direction avant l'audit de certification
Comment Cevro vous aide
- Cevro exécute des contrôles automatisés sur 11 systèmes connectés (cloud, code source, identités, équipes et paiements) et rattache chaque résultat à ISO 27001 et aux autres référentiels que vous suivez.
- Chaque contrôle en échec s'accompagne d'une correction précise et d'un moyen de le revérifier : la liste des écarts devient une liste de tâches.
- Les preuves collectées pour un référentiel sont réutilisées pour les autres, et ce qu'un scan ne peut pas produire va dans le coffre de preuves.
- Une page de confiance en direct et des preuves exportables vous permettent de répondre aux clients et aux auditeurs sans repartir d'un tableur vide.
Questions fréquentes
ISO 27001 est-elle exigée par la loi ?
Non, elle est volontaire. Des clients, des régulateurs ou des appels d'offres peuvent l'exiger, notamment en Europe, au Moyen-Orient et en Asie.
ISO 27001 et SOC 2 peuvent-ils partager des preuves ?
En grande partie, oui. Les preuves sur le contrôle d'accès, la journalisation, la gestion des changements et l'évaluation des risques se recoupent fortement ; c'est pourquoi rattacher un même ensemble de preuves aux deux référentiels fait gagner du temps.