ISO/IEC 27001 — Système de management de la sécurité de l’information
Un audit ISO/IEC 27001 s'ouvre presque toujours sur le même document : la Déclaration d'applicabilité. L'auditeur y suit quelles mesures de l'Annexe A sont appliquées, pourquoi certaines sont exclues et où se trouve la preuve de chaque mesure appliquée ; dès que la déclaration et la pratique divergent, tout le reste de l'audit suit cet écart. Notre préparation fixe le domaine d'application et l'inventaire des actifs, relie l'appréciation et le plan de traitement des risques aux mesures, et produit la Déclaration d'applicabilité comme résultat de cette chaîne et non comme un formulaire rempli à la fin. Les mesures introduites par la révision 2022, ainsi que l'assurance fournisseurs et services cloud, sont les points où les preuves manquent le plus souvent.
Une préparation portée par la seule DSI peine en audit : habilitations d'accès, contrats fournisseurs et déclaration d'incidents ne produisent aucune preuve s'ils ne sont pas construits avec les RH, les achats et le juridique.
Obtenez un devis-
Détermination du domaine d’application (§ 4.3) et inventaire des actifs (A.5.9)
-
Appréciation des risques et plan de traitement (§ 6.1.2, 6.1.3)
-
Déclaration d’applicabilité (SoA) et justifications
-
Mise en œuvre des mesures de l’Annexe A et preuves associées
-
Relations fournisseurs et assurance des services cloud
-
Gestion des incidents de sécurité et continuité d’activité
Demandez une proposition pour préparer votre audit
Nous définissons le périmètre, le plan de travail et la proposition selon votre calendrier d’audit et vos besoins.