Sécurité de l'information
ISO 27001
ISO/IEC 27001
ISO/IEC 27001 est la norme mondiale pour un système de management de la sécurité de l'information (SMSI). Nous vous accompagnons du premier écart jusqu'à un certificat délivré par un organisme accrédité.
Ce qu'est ISO 27001
ISO/IEC 27001 est la norme internationale pour établir, exploiter et améliorer en continu un système de management de la sécurité de l'information. Elle exige que vous évaluiez vos risques, que vous appliquiez un ensemble de mesures pour les traiter et que vous pilotiez l'ensemble comme un système géré, doté d'un leadership, d'objectifs, d'un audit interne et d'une revue de direction.
L'ensemble des mesures de l'Annexe A vous fournit une liste de référence dans laquelle choisir en fonction de votre appréciation des risques, les détails étant exposés dans ISO/IEC 27002. La certification est accordée par un organisme de certification indépendant et accrédité, et non par un cabinet de conseil, à l'issue d'un audit en deux étapes.
La structure de la norme
Article 4 · Contexte de l'organisme
Vous définissez le périmètre du SMSI ainsi que les enjeux internes et externes et les parties intéressées qui le façonnent.
Article 5 · Leadership
La direction assume la politique de sécurité de l'information et engage les ressources et la responsabilité dont le système a besoin.
Article 6 · Planification
Vous menez l'appréciation des risques, décidez comment traiter chaque risque, fixez des objectifs et produisez la déclaration d'applicabilité.
Article 7 · Support
Vous fournissez les personnes, la compétence, la sensibilisation, la communication et les informations documentées qui font fonctionner le système.
Article 8 · Fonctionnement
Vous mettez en œuvre dans la pratique l'appréciation des risques et le plan de traitement des risques et maîtrisez les changements qui les affectent.
Articles 9 et 10 · Évaluation et amélioration
Vous surveillez, mesurez, auditez en interne et passez en revue le système, puis agissez sur les constats et les non-conformités pour l'améliorer.
Annexe A · Mesures de référence
L'édition 2022 répertorie 93 mesures regroupées en quatre thèmes, organisationnel, personnel, physique et technologique, parmi lesquelles vous choisissez en fonction de votre risque.
Qui en a besoin
- Les organisations dont les clients ou les régulateurs attendent une norme de sécurité reconnue et auditable
- Les entreprises vendant à l'international où ISO 27001 est le langage commun de l'assurance en matière de sécurité
- Les équipes qui souhaitent un système de management durable plutôt qu'un rapport ponctuel
Ce que vous obtenez
- Un SMSI délimité avec appréciation des risques et plan de traitement des risques
- Un jeu de documentation comprenant la déclaration d'applicabilité
- Des preuves d'audit interne, de test d'intrusion et de revue de direction
- La préparation et l'accompagnement pour les audits de certification d'étape 1 et d'étape 2
Les délais dépendent de votre périmètre et du niveau de maturité déjà atteint par vos mesures. Nous le cadrons honnêtement dès le départ plutôt que de promettre un nombre fixe de semaines.
Version actuelle
L'édition actuelle est ISO/IEC 27001:2022, qui a réorganisé l'Annexe A en quatre thèmes et 93 mesures décrits ci-dessus. La transition depuis l'édition 2013 est désormais close, de sorte que les certificats sont délivrés et maintenus par rapport au texte de 2022. Les orientations de soutien d'ISO/IEC 27002:2022 ont été mises à jour en parallèle et fournissent le détail de mise en œuvre derrière chaque mesure de l'Annexe A. Si votre SMSI a été construit sur l'édition antérieure, le passage relève davantage d'un exercice de correspondance et de recadrage que d'une reconstruction, et nous pouvons vous aider à le mener à bien.
Ce que cela coûte
Deux coûts coexistent ici. tr3labs facture des honoraires de conseil et de mise en œuvre délimités, chiffrés à l'avance une fois que nous comprenons votre taille, votre périmètre et votre point de départ. Le certificat lui-même est délivré par un organisme de certification indépendant et accrédité, qui facture séparément selon son propre barème pour les audits d'étape 1 et d'étape 2 ainsi que pour la surveillance annuelle qui suit ; tr3labs n'est jamais cet organisme de certification ni cet auditeur. Nous préférons cadrer le travail avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Périmètre et analyse des écarts
Nous définissons le périmètre du SMSI, menons l'appréciation des risques et mesurons votre état actuel par rapport à la norme et à l'Annexe A, afin que vous sachiez exactement ce qui manque.
Construire le système de management
Nous vous aidons à produire la documentation requise, la déclaration d'applicabilité et le plan de traitement des risques, et à mettre en œuvre les politiques et les mesures techniques que la norme attend.
Tester et prouver
Nous réalisons des audits internes, des tests d'intrusion et une revue de direction afin que le système soit opérationnel et documenté avant l'arrivée d'un auditeur externe.
Accompagnement à la certification
Nous vous préparons aux audits d'étape 1 et d'étape 2 par l'organisme de certification accrédité que vous aurez choisi et vous accompagnons jusqu'au certificat et tout au long du cycle de surveillance qui suit.
ISO/IEC 27001 vs SOC 2
Les deux prouvent que vous prenez la sécurité au sérieux, si bien que les acheteurs les traitent souvent comme interchangeables alors qu'ils répondent à des publics différents de manières différentes.
| ISO/IEC 27001 | SOC 2 | |
|---|---|---|
| Idée centrale | Un système de management de la sécurité de l'information certifié | Un rapport d'attestation sur des mesures par rapport aux Trust Services Criteria |
| Couvre | L'ensemble du SMSI et les mesures de l'Annexe A retenues | Les critères pertinents pour le service que vous fournissez |
| Qui le demande | Une base d'acheteurs mondiale et internationale | Principalement les acheteurs d'entreprise américains |
| Modèle d'audit | Audit en deux étapes par un organisme de certification accrédité | Examen par un cabinet d'experts-comptables (CPA) agréé |
| Ce que vous détenez | Un certificat sur un cycle de trois ans avec surveillance | Un rapport à un instant donné ou sur une période donnée que vous renouvelez |
| Souvent détenu avec | SOC 2, NIST CSF, ISO 42001 | ISO/IEC 27001 pour une portée internationale |
FAQ ISO 27001
- Qui délivre le certificat ISO 27001 ?
- Un organisme de certification indépendant, accrédité pour délivrer ISO/IEC 27001, délivre le certificat à l'issue d'un audit en deux étapes. tr3labs vous prépare, construit le SMSI et les preuves, et vous accompagne tout au long de l'audit ; nous ne sommes pas un organisme de certification.
- Quelle est la différence entre ISO 27001 et SOC 2 ?
- ISO 27001 certifie un système de management par rapport à une norme internationale et convient à un public mondial. SOC 2 est un rapport d'attestation d'un expert-comptable (CPA) par rapport aux Trust Services Criteria et constitue l'attente par défaut des acheteurs d'entreprise américains. De nombreuses organisations poursuivent les deux et réutilisent une grande partie des mêmes preuves.
- Le certificat est-il valable pour toujours ?
- Non. Un certificat ISO 27001 suit un cycle de trois ans avec des audits de surveillance annuels et un audit de recertification à la fin. Nous vous aidons à rester prêt tout au long du cycle, et pas seulement pour le premier audit.
Les services qui vous y amènent
Normes associées
À lire aussi
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture
Qu'est-ce que l'ISO 27001 ? Un guide en langage clair sur la norme de sécurité de l'information
Une introduction claire et sans jargon à l'ISO 27001 destinée aux fondateurs et aux équipes techniques : ce qu'est un ISMS, les clauses 4 à 10, les contrôles de l'Annex A de l'édition 2022, le fonctionnement de la certification en deux étapes et comment s'y préparer.
8 min de lecture
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture