ISO 27001
La norme internationale des systèmes de management de la sécurité de l'information, qui certifie qu'une organisation gère ses risques de sécurité de façon structurée et auditée.
En bref
- Elle certifie le système de management, pas un produit : la façon dont les risques sont identifiés, traités et revus.
- La certification est délivrée par un organisme accrédité après un audit externe, avec des audits de surveillance chaque année.
- On la compare souvent à SOC 2, qui est un rapport plutôt qu'un certificat.
ISO/IEC 27001 est une norme internationale qui fixe les exigences d'un système de management de la sécurité de l'information, ou SMSI. La version actuelle date de 2022. Une organisation qui la respecte peut être certifiée par un organisme de certification accrédité.
Ce qu'elle exige
- Périmètre : définir les parties de l'organisation, les systèmes et les lieux couverts par le SMSI.
- Appréciation des risques : identifier les risques pour la sécurité de l'information et décider du traitement de chacun.
- Mesures : choisir les mesures appropriées ; l'annexe A en propose 93, regroupées en thèmes organisationnels, humains, physiques et technologiques.
- Déclaration d'applicabilité : documenter les mesures retenues et pourquoi.
- Amélioration continue : audits internes, revues de direction et actions correctives.
Le cycle de certification
L'audit de certification initial est suivi d'audits de surveillance chacune des deux années suivantes, puis d'un audit de renouvellement la troisième année. Le certificat précise le périmètre : il vaut la peine de vérifier que les services dont vous dépendez sont réellement couverts.
ISO 27001 et SOC 2
Les deux servent à montrer aux clients qu'un fournisseur prend la sécurité au sérieux. ISO 27001 aboutit à un certificat reconnu mondialement. SOC 2 aboutit à un rapport d'audit détaillé, plus courant en Amérique du Nord, qui décrit les contrôles et leur fonctionnement. Beaucoup d'éditeurs de logiciels détiennent les deux.
Exemple chiffré
Vérifier le certificat d'un fournisseur
Une équipe des finances qui évalue un fournisseur de traitement de reçus demande son certificat ISO 27001. Le certificat est valide, délivré par un organisme accrédité, et son périmètre couvre la plateforme de production et les activités de soutien qui traiteront les données de l'équipe. Elle le verse au dossier d'évaluation du risque et note la date d'échéance pour le renouvellement.