Exigence 27001 de la norme ISO 4.3 – Détermination de la portée du SMSI

Comment définir la portée du SMSI

L'activité incluse dans le champ d'application sera beaucoup plus logique à considérer une fois que vous aurez terminé le travail pour 4.1 et 4.2. Vous prendrez probablement en compte l'organisation, les filiales, les divisions, les départements, les produits, les services, les emplacements physiques, les travailleurs mobiles, les zones géographiques, les systèmes et les processus pour votre périmètre, car le travail d'assurance de l'information et d'évaluation des risques suivra les parties de votre organisation qui ont besoin. être protégé.

N’oubliez pas de réfléchir également à ce à quoi les puissantes parties prenantes intéressées s’attendront également. Si vous envisagiez de laisser une partie de l’organisation hors du champ d’application, quel serait l’impact pour ces puissantes parties intéressées ? Auriez-vous également à gérer plusieurs systèmes et finir par confondre le personnel quant à ce qui était inclus ou non dans sa façon de travailler ?

Quelles parties de l’entreprise ont besoin de créer, d’accéder ou de traiter les actifs informationnels que vous considérez comme précieux ? Celles-ci devraient presque certainement être incluses dans le champ d'application si les pressions étaient exercées de l'extérieur par les clients pour satisfaire leurs besoins en matière d'assurance de l'information. Par exemple, vous pourriez vous concentrer sur le développement et la livraison de votre produit, mais vous devrez également vous intéresser aux personnes, aux processus, etc. Pensez également à ce que vous pouvez et ne pouvez pas contrôler ou influencer.

Cela peut prendre quelques minutes d'efforts pour accomplir ce travail ou peut prendre beaucoup plus de temps dans une entreprise plus grande où il peut être politiquement et pratiquement difficile de déterminer une portée contrôlable. Les organismes de certification ISO comme l'UKAS s'orientent également davantage vers une portée « globale de l'organisation », et les clients puissants s'y attendent généralement également.

Comment documenter « hors champ d'application »

Vous devez également noter attentivement les zones « hors de portée » du SMSI, ainsi que les interfaces et dépendances clés entre les activités réalisées par l'organisation et celles réalisées par d'autres organisations. À un niveau simpliste, imaginons que vous êtes un développeur de logiciels et que vous comptez sur l'externalisation du centre de données pour l'hébergement du service auprès des clients.

Vous préciseriez probablement que la portée de votre 4.3 est celle des personnes et du logiciel lui-même au sein de votre organisation, mais cela placerait les limites et les activités du centre de données hors de votre portée contrôlée - après tout, vous vous attendriez à ce qu'ils maintiennent également leur propre SMSI de confiance.

Il en va de même pour la propriété physique : si vous dépendez d'un propriétaire pour certains travaux (par exemple, chargement, barrières et contrôle de la réception), cela pourrait former une frontière où la sécurité physique de l'emplacement elle-même échappe à votre contrôle et vous travaillez votre activité ISMS au sein de cette propriété. Cependant, vous devrez toujours gérer le fournisseur dans le cadre de vos politiques fournisseurs décrites à l'annexe A 15 et vous assurer que ses pratiques répondent au moins aux exigences de votre SMSI et de votre appétit pour le risque, mais ce sera pour une autre fois.

Autres points à considérer

• Sur la base de ce qui précède, si vous laissiez certaines parties hors du champ d’application, quel serait l’impact sur le personnel ? Est-ce que certains de leurs travaux seraient dans le champ d'application et d'autres hors du champ d'application ? Si tel est le cas, existe-t-il des risques et des complications supplémentaires qui pourraient confondre les pratiques (par exemple), ne pas protéger le travail et entraîner davantage de menaces en suivant deux approches différentes ?
• Existe-t-il des possibilités de décrire les choses différemment, par exemple en traitant certains bureaux satellites comme des travailleurs à distance/à distance, et non comme des locaux ou des emplacements physiques ?
• Simplifier ou limiter le champ d’application dès le début pourrait avoir du sens si vous parvenez à segmenter efficacement les limites de l’information et à démontrer que les risques sont pris en compte. Cependant, si vous avez pour objectif d'ajouter quelque chose plus tard, gardez à l'esprit qu'un changement important dans la portée peut nécessiter un autre audit, selon quoi, quand, comment et s'il est motivé par des objectifs internes ou des pressions externes.