Vous mettez en œuvre la norme ISO 27001 et vous ne savez pas par où commencer ?
Alors, quelles sont les voies possibles pour mettre en œuvre votre SMSI ISO 27001 ?
Une méthode courante consiste à réaliser une « analyse des écarts en matière de gestion de la sécurité de l'information », qui vous coûtera beaucoup de temps et d'argent. Or, vous n'obtiendrez qu'une analyse des écarts (probablement présentée sous forme de tableur difficile à consulter et à gérer), sans progresser vers la mise en place de votre système de gestion de la sécurité de l'information (SGSI) . Il existe une meilleure solution.
Une autre approche courante consiste à contourner l'analyse des écarts et à passer directement à la mise en œuvre. Certaines organisations commencent par créer l'ensemble des 93 contrôles de l'annexe A , en instaurant d'abord des politiques, des processus et des procédures. Cependant, cette approche est également sous-optimale et peut s'avérer chronophage, surtout si l'activité ne présente aucun risque où ces contrôles seraient applicables. Il s'agit d'une approche « ascendante », et nous recommandons toujours de la faire précéder des exigences fondamentales « descendantes ».
La norme ISO vous guide efficacement dans le processus descendant si vous commencez par les exigences fondamentales de l'ISO 27001. Cependant, ces exigences (clauses de management) couvrent des opérations allant au-delà de la simple mise en œuvre et ont tendance à focaliser l'attention sur les activités post-certification (telles que le suivi, l'audit interne , la revue et l'amélioration) avant même le démarrage de votre SMSI. Cette approche est certes préférable, mais elle n'est pas optimale si vous êtes pressé ou si vous recherchez la solution la plus rapide. Il existe une méthode plus efficace pour garantir des résultats , qui tire le meilleur parti des pratiques courantes et évite les écueils d'une analyse des écarts. Nous l'appelons la Méthode des Résultats Garantis (MRG).
Visez le pragmatisme et non la perfection avec votre premier SMSI
Souvent, mais pas toujours, l'obtention de la norme ISO 27001 est motivée par des facteurs externes, tels qu'une exigence d'appel d'offres ou des pressions clients liées à une évolution de la tolérance au risque au sein de la chaîne d'approvisionnement (par exemple, en raison de la cybercriminalité ou de réglementations comme le RGPD ). Ces facteurs externes impliquent généralement des délais très courts ; par conséquent, la recherche de la perfection est souvent contre-productive lorsqu'il s'agit d'obtenir la certification ISO 27001 dans des délais réduits, surtout après une certification indépendante.
La norme ISO 27001, à l'instar des autres normes de management ISO, est axée sur l'amélioration continue et repose fondamentalement sur la gestion des risques. Adopter une approche pragmatique du risque d'entreprise (en supposant que cela soit également acceptable pour les clients) et démontrer les améliorations apportées au système de management sont des pratiques appréciées des auditeurs. Cela témoigne également de la maîtrise et de la conscience qu'a l'organisation de ses risques . Ainsi, la méthode ARM privilégie le pragmatisme à la perfection et permet de s'appuyer facilement sur les acquis. Il s'agit ensuite de planifier les améliorations au fil du temps, en les priorisant selon une perspective de gestion des risques.
Si vos efforts actuels ne sont pas suffisants, la plateforme ISMS.online préconfigurée , la documentation pratique incluse et les services optionnels de coaching virtuel vous aideront à obtenir des résultats bien plus rapidement et à moindre coût que toute autre solution. Le coaching virtuel inclut également les étapes clés du succès selon la méthode ARM, résumées ci-dessous.
Nous facilitons l’atteinte de la norme ISO 27001
Obtenez une longueur d'avance de 77 %
Notre ISMS est préconfiguré avec des outils, des cadres et une documentation que vous pouvez adopter, adapter ou ajouter. Simple.
Votre chemin vers le succès
Notre méthode de résultats assurés est conçue pour vous obtenir une certification dès votre première tentative. Taux de réussite de 100%.
Regarder et apprendre
Oubliez les formations longues et coûteuses. Notre série de vidéos Virtual Coach est disponible 24h/7 et XNUMXj/XNUMX pour vous guider.
Comment suivre ARM pour une réussite ISO 27001 rapide et efficace
Étape 1 : Décrire l'environnement actuel de sécurité des informations de l'organisation
R : Poser les bases d'une gestion réussie de la sécurité de l'information
Cela signifie que vous comprenez votre organisation et l'importance de la sécurité de l'information pour celle-ci. Cela inclut la prise en compte des parties prenantes intéressées par votre gestion de la sécurité de l'information, des actifs informationnels que vous devez protéger, des risques auxquels vous êtes confrontés et de votre politique de sécurité de l'information de haut niveau.
Concrètement, cela implique de traiter les articles 4, 5 et 6 de la norme ISO 27001, ainsi que l'annexe A 8, qui porte sur la classification des informations et l'inventaire des actifs informationnels. Si vous ne pouvez pas encore le faire, la plateforme ISMS.online propose de nombreux contenus et outils pour vous aider à décrire rapidement ces aspects. Elle offre également une base de données des risques de sécurité de l'information les plus courants , des liens vers les contrôles pertinents de l'annexe A et, surtout, vous assure d'adopter une approche de mise en œuvre adaptée à votre culture d'entreprise, à votre tolérance au risque et à vos méthodes de travail.
B : Décrire les politiques et contrôles actuels en matière de sécurité des informations
Vous disposez déjà de politiques et de contrôles, même s'ils sont implicites plutôt que formalisés. Ceux-ci reposent probablement sur une analyse des risques, des « meilleures pratiques » perçues, l'expertise de vos employés ou tout simplement sur le bon sens pour protéger vos informations sensibles contre les personnes malveillantes. Il est possible qu'ils n'aient pas fait l'objet d'une évaluation formelle des risques ni d'une démarche documentée. Par conséquent, pour cette étape, il vous suffit de décrire vos pratiques actuelles, en les reliant aux politiques et contrôles de la norme ( voir annexe A), puis de faire le lien avec les actifs informationnels et les principaux travaux d'analyse des risques que vous réaliserez lors de la mise en place de la nouvelle approche.
Si vous ne parvenez pas à décrire clairement votre fonctionnement actuel dans les domaines de la sécurité de l'information concernés , en vous basant sur votre analyse des risques, vous ne pourrez pas non plus le démontrer lors de l'audit de phase 2. L'auditeur externe sera alors contraint d'émettre des non-conformités et des avis de défaillance potentielle. C'est un problème fréquent pour les organisations qui se contentent d'acheter des kits de documents de politique de sécurité de l'information, de les stocker sur un lecteur partagé et de penser que cela suffit ; or, ce n'est pas le cas. La documentation exploitable, le contenu et les outils prédéfinis de la plateforme ISMS.online pour les contrôles de l'annexe A vous guideront dans votre réflexion. Ils vous offrent également la possibilité de les adopter, de les adapter ou de les enrichir, ce qui vous fera gagner un temps précieux et, surtout, vous permettra de garantir leur adéquation à votre entreprise et leur mise en œuvre concrète.
C : Adopter ou adapter les exigences fondamentales restantes de la norme ISO 27001
Vous pouvez maintenant revenir en arrière et décrire comment vous aborderez les exigences fondamentales restantes de la norme, qui portent davantage sur l'administration opérationnelle et l'amélioration continue du système de management de la sécurité de l'information (SMSI). Il s'agit notamment de décrire comment vous traiterez certains aspects administratifs, certes complexes mais essentiels, du SMSI, et de clarifier le rôle et les responsabilités qui le sous-tendent. Parmi les aspects administratifs potentiellement difficiles figurent la documentation de la déclaration d'applicabilité pour la clause 6.1.3 de la norme ISO 27001, ainsi que les processus permettant d' atteindre les objectifs de sécurité de l'information définis à la clause 6 des exigences fondamentales. Cette partie aborde également la gestion opérationnelle, les audits internes , les revues de direction, les actions correctives, le traitement des non-conformités et les améliorations mises en œuvre.
Comme les autres parties de la norme ISO 27001, ISMS.online a déjà répondu à une grande partie des exigences ici, ce qui signifie une approche relativement simple, avec des rapports automatisés et des espaces de travail pratiques préconfigurés pour démontrer facilement ce fonctionnement efficace. Cela contribue grandement à vous aider à atteindre cet ensemble final d’exigences dans un délai aussi court que possible.
Étape 2 : Mettez en ligne le SMSI
Plus tôt votre système de gestion de la sécurité de l'information (SGSI) sera opérationnel, plus vite il deviendra une pratique courante et démontrera votre engagement en matière de sécurité de l'information. Il est probable que votre SGSI se mette en place progressivement, avec l'introduction de processus , de contrôles et de politiques tout au long de la période de mise en œuvre. Toutefois, il est judicieux de fixer une date à laquelle le SGSI sera considéré comme pleinement opérationnel.
Les avantages sont:
- Un « point de départ » clairement défini avant lequel les auditeurs ne devraient pas considérer portée de l’audit du SMSI et ne doit pas documenter constats de non-conformité antérieurs à cette date
- Il se concentre sur les parties responsables au sein de l'organisation à partir du moment où elles sont censées commencer à fournir des preuves des contrôles dans leur domaine de responsabilité.
- Tout ce qui est antérieur à cette date peut être référencé lors d'un audit par vous comme une « adoption anticipée »
Il n'est pas nécessaire d'être « parfait » à la date de mise en service, mais cela vaut la peine de sélectionner une date à laquelle la majorité des processus, politiques et contrôles sont prêts à fonctionner. Bien entendu, des améliorations peuvent encore être apportées entre cette date et l’audit de stade 1 ou de stade 2.
Idéalement, la date devrait être au moins un mois avant l'audit de phase 1 (qui a généralement lieu un mois avant l'audit de phase 2). Ceci afin de garantir qu'au moment de l'audit de phase 2 , au moins deux mois de preuves aient été accumulées.
Convenez et documentez la date officielle de « lancement » du SMSI. Si vous utilisez ISMS.online, nous vous suggérons de capturer et d'enregistrer cela dans votre espace ISMS Board et de l'annoncer également à votre personnel, par exemple via vos communications de groupe ISMS.online et de le référencer pour que l'auditeur puisse le voir si cela est demandé.
Étape 3 : Planifier les améliorations en matière de sécurité des informations
Au cours du travail visant à décrire votre mise en œuvre actuelle de la sécurité de l'information, il est très probable que vous aurez identifié les améliorations dont vous avez besoin ou souhaitez apporter. Il peut s'agir de réduire davantage vos risques à un niveau acceptable, d'améliorer l'efficacité opérationnelle ou même de profiter de nouvelles opportunités. Plutôt que de ralentir pour vous améliorer à ce moment-là, vous auriez pris des notes sur ces domaines à améliorer et il est maintenant temps de planifier ces améliorations en matière de sécurité des informations. Cela montrera que vous contrôlez le SMSI et démontrera à votre haute direction ainsi qu'à un auditeur externe que vous vous améliorez continuellement.
Dans ISMS.online, il encourage l'enregistrement de ces améliorations dans le « Piste des actions correctives et des améliorations » (ou, si c'est très simple, de les ajouter en tant que tâches dans le plan de traitement des risques pertinent.) Pour démontrer l'efficacité du contrôle et de la planification, vous devez maintenant examiner toutes les tâches. les éléments et attribuer des propriétaires, les hiérarchiser pour l'action, en fixant des dates cibles pour l'achèvement.
Lors de l’exercice de priorisation, les éléments suivants doivent être pris en compte :
- Dans quelle mesure la mise en œuvre de l'amélioration sera-t-elle facile
- Dans quelle mesure la réduction des risques ou d’autres avantages seront obtenus
- Si la mise en œuvre de l'amélioration peut être achevée après la certification (le propriétaire du risque étant heureux d'accepter le niveau de risque supérieur à l'objectif jusqu'à ce que la mise en œuvre soit terminée)
- Si la mise en œuvre doit être terminée avant l'audit ISO 27001 étape 1 (améliorations de la description des contrôles)
- Si la mise en œuvre doit être terminée avant l'audit ISO 27001 Étape 2 (améliorations de la mise en œuvre et du fonctionnement des contrôles)
Lorsque des améliorations identifiées sont nécessaires avant l’audit de phase 1 ou 2, vous devez être sûr que cela peut être réalisé avant de réserver l’audit concerné. (Les audits de l’étape 1 et de l’étape 2 sont normalement espacés d’environ 1 mois).
Après avoir terminé l'étape 3, vous serez en très bonne position pour réussir l'audit de l'étape 1.
Étape 4 : Audits ISO 27001 Étape 1 et Étape 2
Qu'est-ce que l'audit de phase 1 pour la norme ISO 27001 ?
Après avoir terminé les étapes 1 à 3, vous serez dans un endroit idéal pour l'audit de première étape. L'auditeur de l'organisme de certification voudra consulter la documentation du système de gestion de la sécurité de l'information et comprendre que vous avez satisfait aux exigences, du moins en théorie ! Cette étape consiste davantage en une revue documentaire du SMSI avec l'auditeur, couvrant les domaines obligatoires et garantissant que l'esprit de la norme est appliqué. Les organismes de certification avant-gardistes commencent à le faire à distance avec des plateformes, comme ISMS.online, ce qui réduit les coûts et peut également accélérer le processus. Le résultat de cet exercice est une recommandation concernant la préparation à l’audit de phase 1 (éventuellement avec des observations à réévaluer lors de l’audit de phase 2) ou la nécessité de traiter toute non-conformité identifiée avant que de nouveaux progrès puissent se produire.
Qu'est-ce que l'audit de phase 2 pour la norme ISO 27001 ?
Après avoir réalisé l'audit de phase 1, l'auditeur possède une compréhension de base de votre organisation, de sa posture en matière de sécurité de l'information et de son approche de la gestion de la sécurité de l'information . Il souhaitera maintenant vérifier que vous mettez réellement en œuvre les mesures annoncées. De plus, il s'attendra à ce que vous évaluiez l'efficacité de votre système de management de la sécurité de l'information (SMSI) et que vous gériez son amélioration continue. L'objectif de l'audit de phase 2 est de prouver que votre SMSI fonctionne comme décrit, conformément aux exigences de la norme, et qu'il offre un niveau de sécurité de l'information jugé adéquat et proportionné aux risques auxquels votre organisation est exposée. La phase 1 est relativement simple, mais la phase 2 vise à convaincre l'auditeur que vous démontrez la mise en œuvre concrète et opérationnelle de votre SMSI dans le périmètre défini.
En guise de dernière vérification croisée avant l’audit de phase 2, posez-vous ces questions simples :
- Avons-nous clôturé des conclusions critiques de l’audit de phase 1 ?
- Pouvons-nous prouver le fonctionnement de tous les processus SMSI requis ?
- Les objectifs sont-ils mesurés et atteints ?
- Le registre des risques est-il tenu à jour ?
- Is sensibilisation et formation à la sécurité déployé auprès des personnes concernées ?
- Emplacements lacunes en matière de compétences être fermé ?
- Des audits internes sont-ils menés ?
- Sont formels Avis sur la gestion du SMSI en cours ?
- Les actions correctives et les améliorations sont-elles enregistrées et suivies ?
- Pouvons-nous prouver le fonctionnement de tous les contrôles et processus pertinents de sécurité de l’information ?
- Pouvons-nous montrer que lorsque des incidents sont identifiés, ils sont enregistrés, suivis, gérés et mis en œuvre au fil du temps ?
- Pouvons-nous montrer que nous sommes satisfaits de notre profil de risque actuel ? C'est-à-dire:
- Un risque est tolérable et aucune autre action n’est nécessaire pour le moment.
- Un risque est-il actuellement tolérable si l'on considère les améliorations identifiées qui ont été enregistrées et sont mises en œuvre sur un délai défini ?
Si vous pouvez répondre « oui » à ces questions, alors vous êtes probablement prêt pour l’audit de phase 2.
L'auditeur approfondira son enquête, puis testera votre approche par échantillonnage et sélectionnera très probablement des membres du personnel afin de vérifier qu'ils sont formés, sensibilisés et conformes. Il est essentiel que votre personnel et les autres personnes concernées (par exemple, les fournisseurs) soient en mesure de démontrer qu'ils savent où trouver et appliquent vos politiques et procédures si l'auditeur le leur demande. ISMS.online propose des kits de démonstration de conformité et des groupes de communication SMSI pour sensibiliser le personnel et les principaux fournisseurs à la sécurité de l'information. L'échantillonnage des preuves peut comprendre :
- Inspections physiques (par exemple, visite du site/du bureau)
- Entretiens avec le personnel responsable du SMSI ou de la sécurité de l'information
- Entretiens avec le personnel général (par exemple pour vérifier la sensibilisation)
- Inspection des journaux et enregistrements (de tous types)
- Revue de la mise en œuvre des contrôles techniques (ex : fichiers de configuration)
Si votre champ d'application englobe plusieurs sites, l'organisme de certification souhaitera en auditer un certain nombre, en particulier les sites dotés de fonctionnalités clés. Ils vous fourniront des détails exacts lorsque vous leur demanderez votre devis.
Il y a deux résultats de l’audit de phase 2 :
- Non recommandé pour la certification – Ceci est très inhabituel dans la mesure où tout problème majeur aurait dû être identifié lors de l’audit de première étape. Cela arrive si actions pour remédier aux non-conformités de l’audit de phase 1 n'ont pas été prises. Très occasionnellement, une non-conformité majeure non découverte sera constatée. Si cela se produit, l’organisme de certification arrêtera presque certainement l’audit immédiatement et détaillera les étapes nécessaires pour résoudre le problème. Dans le pire des cas, une nouvelle exécution de l’audit de phase 2 peut être nécessaire.
- Recommandé pour la certification – Cela signifie que sous réserve d'un examen par les pairs de l'audit au sein de l'organisme de certification et d'un éventuel examen par l'organisme d'accréditation (par exemple UKAS), vous recevrez votre certification.
Vous pouvez également recevoir des domaines à améliorer ou des non-conformités mineures qui doivent être traitées conformément aux recommandations de l'auditeur.
Que se passe-t-il après l'audit ISO 27001 étape 2 ?
Si vous avez été recommandé pour la certification… FÉLICITATIONS ! Profitez du moment présent, car il est très difficile de mettre en place une gestion de la sécurité des informations certifiée de manière indépendante et à laquelle les gens peuvent avoir confiance. Si c'était simple, tout le monde le ferait mais ce n'est pas le cas. Bien qu'ISMS.online rende l'ensemble du voyage beaucoup plus facile et plus rapide, il n'en reste pas moins une merveilleuse réussite qui mérite d'être célébrée.
L'organisme de certification examinera ensuite le rapport d'audit en interne et le transmettra à l'organisme d'accréditation (par exemple UKAS) qui examinera un échantillon de chaque organisme de certification pour garantir le respect des normes. Une fois que l’organisme d’accréditation aura donné son sceau d’approbation, un certificat sera délivré. Le processus d'examen et de certification prend normalement 3 à 4 semaines. Le certificat dure 3 ans et vous subirez des audits de surveillance à intervalles réguliers en cours de route, généralement une fois par an.
Pour l’instant, vous pouvez passer à autre chose en « célébrant et en bâtissant sur le succès », car un SMSI est à vie, et pas seulement la première certification. Ce qui peut être donné peut facilement être retiré si vous ne maintenez pas et n'améliorez pas votre approche au fil du temps, alors n'oubliez pas de continuer à en faire un peu, souvent, et vous constaterez que cela s'intègre rapidement dans une expérience positive et très gérable pour vous et l'organisation. .
