Qu’implique un audit ISO 27001 ?

Qu'est-ce qu'un audit ISO 27001 ?

An ISO 27001 L'audit implique un auditeur compétent et objectif examinant :

• La ISMS ou des éléments de celui-ci et tester qu'il répond aux exigences de la norme,
• Les propres besoins d'information de l'organisation, les objectifs du SMSI,
• Que les politiques, processus et autres contrôles sont pratiques et efficaces.

Outre la conformité et l'efficacité globales du SMSI, ainsi que La norme ISO 27001 est conçue pour permettre à une organisation de gérer ses risques en matière de sécurité de l'information. à un niveau tolérable, il sera nécessaire de vérifier que les contrôles mis en œuvre réduisent effectivement le risque à un point où le ou les propriétaires du risque sont heureux de tolérer le risque résiduel.

Quels sont les types d’audits ?

La norme exige qu'une organisation soit tenue de planifier et de réaliser un calendrier d'« audits internes » pour pouvoir affirmer sa conformité à la norme. De plus, si une organisation souhaite obtenir la certification, elle exigera que des « audits externes » soient effectués par un « organisme de certification » – une organisation disposant de ressources d’audit compétentes par rapport à la norme ISO 27001.

Pour garantir un bénéfice maximal du SMSI, il est fortement recommandé de s'assurer que l'organisme de certification sélectionné est accrédité par une autorité de contrôle reconnue. Au Royaume-Uni, les organismes de certification sont accrédités par l'UKAS – le service d'accréditation du Royaume-Uni.

Audit interne

Les audits internes, comme leur nom l'indique, sont des audits réalisés par les ressources propres de l'organisation. Si l'organisation ne dispose pas d'auditeurs compétents et objectifs au sein de son propre personnel, ces audits peuvent être effectués par un fournisseur sous contrat. Ceux-ci sont souvent appelés « audits de deuxième partie » puisque le fournisseur agit comme une « ressource interne ».

Audit externe

Le terme « audits externes » s'applique le plus souvent aux audits effectués par un organisme de certification pour obtenir ou maintenir la certification. Cependant, le terme peut également être utilisé pour désigner les audits effectués par d'autres parties intéressées (par exemple des partenaires ou des clients) souhaitant obtenir leur propre assurance sur le SMSI de l'organisation. Cela est particulièrement vrai lorsqu’une telle partie a des exigences qui vont au-delà de celles de la norme.

Valeur d'un audit ISO 27001 avec/sans certification

La décision de l'organisation d'atteindre conformité et éventuellement certification à la norme ISO 27001 dépendra de la mise en œuvre et du fonctionnement d’un SMSI formel et documenté. Cela sera souvent documenté dans une analyse de rentabilisation qui identifiera les objectifs attendus et le retour sur investissement.

Sans certification, l’organisation ne peut que revendiquer la « conformité » à la norme, et cette conformité n’est assurée par aucun tiers accrédité. Si la raison de la mise en œuvre du SMSI est uniquement d’améliorer la gestion de la sécurité et l’assurance interne, cela peut alors être suffisant.

Pour maximiser les bénéfices et le retour sur investissement du SMSI en termes de fourniture d'assurance aux partenaires externes de l'organisation. parties intéressées et parties prenantes, un programme d’audit de certification indépendant, externe et accrédité sera requis.

Rappelons que la seule différence en termes d'effort entre « conformité » et « certification » est le programme d'audits de certification externes. En effet, pour revendiquer véritablement la « conformité » à la norme, l’organisation devra toujours faire tout ce qui est requis par la norme – la « conformité » auto-testée ne réduit pas les ressources requises ni les efforts impliqués dans la mise en œuvre et l’exploitation d’un SMSI.

Se préparer à un audit de certification ISO 27001

Lors de la préparation d’un audit de certification, les points clés suivants doivent être pris en compte :

• Sont la clé processus du SMSI mis en œuvre et opérationnel ?
  • Contexte organisationnel – Comprendre et documenter le contexte organisationnel et les exigences en matière de sécurité de l'information, y compris les parties intéressées. Cela inclura également de documenter la portée du SMSI
  • Gestion des risques et des opportunités – L’organisation a-t-elle identifié et évalué les risques liés à la sécurité de l’information et les opportunités et documenté un plan de traitement ?
  • Leadership – Un leadership fort de haut niveau peut-il être démontré – par exemple par la fourniture de ressources et une déclaration d'engagement documentée au sein du politique de sécurité de l'organisation.
  • Audit interne – Un programme d'audits internes a-t-il été documenté, convenu et lancé conformément à la clause 9.2 ?
  • Revue de direction – le SMSI a-t-il fait l'objet d'une revue de direction formelle conformément aux Article 9.3
  • Action corrective et Amélioration continue – l’organisation peut-elle démontrer que les actions correctives et les améliorations sont gérées et mises en œuvre de manière efficace et efficiente ?
• Les documents requis sont-ils en place et approuvés ?
  • Énoncé du champ d'application du SMSI (Article 4.3)
  • Politique de sécurité des informations organisationnelles (Article 5.2)
  • Méthode de gestion des risques (Articles 6.1.2 et 6.1.3)
  • Registre des risques et plan de traitement (Clause 6.1.3 e)
  • Déclaration d'applicabilité (Clause 6.1.3 d)
  • Politiques et processus requis en vertu de l'Annexe A lorsque les contrôles sont applicables.
• Les dossiers de preuve sont-ils faciles à localiser et à accéder ?
• Que tout le personnel et les sous-traitants concernés aient reçu éducation à la sécurité de l'information, formation et sensibilisation ? C'est également une bonne pratique de s'assurer que les personnes qui seront interrogées ont été informées de ce à quoi s'attendre pendant l'audit et de la manière de réagir. Assurez-vous également qu’ils peuvent accéder facilement aux documents et aux preuves qui peuvent être demandés par l’auditeur.

Qui réalise un audit ISO 27001 ?

Tous les audits selon la norme ISO 27001 doivent être effectués par des auditeurs compétents et objectifs.

Pour démontrer sa compétence pour l'audit ISO 27001, il est généralement requis que l'auditeur ait une connaissance démontrable de la norme et de la manière de mener un audit. Cela peut se faire en suivant un cours d'auditeur principal ISO 27001 ou en possédant une autre qualification d'audit reconnue et une connaissance prouvable de la norme. Il peut être possible de démontrer qu’un auditeur est compétent sans formation formelle. Cependant, cette conversation sera probablement plus difficile avec votre organisme de certification.

Pour faire preuve d'objectivité, il doit être démontré que l'auditeur ne contrôle pas son propre travail et qu'il n'est pas indûment influencé par ses lignes hiérarchiques.

Il peut être plus pratique pour les petites organisations ou celles qui souhaitent une plus grande objectivité de faire appel à un auditeur contractuel.

Les organismes de certification auront vérifié la compétence de leurs auditeurs et devraient être prêts à vous le démontrer sur demande.

Comment ISMS.online rend-il le processus d’audit plus efficace ?

ISMS.online comprend un projet de programme d'audit prédéfini couvrant à la fois les audits internes et externes et peut également inclure des audits par rapport au RGPD si vous avez choisi cette option.

Le programme d'audit prédéfini comprend :

• Activités pour 2 audits recommandés avant certification
• Un plan d'audits internes pour la première période de certification de 3 ans
• Espaces réservés pour votre certification externe et vos audits périodiques

En plus de fournir le projet de programme d'audit, la possibilité de se connecter rapidement à d'autres domaines de travail au sein de la plate-forme tout-en-un ISMS.online signifie relier les résultats de l'audit aux contrôles, aux actions correctives et aux améliorations, et même les risques sont facilités et accessible. Cela vous permettra de démontrer facilement à votre auditeur externe la gestion concertée des constats identifiés.