Que requiert le contrôle A.3.15 ?
L'approche de l'organisation en matière de gestion de la sécurité de l'information relative au traitement des données personnelles et à sa mise en œuvre, y compris les personnes, les processus et les technologies, doit être examinée de manière indépendante à intervalles planifiés ou lorsque des changements importants surviennent.
Cette commande se trouve à l'intérieur de Contrôles de sécurité partagés L’annexe (A.3) aborde la nécessité d’une assurance objective. L’auto-évaluation est importante, mais un examen indépendant apporte la crédibilité exigée par les clients, les organismes de réglementation et les partenaires commerciaux.
Que dit le guide de mise en œuvre de l'annexe B ?
L’annexe B (section B.3.15) porte plus particulièrement sur le contexte du sous-traitant :
- Impossibilité pratique des audits individuels — Lorsque les audits individuels des clients sont impraticables ou susceptibles d'accroître les risques de sécurité (par exemple, en exposant les données d'autres clients), les sous-traitants devraient envisager de mettre à la disposition des clients des preuves indépendantes.
- Preuves précontractuelles et contractuelles — Des preuves indépendantes devraient être mises à la disposition des clients avant et pendant la période contractuelle, permettant ainsi une assurance continue.
- Preuves d'audit acceptables — Un audit indépendant pertinent (tel que Certification ISO 27001 La certification ISO 27701 (ou équivalent) devrait normalement suffire à satisfaire le besoin d'un client d'examiner les opérations du transformateur.
- Voir aussi A.3.3 : Politiques de sécurité de l'information pour les exigences connexes
- Voir aussi A.3.4 : Rôles et responsabilités en matière de sécurité de l'information pour les exigences connexes
Ceci est particulièrement important pour les fournisseurs de services cloud et les plateformes SaaS où des centaines de clients peuvent chacun avoir un droit contractuel d'audit, ce qui rend les audits individuels opérationnellement impossibles.
Comment cela se traduit-il au regard du RGPD ?
La commande A.3.15 correspond à GDPR L’article 32(1)(d), qui exige un processus de test, d’évaluation et d’appréciation réguliers de l’efficacité des mesures techniques et organisationnelles, et l’article 32(2), qui prend en compte les risques pour les personnes concernées lors de l’évaluation du niveau de sécurité approprié.
Pour la correspondance complète entre le RGPD et la norme ISO 27701, voir Guide de conformité au RGPD.
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l'édition 2019, cette exigence était traitée par la clause 6.15.2.1 (examen indépendant de la sécurité de l'information). L'édition 2025 conserve les exigences fondamentales (A.3.15) et établit une distinction plus claire entre l'énoncé des contrôles et les directives de mise en œuvre (B.3.15). Les conseils pratiques sur le recours aux audits indépendants pour répondre aux besoins d'assurance des clients demeurent un élément clé. Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.3.15, les auditeurs recherchent généralement :
- programme d'audit interne — Un calendrier documenté des examens indépendants couvrant le périmètre du PIMS, incluant la fréquence et les critères de sélection
- Indépendance du commissaire aux comptes — Preuve que les examinateurs sont indépendants des domaines examinés, qu'il s'agisse d'auditeurs internes d'un autre service ou de cabinets d'audit externes.
- Rapports d'audit — Rapports d'examen finalisés comprenant les conclusions, les évaluations des risques et les actions recommandées
- Suivi des mesures correctives — Preuve que les constats sont pris en compte par des mesures correctives documentées, avec des responsables désignés et des échéances cibles.
- Avis basés sur des déclencheurs — Preuve que des examens supplémentaires sont menés lorsque des changements importants surviennent, et pas seulement à intervalles planifiés.
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.3.16 Conformité aux politiques | A.3.15 fournit une assurance indépendante ; A.3.16 Conformité aux politiques couvre le contrôle de conformité opérationnelle |
| A.3.13 Exigences légales et contractuelles | Des examens indépendants devraient vérifier le respect des obligations légales identifiées |
| A.3.10 Accords avec les fournisseurs | Les contrats fournisseurs peuvent inclure des droits d'audit que des examens indépendants peuvent satisfaire. |
| A.3.14 Protection des documents | Les rapports et conclusions d'audit doivent être protégés en tant que documents de conformité. |
| A.3.9 Droits d'accès | Des évaluations indépendantes devraient déterminer si les contrôles d'accès aux renseignements personnels sont efficaces. |
À qui s'applique ce contrôle ?
A.3.15 est un contrôle partagé Cela s'applique aussi bien aux responsables du traitement des données personnelles qu'aux sous-traitants. Les responsables du traitement ont besoin d'une assurance indépendante quant à l'efficacité de leurs mécanismes de protection de la vie privée. Les sous-traitants bénéficient grandement de ce contrôle, car des preuves d'audit indépendantes (telles que la norme ISO 27701 ou la norme ISO 27701) sont nécessaires. ISO 27001 La certification permet de satisfaire simultanément aux exigences d'audit de plusieurs clients, réduisant ainsi la charge que représentent les audits individuels.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Pourquoi nous choisir ISMS.en ligne pour la gestion des évaluations indépendantes ?
ISMS.en ligne fournit des outils pratiques pour planifier, exécuter et suivre les évaluations indépendantes de votre programme de protection de la vie privée :
- programme d'audit interne — Planifier et programmer les audits en définissant leur périmètre, en attribuant les auditeurs et en programmant des rappels automatisés pour les revues à venir
- flux de travail de gestion des audits — Guider les auditeurs tout au long du processus d'examen à l'aide de listes de contrôle, de demandes de preuves et de modèles de constatation.
- Suivi des mesures correctives — Consignez les résultats avec des niveaux de gravité, désignez des responsables, fixez des échéances et suivez l'avancement jusqu'à la résolution du problème.
- Génération de dossiers de preuves — Constituer des dossiers structurés contenant les éléments probants d'audit à destination des auditeurs externes ou pour répondre aux demandes d'assurance des clients.
- Accompagnement aux certifications — Maintenez votre certification ISO 27701 et ISO 27001 grâce à des outils de préparation aux audits de surveillance et d'analyse des écarts
- Portail d'assurance client — Partager en toute sécurité les éléments probants pertinents des audits avec les clients, réduisant ainsi le besoin d'audits individuels sur site.
Questions fréquentes
À quelle fréquence faut-il procéder à des évaluations indépendantes ?
La norme exige des revues à intervalles planifiés ou en cas de changements importants. La plupart des organisations effectuent des revues indépendantes formelles annuellement, conformément à leur cycle d'audit de surveillance ISO 27001. Cependant, des changements importants tels qu'une migration majeure de système, une restructuration organisationnelle ou un nouveau type de traitement des données personnelles doivent déclencher une revue supplémentaire en dehors du calendrier prévu.
Un audit interne peut-il satisfaire à l'exigence d'indépendance ?
Oui, à condition que les auditeurs soient indépendants du domaine audité. Une équipe d'audit interne qui ne relève pas de la direction du domaine audité peut fournir une assurance indépendante. Cependant, pour les entreprises de traitement de données qui cherchent à satisfaire aux exigences d'audit de leurs clients, les organismes de certification externes constituent généralement la preuve d'indépendance la plus solide.
Comment cela aide-t-il les processeurs à gérer plusieurs demandes d'audit client ?
Les recommandations de mise en œuvre reconnaissent explicitement que les audits individuels des clients peuvent s'avérer impraticables et accroître les risques de sécurité. En conservant des preuves d'audit indépendantes à jour (telles que les certifications ISO 27701 ou ISO 27001), les sous-traitants peuvent fournir une assurance standardisée à tous leurs clients. Cela réduit la lassitude liée aux audits, protège la confidentialité des données des autres clients et offre une approche évolutive de l'assurance à mesure que la clientèle s'élargit.
Pour une description complète de l'audit de certification, consultez la section suivante : Que se passe-t-il lors de votre audit ISO 27701:2025 ?.
Choisir le bon auditeur est essentiel — voir comment choisir un organisme de certification.
