Que requiert le contrôle A.3.16 ?
La conformité à la politique de sécurité de l'information de l'organisation, aux politiques spécifiques, aux règles et aux normes relatives au traitement des données personnelles identifiables (DPI) fera l'objet d'un examen régulier.
Cette commande se trouve à l'intérieur de Contrôles de sécurité partagés L’annexe (A.3) porte sur la vérification opérationnelle, c’est-à-dire le contrôle que les mesures de contrôle documentées sont effectivement appliquées en pratique. A.3.15 Examen indépendant L'examen indépendant à un niveau stratégique est abordé, tandis que le point A.3.16 assure un suivi quotidien de la conformité.
Découvrez l'intégralité du processus d'audit dans notre guide : Que se passe-t-il lors de votre audit ISO 27701:2025 ?.
Que dit le guide de mise en œuvre de l'annexe B ?
L’annexe B (section B.3.16) fournit les indications suivantes :
- Outils et composants d'examen — Inclure des méthodes d’examen des outils et des composantes liés au traitement des renseignements personnels, et pas seulement des politiques et des procédures
- Surveillance continue — Cela peut inclure une surveillance continue ou périodique pour vérifier que seul le traitement autorisé est effectué.
- Tests d'intrusion et de vulnérabilité — Des tests spécifiques tels que les tests d'intrusion ou les évaluations de vulnérabilité peuvent faire partie du programme de contrôle de conformité.
- Tests d'intrus motivés — Les lignes directrices mentionnent spécifiquement des tests d'intrusion motivée sur des ensembles de données dépersonnalisées afin de vérifier l'efficacité des mesures d'anonymisation ou de pseudonymisation.
- Voir aussi A.3.3 : Politiques de sécurité de l'information pour les exigences connexes
- Voir aussi A.3.4 : Rôles et responsabilités en matière de sécurité de l'information pour les exigences connexes
Les directives précisent que le contrôle de conformité ne se limite pas à une simple formalité administrative. Les tests techniques, notamment les tentatives de réidentification des données anonymisées, constituent un élément essentiel pour vérifier que les mesures de protection de la vie privée fonctionnent comme prévu.
Comment cela se traduit-il au regard du RGPD ?
La commande A.3.16 correspond à GDPR L’article 32(1)(d), qui exige un processus de test, d’évaluation et d’appréciation réguliers de l’efficacité des mesures techniques et organisationnelles visant à assurer la sécurité du traitement, et l’article 32(2), qui exige la prise en compte des risques que le traitement présente pour les personnes concernées.
Pour la correspondance complète entre le RGPD et la norme ISO 27701, voir Guide de conformité au RGPD.
Qu’est-ce qui a changé par rapport à la norme ISO 27701:2019 ?
Pour une approche étape par étape, voir le Transition de 2019 à 2025.
Dans l'édition 2019, cette exigence était couverte par les clauses 6.15.2.2 (conformité aux politiques et normes de sécurité) et 6.15.2.3 (examen de conformité technique). L'édition 2025 les regroupe en un seul contrôle (A.3.16), combinant les examens de conformité aux politiques et les tests de conformité technique sous une seule exigence. Voir le Tableau de correspondance de l'annexe F pour la cartographie complète.
Commencer votre essai gratuit
Envie d'explorer ?
Inscrivez-vous pour votre essai gratuit dès aujourd'hui et découvrez toutes les fonctionnalités de conformité qu'ISMS.online a à offrir.
Quelles preuves les auditeurs attendent-ils ?
Lors de l'évaluation de la conformité à la norme A.3.16, les auditeurs recherchent généralement :
- calendrier d'examen de la conformité — Un programme documenté de contrôles de conformité réguliers couvrant toutes les politiques et normes relatives aux informations personnelles identifiables (IPI)
- Examiner les dossiers — Preuve des examens terminés, y compris les éléments évalués, les conclusions et les non-conformités relevées
- Rapports d'essais techniques — Résultats des tests d'intrusion, des analyses de vulnérabilité ou d'autres évaluations techniques évaluant l'efficacité des contrôles de sécurité des informations personnelles identifiables
- preuves de surveillance — Journaux ou rapports des systèmes de surveillance en cours qui vérifient que seul le traitement autorisé des données personnelles est effectué.
- Suivi des mesures correctives — Preuve que les non-conformités identifiées lors des revues sont consignées, attribuées et résolues avec un suivi documenté.
Quelles sont les commandes associées ?
| Contrôle | Lien familial |
|---|---|
| A.3.15 Examen indépendant | A.3.15 Examen indépendant fournit une assurance stratégique indépendante ; A.3.16 couvre le contrôle de la conformité opérationnelle |
| A.3.9 Droits d'accès | Les audits de conformité doivent vérifier que les politiques de contrôle d'accès sont respectées. |
| A.3.13 Exigences légales et contractuelles | Les contrôles de conformité doivent porter sur le respect des obligations légales |
| A.3.17 Sensibilisation et formation | Les constats de non-conformité révèlent souvent des lacunes en matière de formation qui doivent être comblées. |
| A.3.14 Protection des documents | Les dossiers d'examen et les rapports d'essais doivent être protégés en tant que preuves de conformité. |
À qui s'applique ce contrôle ?
A.3.16 est un contrôle partagé Cela s'applique aussi bien aux responsables du traitement qu'aux sous-traitants du traitement des données personnelles. Les deux acteurs doivent s'assurer du respect de leurs politiques et contrôles techniques documentés. Pour les sous-traitants, cela implique de vérifier que le traitement est limité aux instructions du responsable du traitement et que les mesures techniques, telles que le chiffrement et les contrôles d'accès, fonctionnent comme prévu.
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Pourquoi nous choisir ISMS.en ligne pour les examens de conformité continus ?
ISMS.en ligne fournit des outils pratiques pour surveiller et vérifier la conformité de votre programme de protection de la vie privée :
- planificateur d'examen de conformité — Planifiez et programmez des contrôles de conformité réguliers avec des rappels automatisés, l'attribution de tâches et le suivi des échéances.
- Suivi des accusés de réception de la politique — Vérifier que le personnel a lu et pris connaissance des versions en vigueur des politiques relatives aux renseignements personnels, et programmer des rappels automatiques pour ceux qui ne l'ont pas fait.
- Gestion des non-conformités — Consigner les résultats des contrôles de conformité, attribuer des actions correctives, suivre leur progression et vérifier leur clôture.
- surveillance de l'efficacité du contrôle — Suivre les performances des commandes individuelles au fil du temps, en identifiant les tendances et les problèmes récurrents
- Rapports de tableau de bord — Tableaux de bord de conformité en temps réel affichant l'état des examens, les constats en suspens et l'état général du programme
Questions fréquentes
À quelle fréquence les contrôles de conformité doivent-ils être effectués ?
La norme exige des examens réguliers, sans toutefois préciser leur fréquence. Il est recommandé de mettre en place un programme d'examen continu couvrant l'ensemble des politiques et contrôles relatifs aux données personnelles, selon un cycle défini : généralement annuel pour les domaines à faible risque et trimestriel pour les activités de traitement à haut risque. Les tests techniques, tels que les analyses de vulnérabilité, peuvent être effectués plus fréquemment, souvent mensuellement ou après des modifications importantes du système.
Qu’est-ce qu’un test d’intrus motivé et quand est-il nécessaire ?
Un test de vulnérabilité face à un intrus motivé permet d'évaluer si un adversaire déterminé, ayant accès à des informations publiques, pourrait réidentifier des individus à partir de données dépersonnalisées ou pseudonymisées. Les recommandations de mise en œuvre préconisent ce type de test lorsque les organisations s'appuient sur l'anonymisation ou la pseudonymisation comme mesure de protection de la vie privée. Si le test révèle que la réidentification est possible, la méthode de dépersonnalisation est insuffisante et doit être renforcée.
En quoi cela diffère-t-il de l'examen indépendant décrit dans la section A.3.15 Examen indépendant ?
A.3.15 Examen indépendant L’approche A.3.16 porte sur des examens stratégiques périodiques menés par des parties indépendantes (auditeurs internes ou organismes de certification externes) qui évaluent l’approche globale de la gestion de la sécurité de l’information. L’approche A.3.16 porte sur des contrôles de conformité opérationnels réguliers, vérifiant que les politiques, règles et normes techniques spécifiques sont respectées au quotidien. Les deux approches sont nécessaires. A.3.15 Examen indépendant fournit une assurance au niveau du système, tandis que A.3.16 détecte les écarts opérationnels entre les audits formels.
Nos guide des exigences en matière de preuves d'audit détaille les éléments de preuve de conformité recherchés par les auditeurs.
