Pourquoi vos clients vous la demandent
Une ESN ou une société de conseil manipule presque toujours des informations qui ne lui appartiennent pas : accès aux systèmes du client, documents techniques, données personnelles. Pour vos clients, chaque prestataire est une porte d'entrée possible. La directive européenne NIS2 les pousse en plus à exiger des garanties de leur chaîne de sous-traitance.
L'ISO 27001 répond à cette question avec un certificat reconnu partout : votre société gère la sécurité de l'information avec méthode, et un organisme indépendant l'a vérifié.
Ce que la norme demande
L'ISO 27001 se lit en deux parties.
Le système de management
La même structure que l'ISO 9001 : le contexte et le périmètre, l'engagement de la direction et la politique de sécurité, l'appréciation et le traitement des risques, les compétences et la sensibilisation, la maîtrise des documents, les audits internes, la revue de direction et l'amélioration.
Les mesures de l'annexe A
La version 2022 de la norme liste 93 mesures de sécurité, rangées en quatre thèmes.
| Thème | Mesures | Exemples dans une société de conseil |
|---|---|---|
| Organisationnelles | 37 | Politique de sécurité, rôles, fournisseurs et services cloud, gestion des incidents |
| Liées aux personnes | 8 | Vérifications à l'embauche, sensibilisation, départ d'un collaborateur |
| Physiques | 14 | Accès aux locaux, matériel nomade, postes de travail |
| Technologiques | 34 | Droits d'accès, sauvegardes, journalisation, développement sécurisé |
Vous indiquez, mesure par mesure, si elle s'applique à votre société et comment vous la mettez en œuvre : c'est la déclaration d'applicabilité, que l'auditeur lit en premier.
Comment flowise vous aide à piloter l'ISO 27001
- Les mesures de l'annexe A : un tableau des 93 mesures, une fiche par mesure, et les versions successives de votre déclaration d'applicabilité.
- Des mesures prouvées par vos données : une partie des mesures se juge directement sur ce que contient l'application, par exemple les fournisseurs évalués ou le matériel restitué au départ d'un collaborateur.
- Boond comme source : les rôles de sécurité sont rapprochés des personnes présentes dans Boond, et la date de sortie d'un collaborateur sert à vérifier qu'il a restitué son matériel.
- Vos fournisseurs et services cloud, avec leur certificat ou leur évaluation de moins de douze mois et leur contrat.
- La sensibilisation à la sécurité de l'information, et la politique de sécurité diffusée avec accusés de lecture.
- Votre conformité en direct, sur les clauses du système comme sur les mesures de l'annexe A.
L'ISO 27001 se pilote dans le même système que l'ISO 9001 : les documents, les actions, les audits et les revues sont partagés.
Questions fréquentes
Une ESN doit-elle appliquer les 93 mesures de l'annexe A ?
Non. Vous retenez les mesures qui répondent à vos risques, et vous justifiez chaque mesure exclue dans la déclaration d'applicabilité. Une société sans salle serveur, par exemple, exclut une partie des mesures physiques.
Peut-on préparer l'ISO 27001 et l'ISO 9001 ensemble ?
Oui. Les deux normes partagent la même structure. Avec flowise, elles vivent dans un même système : une seule revue de direction, un seul plan d'actions, un seul programme d'audits.
Qui délivre la certification ISO 27001 ?
Un organisme certificateur indépendant et accrédité, que vous choisissez. flowise vous prépare et vous outille, il ne délivre pas de certificat.