Nous vous aidons à bâtir un SMSI qui fonctionne en pratique et à préparer l’audit de certification, la certification elle-même relevant de la seule décision d’un organisme certificateur accrédité.
Synthèse
Concevoir et déployer un SMSI conforme à l’ISO/IEC 27001:2022 et préparer votre organisation à l’audit de certification d’un organisme accrédité.
L’ISO/IEC 27001:2022 définit les exigences d’un système de management de la sécurité de l’information : délimiter son périmètre, apprécier et traiter les risques, sélectionner les mesures de sécurité en référence à l’annexe A, les formaliser dans une déclaration d’applicabilité (DdA), puis faire vivre un cycle de surveillance, d’audit interne, de revue de direction et d’amélioration continue. Les organisations s’y engagent pour répondre aux exigences de leurs clients, structurer leurs pratiques de sécurité ou apporter des garanties à leurs partenaires.
Nous vous accompagnons de l’analyse d’écarts à la conception du SMSI, à sa documentation et à l’audit interne de préparation, jusqu’à l’audit externe. Nous ne sommes pas un organisme de certification et ne délivrons aucun certificat. La certification est accordée uniquement par un organisme certificateur accrédité à l’issue de son propre audit, et aucun cabinet de conseil ne peut en garantir l’issue ; notre rôle est de vous permettre d’aborder cet audit avec un SMSI en fonctionnement et des preuves à l’appui.
Les enjeux traités
- 01
Un périmètre mal défini ou surdimensionné
Le périmètre du SMSI est soit trop flou pour être audité, soit trop large pour être déployé avec les moyens disponibles.
- 02
De la documentation sans système qui fonctionne
Politiques et modèles sont rédigés, mais le traitement des risques, l’audit interne et la revue de direction ne sont pas réellement mis en œuvre.
- 03
La transition vers la version 2022
Les organisations certifiées sur l’édition précédente doivent réaligner leur traitement des risques et leur déclaration d’applicabilité sur l’annexe A restructurée.
- 04
Des délais dictés par les enjeux commerciaux
Les exigences des clients ou des appels d’offres poussent à aller vite, au risque de bâtir un système qui ne résistera pas aux audits de surveillance.
Offres et solutions
- 01
Analyse d’écarts ISO/IEC 27001
Évaluer vos pratiques au regard des exigences des chapitres 4 à 10 et des mesures de l’annexe A de l’ISO/IEC 27001:2022, et dimensionner l’effort nécessaire pour combler les écarts.
- 02
Conception du SMSI
Définir le périmètre du SMSI, son contexte, les parties intéressées, les objectifs de sécurité, les rôles et le cycle de gouvernance qui le fera vivre.
- 03
Méthode d’appréciation des risques
Concevoir une méthode reproductible d’appréciation et de traitement des risques, conduire la première analyse avec les propriétaires de risques et établir le plan de traitement des risques.
- 04
Élaboration de la déclaration d’applicabilité
Vous aider à déterminer les mesures de l’annexe A applicables, justifier inclusions et exclusions, et consigner leur état de mise en œuvre dans une DdA cohérente avec le traitement des risques.
- 05
Documentation de sécurité
Produire les informations documentées exigées par la norme, ainsi que la PSSI et les procédures nécessaires aux mesures retenues, dans un format proportionné à l’organisation.
- 06
Audits internes de préparation
Réaliser un audit interne du SMSI au regard de la norme, vérifier les preuves de fonctionnement des mesures et accompagner la première revue de direction.
- 07
Plans d’actions correctives
Analyser les non-conformités issues des audits internes ou externes, en identifier les causes et suivre les actions correctives jusqu’à leur clôture vérifiée.
- 08
Préparation et accompagnement à la certification
Vous aider à choisir un organisme certificateur accrédité et préparer vos équipes aux audits d’étape 1 et d’étape 2. La décision de certification appartient exclusivement à cet organisme, à l’issue de son propre audit.
Déroulé type d’une mission
- 01
Diagnostiquer
Réaliser l’analyse d’écarts, arrêter le périmètre du SMSI et définir un plan de préparation réaliste.
- 02
Construire
Concevoir le SMSI, apprécier les risques, sélectionner les mesures de l’annexe A et produire la DdA et la documentation.
- 03
Faire vivre
Exécuter les mesures, collecter les preuves, mener l’audit interne et tenir la revue de direction.
- 04
Préparer
Lever les non-conformités, préparer les équipes et vous accompagner pendant l’audit de l’organisme certificateur et le traitement de ses constats.
Livrables attendus
- Analyse d’écarts ISO/IEC 27001:2022 et plan de préparation
- Périmètre du SMSI, analyse du contexte et cadre de gouvernance
- Méthode d’appréciation des risques, registre et plan de traitement des risques
- Déclaration d’applicabilité
- Corpus documentaire du SMSI : politiques, procédures et enregistrements
- Rapport d’audit interne, compte rendu de revue de direction et plan d’actions correctives
Les résultats visés
- 01
Un SMSI qui fonctionne réellement, et pas seulement sur le papier
- 02
Un périmètre et une DdA clairs et justifiables
- 03
Des équipes prêtes à présenter et justifier leurs mesures devant les auditeurs
- 04
Un système de management capable de tenir dans la durée lors des audits de surveillance et de renouvellement
Expertises associées
Autres offres : Cybersécurité & audit SI
- Gouvernance de la cybersécuritéDéfinir qui porte le risque cyber, comment il est arbitré et rapporté, avec une stratégie, une PSSI et un référentiel de contrôles proportionnés à votre organisation.
- Audit & assurance des systèmes d’informationRevues indépendantes des contrôles généraux informatiques, des habilitations, de la gestion des changements et de la résilience, pour une assurance fiable auprès de la direction et du comité d’audit.
- Programmes d’amélioration de la sécuritéTransformer les constats d’évaluation en un programme priorisé, budgété et piloté, couvrant l’architecture, les tiers, la résilience et le système de management.
Questions fréquentes
Délivrez-vous la certification ISO/IEC 27001 ?
Non. Nous sommes un cabinet de conseil, et non un organisme de certification ; nous ne délivrons aucun certificat. La certification est accordée par un organisme certificateur accrédité à l’issue de son propre audit indépendant. Nous vous préparons à cet audit, sans pouvoir ni prétendre en garantir l’issue.
Combien de temps faut-il pour se préparer à l’ISO/IEC 27001 ?
Cela dépend du périmètre, des pratiques existantes et des ressources mobilisables. L’organisme certificateur attendra en outre que le SMSI ait fonctionné pendant une certaine période, audit interne et revue de direction compris, avant l’audit d’étape 2. Nous établissons un calendrier réaliste à l’issue de l’analyse d’écarts.
Pouvez-vous également réaliser l’audit interne de notre SMSI ?
Oui, sous réserve de préserver l’indépendance : les auditeurs du SMSI ne doivent pas auditer des travaux qu’ils ont eux-mêmes conçus. Nous organisons nos équipes en conséquence, ou pouvons accompagner vos propres auditeurs internes.
Échangez avec un expert : Accompagnement ISO/IEC 27001
Décrivez-nous votre situation actuelle et vos objectifs. Nous vous proposerons le périmètre adapté pour une première mission.