SMSI ISO/IEC 27001 — la boucle qui transforme une politique en preuve

Planifier, déployer, contrôler, améliorer : la certification est un cycle de trois ans, pas une ligne d'arrivée

SMSI ISO/IEC 27001 — la boucle qui transforme une politique en preuve Planifier, déployer, contrôler, améliorer : la certification est un cycle de trois ans, pas une ligne d'arrivée 01 / Voie principale — clauses 4 à 10 02 / Non-conformité et action corrective (10.2) 03 / Preuves attendues Contexte · clause 4 — périmètre, parties · Voie principale — clauses 4 à 10 · cadrer 01 Contexte clause 4 — périmètre, parties cadrer Risque et traitement · clause 6 — appréciation et SoA · Voie principale — clauses 4 à 10 · décider 02 Risque et traitement clause 6 — appréciation et SoA décider Mesures en œuvre · clause 8 — opérer, journaliser · Voie principale — clauses 4 à 10 · exécuter 03 Mesures en œuvre clause 8 — opérer, journaliser exécuter Audit interne · 9.2 — programme et constats · Voie principale — clauses 4 à 10 · vérifier 04 Audit interne 9.2 — programme et constats vérifier Revue de direction · 9.3 — décisions et ressources · Voie principale — clauses 4 à 10 · piloter 05 Revue de direction 9.3 — décisions et ressources piloter Journaux et preuves · traces réelles, pas déclarées · Preuves attendues · preuve Journaux et preuves traces réelles, pas déclarées preuve Rapports de test · mesures éprouvées, écarts · Preuves attendues · preuve Rapports de test mesures éprouvées, écarts preuve Non-conformité · constat ou preuve manquante · Non-conformité et action corrective (10.2) · 10.2 Non-conformité constat ou preuve manquante 10.2 écart constaté correctif vérifié 10.1 — amélioration continue Legend start active state decision failure / exit neutral

Ce que l'auditeur demande

  • • Le périmètre et le contexte (clause 4), pas seulement la liste de l'annexe A
  • • L'appréciation du risque et la déclaration d'applicabilité qui en découle (clause 6)
  • • La preuve d'exploitation : journaux, tickets, comptes rendus de revue

Déclaré n'est pas testé

  • • Une mesure inscrite au SoA sans trace d'exécution s'audite comme un écart
  • • L'audit interne (9.2) est mené par des auditeurs objectifs et compétents, jamais par l'équipe qui se juge elle-même
  • • La revue de direction (9.3) se prouve par des décisions et des ressources, pas par une présentation

Les chiffres de l'Annexe A

  • • 93 mesures en quatre thèmes : 37 organisationnelles, 8 personnes, 14 physiques, 34 technologiques
  • • La déclaration d'applicabilité justifie chaque inclusion et chaque exclusion : c'est elle qui est opposée, pas l'annexe
  • • Le certificat court sur trois ans : audit initial, surveillance annuelle, recertification