.png)
En janvier 2025, Cyberday a fait l'objet d'un audit de surveillance ISO 27001:2022. Notre entreprise est certifiée ISO 27001 depuis 2021. Pour la norme ISO 27001, la certification est valable trois ans et un audit de surveillance doit être effectué chaque année. Comme nous avons été recertifiés en 2024, il s'agissait de notre premier audit de surveillance sur cette période de certification de trois ans.
Pour réaliser l'audit, l'auditeur nous a demandé d'organiser deux entretiens distincts avec les employés : un entretien avec le nouvel employé et un entretien basé sur les rôles. J'ai été invité à participer à l'entretien avec le nouvel employé et je veux maintenant vous y emmener avec moi. 🚀
Dans ce blog, nous parlerons de l'importance de la participation des employés dans le processus d'entretien d'audit, des raisons pour lesquelles les auditeurs apprécient les points de vue des employés, et nous examinerons les questions qui peuvent être posées lors d'un entretien ISO 27001.
Si vous souhaitez en savoir plus sur l'ensemble du processus, consultez notre blog sur le processus de certification ISO 27001.
Les audits, en particulier celui de la norme ISO 27001, reposent en grande partie sur la participation active des employés. Ils constituent le fondement du système de gestion de la sécurité de l'information (SGSI) d'une organisation et leur participation aux audits favorise la transparence et approfondit leur compréhension des politiques et procédures de sécurité de l'entreprise.
Dans cet article, nous nous concentrons sur l'implication des employés dans les entretiens d'audit, mais il existe de nombreuses autres façons pour une organisation d'impliquer les employés, par exemple :
Les audits ne servent pas uniquement à répondre à des exigences ; ils sont réalisés dans un but d'amélioration continue. l'amélioration continue. L'engagement des employés dans ces processus permet d'identifier les lacunes potentielles en matière de sécurité qui pourraient autrement passer inaperçues. Permettre aux employés de donner leur avis sur les améliorations et les ajustements pratiques, sur la base de leur expérience pratique, contribue à rendre le SMSI plus efficace et à favoriser une culture proactive de la sécurité de l'information.
Les nouveaux employés peuvent être impliqués dans le processus d'audit par le biais d'entretiens ou en fournissant des documents.
Les entretiens avec les employés constituent une partie importante d'un audit ISO 27001, car ils permettent aux auditeurs d'avoir un aperçu direct de la manière dont les politiques de sécurité de l'information et les procédures de vérification sont mises en œuvre dans la pratique. Les auditeurs évaluent si les employés comprennent leurs rôles et responsabilités dans le maintien de la sécurité de l'information de l'organisation.
Grâce aux entretiens, les auditeurs peuvent évaluer l'efficacité des programmes de formation et des initiatives de sensibilisation mis en place par l'organisation. Cela permet d'identifier les lacunes dans les connaissances ou les domaines dans lesquels une formation complémentaire pourrait s'avérer nécessaire, afin de s'assurer que l'ensemble du personnel est correctement préparé à relever les défis en matière de sécurité de l'information. Les entretiens avec les employés offrent également une occasion unique de mettre en évidence les divergences entre les procédures documentées et les pratiques réelles. Les employés peuvent fournir un retour d'information pratique sur la facilité d'utilisation et la pertinence des contrôles de sécurité, ce qui peut conduire à des améliorations du système de gestion de la sécurité de l'information de l'organisation.
Examinons ensuite ce qui pourrait faire partie des questions de l'entretien d'audit de la sécurité de l'information. Ces questions peuvent être classées par rôle et par sujet. Au cours de l'entretien, l'auditeur cherchera à savoir si les employés sont réellement conscients des politiques de sécurité de l'information de l'organisation, de leur rôle et de leurs responsabilités à l'égard des mesures de sécurité, et si les tâches quotidiennes sont conformes au cadre, en l'occurrence aux contrôles de la norme ISO 27001.
Les questions générales peuvent s'appliquer à tous les entretiens d'audit :
Ce ne sont là que quelques exemples des thèmes de l'entretien d'audit ISO 27001. Il est important que l'employé connaisse et applique les meilleures pratiques de sécurité dans le cadre de son travail.
Dans le cadre d'un entretien basé sur les rôles, les questions peuvent être sélectionnées en fonction de votre rôle professionnel. De cette manière, l'entretien peut donner un aperçu de la manière dont vous gérez la sécurité de l'information du point de vue de votre rôle spécifique. Voici quelques thèmes de questions basées sur le rôle :
L'équipe informatique :
RH (Ressources humaines) :
Les équipes chargées des finances et des achats :
Chefs de service :
Équipe de vente :
Les entretiens basés sur les rôles permettent de vérifier que les employés mettent systématiquement en œuvre des mesures de sécurité dans le cadre de leurs responsabilités professionnelles. Ces entretiens sont essentiels pour évaluer les contrôles de sécurité spécifiques et identifier les risques potentiels. Ils aident également les auditeurs à déterminer si les programmes de formation et de sensibilisation de l'organisation ont effectivement favorisé une connaissance approfondie de la sécurité dans les activités quotidiennes.
Les questions de l'entretien d'audit des nouveaux employés portent sur des sujets tels que le processus d'intégration, la formation à la sensibilisation à la sécurité et la communication des politiques. Par ces questions, l'auditeur veut s'assurer que la sécurité est prise en compte dès le premier jour et que les nouveaux employés comprennent leurs responsabilités. Par rapport à un entretien basé sur les rôles, l'entretien avec un nouvel employé se concentre sur les processus organisationnels de base, en particulier dans les premiers temps :
Si vous souhaitez vous préparer à votre prochain entretien, voici quelques conseils pour vous aider.
Si les mesures ISO 27001 sont bien établies dans votre organisation, la préparation d'un audit sera également plus facile. En situation d'entretien, rappelez-vous :
Avant l'audit, nous avons passé en revue le calendrier des journées d'audit, ainsi que le moment où se déroulerait chaque entretien. Nous avons passé en revue les thèmes clés de l'audit et discuté des différences entre les deux entretiens, en vérifiant que les participants se sentaient à l'aise pour les entretiens. Nous n'avons pas vraiment eu besoin d'entrer dans les détails, car on peut dire que nous travaillons au cœur du Cyberday, et que la sécurité de l'information est pour nous une question quasi quotidienne.
Comme j'ai été spécifiquement interviewé du point de vue du nouvel employé, l'entretien a commencé par l'exposé de mon rôle au sein du Cyberday et de la durée de mon emploi. Ensuite, nous avons commencé par le début. Et quand je dis "début", je parle du processus de recrutement. Ensuite, nous avons abordé les procédures d'intégration et de formation à la sécurité, les responsabilités, la sécurité physique et des cas plus détaillés, par exemple ce qu'il faut faire si je reçois des courriels d'hameçonnage. J'ai également abordé les domaines que je considère personnellement comme susceptibles d'être améliorés dans mon environnement de travail. Dans l'ensemble, l'entretien s'est déroulé sous le signe de la conversation et les derniers signes de nervosité ont disparu assez rapidement lorsque j'ai réalisé que je pouvais répondre aux questions sans problème.
Si vous êtes sur le point d'être interrogé au cours d'un audit, vous pouvez être nerveux, surtout si la situation de l'entretien est un peu moins familière. Mais si des mesures ISO 27001 sont en place dans votre organisation, vous ne vous inquiéterez de rien. L'essentiel est de dire la vérité à l'auditeur. Si vous ne savez pas ou ne vous souvenez pas de quelque chose, il est bon de savoir où trouver l'information.
