.png)
L'objectif principal des audits est de réaliser des évaluations indépendantes et systématiques du SMSI et de la sécurité de l'information de l'organisation.
Les audits vous aideront à trouver les parties obsolètes de votre SMSI, qui ne sont plus exactes. Ils vous aideront à trouver des domaines à améliorer et à identifier les lacunes. Ils constituent l'une des méthodes permettant d'assurer l'amélioration continue et la responsabilisation en matière de sécurité de l'information. Les audits vous permettent de rester honnête (lorsqu'ils sont bien faits).
Cet article de blog présente une introduction générale à l'audit de la sécurité de l'information et un aperçu détaillé du processus d'audit de certification ISO 27001.
Les audits de sécurité de l'information sont des évaluations systématiques de la sécurité de l'information de l'organisation. Ils peuvent porter sur des systèmes spécifiques ou sur les politiques, procédures et contrôles de l'organisation en matière de sécurité de l'information.
Les audits visent à s'assurer que l'organisation fonctionne effectivement conformément aux exigences fixées ou aux meilleures pratiques choisies pour protéger son patrimoine informationnel.
Les objectifs d'un audit de la sécurité de l'information sont généralement les suivants
Les audits peuvent être réalisés en interne par des employés compétents et habilités (audit interne) ou en externe par des partenaires indépendants choisis (audit externe). Certains audits sont réalisés principalement du point de vue de la conformité (audits de conformité) et d'autres d'un point de vue plus technique (audits techniques), en se concentrant par exemple sur des systèmes de données ou des sujets spécifiques (par exemple, la sécurité des réseaux, la sécurité des applications).
L'audit de certification ISO 27001 est un audit spécifique de la sécurité de l'information, qui est mis en œuvre par un auditeur accrédité et conformément aux lignes directrices d'audit définies dans la série de normes ISO 27000.
L'objectif de l'audit de certification ISO 27001 est de vérifier que le système de gestion de la sécurité de l'information (SGSI) de l'organisation est conforme aux exigences de la norme ISO 27001.
Un audit de certification ISO 27001 est un processus structuré au cours duquel un organisme de certification tiers évalue le SMSI d'une organisation par rapport aux exigences de la norme ISO/IEC 27001. Il existe généralement de nombreux organismes dans chaque pays qui sont accrédités par la norme
L'audit proprement dit se déroule en deux étapes principales : une évaluation préliminaire (étape 1) et un examen détaillé (étape 2). En outre, un organisme peut éventuellement procéder à une évaluation de l'état de préparation avant l'audit proprement dit. Les activités post-audit garantissent ensuite que le SMSI est continuellement amélioré et correctement entretenu.
Vous trouverez ci-dessous des explications plus détaillées sur le déroulement de chaque étape de l'audit de certification.
Avant le début de l'audit de certification, l'organisation doit bien sûr se préparer et s'assurer qu'elle estime être en conformité avec la norme ISO 27001.
Vous trouverez plus d'informations sur les étapes clés de la mise en œuvre d'un SMSI dans un autre article.
L'évaluation de l'état de préparation à un audit de certification ISO 27001 est une évaluation préparatoire facultative visant à déterminer si une organisation est bien préparée à l'audit de certification officiel.
Cette évaluation peut être réalisée par le même auditeur que celui qui mettra en œuvre les dernières parties du processus.
L'évaluation de l'état de préparation peut aider à identifier les lacunes les plus importantes du SMSI par rapport aux exigences de la norme ISO 27001.
L'audit de l'étape 1 est réalisé pour évaluer le degré de préparation de l'organisation à l'étape 2 et identifier les éventuelles lacunes critiques.
Cette phase est principalement axée sur la documentation de votre SMSI le plus important et peut également être mise en œuvre à distance. L'auditeur examinera certains documents clés afin de déterminer si les principaux processus du SMSI sont en place et fonctionnent correctement.
Les documents clés que vous devrez généralement partager avec l'auditeur lors de l'étape 1 de l'audit ISO 27001 sont les suivants :
À la fin de l'audit de l'étape 1, l'auditeur fournit une liste de constatations, qui peut comprendre des non-conformités majeures ou mineures. Les non-conformités doivent être corrigées par des actions correctives avant de poursuivre le processus d'audit.
L'audit d'étape 2 est la partie principale de l'audit de certification. Il permet de confirmer que le SMSI est entièrement mis en œuvre, efficace et conforme à la norme ISO 27001.
Cette phase est mise en œuvre sur place, ce qui est important non seulement pour un meilleur partage des informations, mais aussi pour confirmer les contrôles de sécurité physique.
Au cours de cette phase, l'auditeur devra obtenir des preuves appropriées de votre conformité avec votre propre documentation ISMS et avec la norme ISO 27001. Pour ce faire, l'auditeur devra
Le principal résultat de son travail est que l'auditeur.. :
Lorsqu'aucune non-conformité majeure n'est plus constatée, l'organisation est recommandée pour la certification.
Les auditeurs rassemblent les résultats de l'audit dans un rapport d'audit, qui explique toutes les constatations et est envoyé aux entités auditées.
Après l'audit de certification proprement dit, il reste encore des choses importantes à faire:
Nous travaillons actuellement avec environ 600 organisations par le biais de notre application Cyberday ISMS. Nous avons vu le chemin initial vers la conformité prendre de quelques semaines à 12 mois, et tout ce qu'il y a entre les deux. Et oui, il y a aussi ces initiatives qui n'aboutissent jamais.
En règle générale, le processus prend entre 3 et 9 mois. Les principaux facteurs qui influencent le calendrier sont la complexité et la taille de vos opérations, le niveau actuel de maturité en matière de sécurité de l'information, les ressources et l'expertise que vous pouvez consacrer au travail et les outils utilisés pour gérer le SMSI.
Les audits de certification ISO 27001 réalisés de manière acceptable ont une durée minimale clairement définie, décrite dans la série de normes ISO 27000.
Dans une petite organisation (moins de 10 employés), vous aurez besoin d'un total de 7 à 14 jours de travail d'auditeur au cours d'une période de certification de trois ans. Dans une grande organisation (plus de 10 000 employés), le nombre de jours de travail de l'auditeur s'élèvera à environ 50 jours pour une période de certification de trois ans.
Le coût direct de l'audit de certification ISO 27001 est facile à estimer si vous regardez la question ci-dessus relative à la durée de l'audit. Le coût principal est celui que vous payez pour le travail de l'auditeur, qui est estimé à 1000 € par jour dans l'UE.
Ainsi, la facture directe à payer pour les organismes d'audit effectuant l'audit de certification s'élèvera entre 10 000 € et 50 000 € pour l'ensemble de la période de trois ans, en fonction de la taille de votre organisation.
Les coûts internes (par exemple, les travaux nécessaires au SMSI, le temps du personnel, les solutions logicielles, les autres investissements technologiques, la formation nécessaire) dépendent totalement de votre maturité initiale en matière de sécurité de l'information.
L'audit de certification (ou de re-certification) sera effectué tous les trois ans. Les audits de surveillance sont des audits annuels de plus courte durée, qui seront réalisés au cours des années restantes afin de garantir une amélioration continue et une maintenance adéquate du SMSI.
"L'échec d'un audit de certification ISO 27001 signifie essentiellement que l'organisation n'a pas satisfait à toutes les exigences de la norme au moment de l'audit et que des non-conformités ont donc été identifiées.
Ensuite, l'organisation aura la possibilité de traiter les non-conformités par des actions correctives et de poursuivre le processus de certification. Il s'agit d'élaborer un plan d'actions correctives et de mettre en œuvre ces corrections. Pour les non-conformités majeures, les corrections doivent être vérifiées par l'auditeur. Pour les non-conformités mineures, une simple vérification du plan suffit.
Lorsque le suivi des actions correctives démontre la conformité, la certification peut alors être accordée.
Il est important de comprendre qu'il n'y a pas d'échec dans le processus d'audit de certification. L'auditeur vous aidera simplement à identifier les non-conformités, qui sont autant de points à améliorer. Même si des non-conformités sont détectées (ce qui est tout à fait normal), vous disposerez d'une liste de tâches à accomplir en vue de la certification et vous aurez amélioré votre sécurité de l'information.
