La déclaration d'applicabilité (également connue sous le nom de SoA) est l'un des documents obligatoires pour la certification ISO 27001. l'un des documents obligatoires pour la certification ISO 27001. En bref, la SoA explique quels contrôles de sécurité (sur un total actuel de 93) de la norme ISO 27001 sont pertinents pour votre organisation, si vous les avez déjà mis en œuvre et comment vous l'avez fait.
Trop souvent, la SdA est considérée comme un document statique, alors qu'elle devrait jouer un rôle actif dans la conformité, l'amélioration continue et le suivi de l'ensemble des progrès réalisés dans le cadre de la norme ISO 27001.
Dans ce blog, nous aborderons les principaux objectifs et avantages d'un document de SdA efficace. Nous expliquerons également ses principaux rôles dans une bonne gestion de la sécurité de l'information basée sur la norme ISO 27001.
La déclaration d'applicabilité explique quels contrôles de sécurité de la liste de l'annexe A de la norme ISO 27001 sont pertinents pour votre organisation, si vous les avez déjà mis en œuvre et comment vous l'avez fait.
Dans un document typique de SdA, vous dresserez la liste des 93 contrôles de la norme ISO 27001:2022 (souvent dans un fichier Excel) et afficherez les éléments suivants pour chacun d'entre eux :
Il est essentiel de comprendre que la liste des contrôles de la norme ISO 27001 a été soigneusement élaborée par des experts du secteur et testée au fil des ans par des centaines de milliers d'organisations. C'est pourquoi vous ne pouvez pas justifier l'inapplicabilité de certains contrôles fondamentaux et vous devez fournir des arguments solides pour tous les contrôles que vous avez décidé de ne pas mettre en œuvre.
Toujours pour la raison décrite ci-dessus, la plupart des documents de SdA émanant d'organisations certifiées sont essentiellement verts (c'est-à-dire que le contrôle a été mis en œuvre), avec éventuellement quelques contrôles définis comme non applicables. Mais même dans ces cas, il peut y avoir de grandes différences dans le degré de mise en œuvre de chacun des contrôles applicables.
Un document de SdA intelligent peut contenir davantage d'informations sur la mise en œuvre de votre SMSI, de sorte que vous pouvez également utiliser le SdA comme outil de suivi de la mise en œuvre et de la solidité de la mise en œuvre de chaque contrôle directement à partir du SdA.
Les principaux objectifs de la SdA sont les suivants
Nous examinerons ci-dessous quatre rôles clés qu'un document de SdA bien structuré joue dans la gestion efficace de la sécurité de l'information. La compréhension de ces rôles aide les organisations à mettre en œuvre des contrôles de sécurité de manière efficace tout en garantissant la conformité avec les exigences réglementaires et commerciales.
La SdA ne doit pas se limiter à une liste de contrôles et à des liens vers des politiques statiques qui parlent de ces contrôles. Elle doit être une référence vivante pour la gouvernance de la sécurité.
Lorsque vous créez la SdA à l'aide d'un outil de SMSI, vous pouvez suivre l'amélioration de votre score de conformité et le niveau d'assurance que vous avez quant à l'exactitude de ce score. Cela signifie essentiellement que vous avez mis en œuvre des contrôles pertinents et que le SMSI contient des détails qui confirment l'état de la mise en œuvre (ces détails sont, par exemple, des responsables nommés, des revues effectuées, des technologies liées, des enregistrements liés ou d'autres éléments de preuve connexes démontrant la mise en œuvre).
Qu'il s'agisse d'un audit interne ou externe basé sur la norme ISO 27001, la SoA sera votre principal document de référence. Les auditeurs s'appuient sur la SoA pour voir si vos mesures de sécurité sont conformes à la structure ISO 27001.
Vos auditeurs internes peuvent faire de même et auditer vos propres pratiques de sécurité avec l'aide de la SdA, tout en veillant à ce que les audits puissent être divisés en plusieurs parties et que la couverture de l'ensemble de la norme puisse toujours être démontrée.
Si votre SdA contient également suffisamment d'informations sur la mise en œuvre des contrôles, vos audits internes peuvent se concentrer sur le premier niveau afin de vérifier si les détails trouvés au niveau du SdA sont réellement opérationnels.
SoA contribuera également aux revues de direction - en donnant à la direction générale une vue d'ensemble de notre mise en œuvre actuelle des contrôles ISO 27001, avant d'entrer dans les détails.
La norme ISO 27001 ne peut pas fournir de détails exacts sur la mise en œuvre de chaque contrôle. Il y a une grande marge de manœuvre pour mettre en œuvre certains contrôles avec une approche plus légère et pour approfondir certains contrôles - ceux pour lesquels vous constatez les risques les plus importants.
Un document de SdA intelligent peut être utilisé pour guider votre réflexion sur le renforcement de la mise en œuvre des contrôles. Vous pouvez comprendre quels sont les contrôles qui sont déjà mis en œuvre de manière très rigoureuse et quels sont ceux pour lesquels des mesures de renforcement faciles sont disponibles.
Les changements significatifs apportés à vos opérations ou à votre environnement de menaces doivent également être visibles comme des améliorations dans la mise en œuvre de vos contrôles.
La déclaration d'applicabilité est également l'un des documents les plus populaires que vos clients ou autres parties prenantes peuvent souhaiter consulter. Comme toute organisation certifiée ISO 27001 connaît bien la déclaration d'applicabilité, il se peut qu'ils veuillent voir votre version.
La SdA est l'un des documents que certaines organisations mettent à la disposition de leurs parties prenantes sur demande. Cela peut se faire par exemple sur la page /sécurité de votre site web ou par exemple sur la page du centre de confiance d'une application ISMS, qui peut fournir un lien "par demande" vers votre SoA live la plus récemment publiée.
En résumé, une déclaration d'applicabilité correctement utilisée vous aidera à mener des efforts continus en matière de sécurité et de conformité. Il est obligatoire pour la certification et constitue un document clé pour toute personne souhaitant améliorer sa conformité à la norme ISO 27001.
Si vous gérez votre sécurité de l'information à l'aide d'un outil ISMS approprié, vous n'aurez pas besoin d'effectuer un travail supplémentaire pour rassembler le document SoA - toutes les informations nécessaires devraient toujours être disponibles dans votre ISMS ! Dans ce cas, la SdA est le rapport clé de votre SMSI, qui donne une vue d'ensemble du point de vue de la norme ISO 27001 et de la mise en œuvre des contrôles.
.png)
