Accompagnement à la certification ISO 27001, de l'écart à l'audit
De l'analyse d'écart à l'audit de certification.
La norme ISO/IEC 27001:2022 définit les exigences d'un système de management de la sécurité de l'information. La certification est délivrée par un organisme de certification accrédité, à l'issue d'un audit en deux étapes : une revue documentaire, puis la vérification de l'application effective du système.
L'accompagnement vous prépare à cet audit. Il fixe un périmètre pertinent, conduit l'analyse de risques et produit la déclaration d'applicabilité, qui justifie le choix des mesures parmi les 93 de l'annexe A. Le système est ensuite mis en fonctionnement réel, car l'auditeur vérifie ce qui se fait, pas seulement ce qui est écrit.
La certification reste la décision de l'organisme certificateur. L'accompagnement ne la garantit pas ; il vous met en position de la passer avec un système solide, compris par vos équipes et maintenable après l'audit.
Ce que vous obtenez
- Analyse d'écart initiale et périmètre du système de management
- Méthode et rapport d'analyse des risques, plan de traitement
- Déclaration d'applicabilité justifiant chaque mesure de l'annexe A retenue ou exclue
- Politiques et procédures requises par la norme
- Audit interne, revue de direction et préparation à l'audit de certification
Déroulé
Écart et périmètre
Évaluation de l'existant au regard des exigences de la norme et choix d'un périmètre cohérent avec vos objectifs commerciaux.
Construction du système
Analyse des risques, déclaration d'applicabilité, politiques, rôles. Les documents sont rédigés pour être utilisés, pas pour remplir un classeur.
Mise en fonctionnement
Les mesures sont appliquées et produisent leurs premiers enregistrements. Un audit interne et une revue de direction sont conduits, comme l'exige la norme.
Audit de certification
Préparation des équipes, accompagnement pendant les deux étapes de l'audit et traitement des éventuels écarts relevés par l'organisme.
Questions fréquentes
Pourquoi une durée de 3 à 9 mois ?
Elle dépend de la taille du périmètre et de la maturité de départ. Le système doit aussi fonctionner un certain temps avant l'audit pour produire des preuves. La durée prévue est arrêtée au cadrage.
Valtieri délivre-t-il la certification ?
Non. Seul un organisme de certification accrédité peut la délivrer. Le rôle de l'accompagnement est de vous y préparer ; il ne peut pas réaliser lui-même l'audit de certification.
Que se passe-t-il après la certification ?
La certification est suivie d'audits de surveillance réguliers par l'organisme. Le système doit donc continuer à vivre : revue des risques, audits internes, amélioration continue.
Dans le même pôle : Cybersécurité
- Diagnostic de posture
Où vous en êtes, et ce qui manque.
- Mise en conformité
Des mesures déployées, documentées, prouvables.
- RSSI à temps partagé
La responsabilité pèse sur les dirigeants. Nous portons le sujet avec eux.
- Intégration des outils de sécurité
Un outil installé n'est pas un outil en service.
- Tests d'intrusion
Trouver les failles avant ceux qui les cherchent.
- Sensibilisation et simulations d'hameçonnage
Le premier vecteur d'attaque reste l'humain. Il se forme.
- Réponse à incident
Quand l'incident arrive, vous savez qui appeler.
Parlons de votre contexte.
Trente minutes pour qualifier le besoin. Le cadrage écrit suit sous quatorze jours ouvrés.
Demander un échange