Sécurité offensive
Gouvernance & conformité
Protection des données
Référentiels & règlementsAccompagnement à la certification ISO 27001
Gouvernance & conformité
Accompagnement à la certification ISO 27001
Exposez votre système d’information au regard le plus exigeant : le référentiel international qui atteste, preuves à l’appui, de la solidité et de la résilience de votre gouvernance sécurité.
Qu’est-ce que la certification ISO 27001 ?
La norme ISO/IEC 27001 fixe les exigences d’un système de management de la sécurité de l’information (SMSI). Elle appartient à la famille ISO 27000, qui réunit les bonnes pratiques du domaine : l’ISO 27002 pour les mesures de sécurité, l’ISO 27005 pour la gestion des risques. La version en vigueur date de 2022.
Le SMSI s’applique à tout ou partie du système d’information. Il organise la sécurité autour des risques, qui sont évalués au regard de la disponibilité, de l’intégrité et de la confidentialité de ce que l’entreprise doit protéger.
La certification, délivrée par un organisme accrédité, atteste auprès de vos clients et partenaires que ce système fonctionne.
Le modèle PDCA et les mesures de l’annexe A
Le SMSI fonctionne sur le modèle itératif PDCA : planifier, mettre en œuvre, contrôler, améliorer. Sa performance est surveillée, revue et corrigée en continu, notamment à partir des audits internes et de la revue de direction.
Les mesures de sécurité sont choisies dans l’annexe A de la norme. L’édition 2022 en compte 93, réparties en quatre thèmes. La déclaration d’applicabilité justifie celles qui sont retenues et celles qui sont écartées.
Mesures organisationnelles
Politiques, rôles, fournisseurs, incidents, continuité, conformité
Mesures liées aux personnes
Recrutement, sensibilisation, télétravail, fin de contrat
Mesures physiques
Périmètres, accès aux locaux, équipements, supports
Mesures technologiques
Accès, cryptographie, journalisation, développement, réseaux
Notre accompagnement vers la certification
Chaque phase peut être engagée seule.
État des lieux
Évaluation de votre maturité sur notre grille de 19 thématiques, écarts classés par criticité, plan d’action chiffré et proposition de périmètre.
Mise en place du SMSI
Gouvernance et comité de sécurité, appréciation des risques, déclaration d’applicabilité, documentation, sensibilisation des équipes.
Audit à blanc
Un auditeur indépendant de l’équipe d’accompagnement vérifie la conformité et prépare vos équipes aux entretiens de certification.
Certification et maintien
Audit par l’organisme certificateur de votre choix, puis audits internes, revues de direction et audits de surveillance annuels.
L’audit à blanc fait aussi l’objet d’une prestation dédiée, pour les organisations qui ont construit leur SMSI seules ou avec un autre partenaire.
Les 19 thématiques de l’état des lieux
L’état des lieux couvre l’ensemble de la norme dans son édition 2022. Chaque écart relevé est classé en non-conformité majeure, non-conformité mineure ou observation, avec une référence précise à l’exigence ou à la mesure concernée.
Contexte et enjeux
Gouvernance de la sécurité
Obligations légales
Appréciation des risques
Gestion documentaire
Comité de sécurité
Ressources humaines
Actifs et classification
Droits et accès
Chiffrement
Sécurité physique
Nomadisme et télétravail
Postes et serveurs
Sécurité réseau
Sécurité du développement
Relations fournisseurs
Supervision de la sécurité
Gestion des incidents
Continuité d’activité
Pourquoi Digitemis
- Nos consultants sont certifiés Lead Implementer et Lead Auditor ISO 27001, avec des retours d’expérience dans la banque, la santé, l’industrie et l’édition de logiciels.
- La même équipe vous suit de l’état des lieux au maintien de la certification ; l’audit à blanc est confié à un auditeur qui n’a pas participé à la mise en place.
- Le SMSI apporte une partie des preuves attendues par le RGPD, NIS 2, DORA ou HDS.
- Digitemis est qualifié PASSI LPM par l’ANSSI pour les audits techniques qui alimentent le SMSI.
Ils nous font confiance
informations
Contactez-nous
Vous envisagez une certification ISO 27001 ? Remplissez le formulaire, nous reviendrons vers vous rapidement pour un premier échange.
Expertises liées
FAQ
Questions fréquentes
Si vous avez d’autres questions, n’hésitez pas à nous contacter directement !
Combien de temps pour être certifié ?
La mise en place du SMSI prend généralement de 9 à 18 mois, selon le périmètre et votre maturité de départ. L’état des lieux et l’audit à blanc demandent chacun quelques jours d’audit.
L’audit à blanc peut-il valoir audit interne ?
Oui, s’il est mené par un auditeur indépendant de l’équipe qui a construit le SMSI : il peut alors tenir lieu de premier audit interne au sens de l’exigence 9.2. Les audits internes restent ensuite à conduire à intervalles planifiés.
Faut-il certifier tout le système d’information ?
Non. Un périmètre ciblé (un produit, une activité, un centre de données) est admis s’il est cohérent et clairement défini. L’état des lieux se conclut par une proposition de périmètre.
Que se passe-t-il après la certification ?
Le certificat vaut trois ans, avec des audits de surveillance annuels puis un audit de renouvellement. Audits internes et revues de direction entretiennent le SMSI entre deux passages de l’organisme certificateur.
cas client
Découvrez notre approche
cas client
