Système de management de la sécurité de l'information
Mise en œuvre de l'ISO/IEC 27001:2022
Nous mettons en œuvre votre système de management de la sécurité de l'information (SMSI) conformément à l'ISO/IEC 27001:2022 et l'intégrons à l'ENS lorsque celui-ci s'applique également à vous. Nous sommes certifiés ISO/IEC 27001 depuis 2020.
La norme
Qu'est-ce que l'ISO/IEC 27001
L'ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information. Elle repose sur l'analyse des risques et l'amélioration continue : l'organisation décide des mesures dont elle a besoin, les applique, mesure leur efficacité et les réexamine.
La version en vigueur, de 2022, organise son annexe A en 93 mesures organisationnelles, liées aux personnes, physiques et technologiques. C'est une certification courante dans les entreprises technologiques qui traitent des données de tiers, et une bonne base pour celles qui doivent en outre respecter l'ENS.
ENS + ISO/IEC 27001
Un seul système pour respecter les deux référentiels
L'ENS et l'ISO/IEC 27001 partagent la même logique de gestion des risques. Une fois intégrés, on travaille avec une seule analyse des risques, une politique commune et une documentation valable pour les deux audits.
| Aspect | ENS (décret royal 311/2022) | ISO/IEC 27001:2022 |
|---|---|---|
| Nature | Obligatoire pour le secteur public et ses fournisseurs (décret royal 311/2022). | Norme internationale d'application volontaire. |
| Approche | Mesures de sécurité déterminées par la catégorie du système. | Système de management avec des mesures sélectionnées selon l'analyse des risques. |
| Mesures | Annexe II : cadre organisationnel, cadre opérationnel et mesures de protection. | Annexe A : 93 mesures organisationnelles, liées aux personnes, physiques et technologiques. |
| Document clé | Déclaration d'applicabilité. | Déclaration d'applicabilité (DdA). |
| Conformité | Déclaration (BASIQUE) ou certification (MOYENNE et HAUTE) par un organisme accrédité. | Certification par un organisme accrédité. |
| Audits | Au moins tous les deux ans. | Cycle de trois ans avec des audits de surveillance annuels. |
Méthodologie
Les phases de la mise en œuvre du SMSI
-
Contexte et périmètre
Parties intéressées, exigences légales et contractuelles, et périmètre du SMSI, aligné sur celui de l'ENS le cas échéant.
-
Leadership et politique
Engagement de la direction, politique de sécurité, objectifs et rôles.
-
Risques et DdA
Appréciation et traitement des risques et déclaration d'applicabilité des mesures de l'annexe A.
-
Déploiement
Mesures, procédures, formation et sensibilisation, et registre des preuves.
-
Audit interne
Audit interne et revue de direction avant la certification.
-
Certification
Accompagnement lors des étapes 1 et 2 de l'audit de l'organisme certificateur.
Notre propre expérience
Certifiés ISO/IEC 27001 depuis 2020
Nous avons obtenu la certification pour notre activité quotidienne avec des données d'entités des secteurs public et privé, et nous la maintenons avec l'ENS catégorie MOYENNE. C'est avec ce système que nous développons les logiciels sur mesure et les solutions que nous installons chez nos clients.
Voir nos certifications
Questions fréquentes
Vos questions sur l'ISO/IEC 27001
Si je suis déjà certifié ISO/IEC 27001, suis-je conforme à l'ENS ?
Pas automatiquement. Une grande partie du travail est réutilisable (analyse des risques, politique, mesures et documentation), mais l'ENS comporte ses propres mesures selon la catégorie et sa propre procédure de conformité. C'est pourquoi il est préférable de les mettre en œuvre de manière intégrée.
L'ISO/IEC 27001 est-elle obligatoire pour travailler avec le secteur public ?
Elle n'est pas obligatoire au regard de la loi, contrairement au Schéma national de sécurité espagnol, mais certains cahiers des charges l'exigent ou la retiennent comme critère d'attribution.
Qu'est-ce qui a changé dans la version 2022 de la norme ?
L'annexe A est passée de 114 mesures réparties en 14 domaines à 93 mesures regroupées en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques. 11 nouvelles mesures ont été ajoutées, comme le renseignement sur les menaces, la sécurité des services cloud, le codage sécurisé ou la prévention des fuites de données.
Quelle est la durée de la certification ISO/IEC 27001 ?
Le certificat a un cycle de trois ans, avec des audits de surveillance annuels et un audit de renouvellement à la fin du cycle.
Vous souhaitez obtenir la certification ISO/IEC 27001 ?
Nous vous proposons un plan de mise en œuvre intégré à l'ENS et adapté au périmètre de votre organisation.
