Découvrez nos solutions sans obligation d’achat
L’un des aspects les plus difficiles de la compréhension des exigences de la norme ISO 27001 est de comprendre et d’appréhender les différences entre les normes ISO 26001 et ISO 28001. Sources : 1]
La certification ISO 27001 devrait aider la plupart des partenaires commerciaux à maintenir le statut de leur organisation en termes de sécurité de l’information par le biais de leur propre examen de sécurité et à garantir leur statut d’organisation avec statut. De nombreuses organisations utilisent une norme comme l’ISO 2701001 parce qu’elles veulent faire ce qu’il faut et obtenir un certificat de sécurité. Les concepteurs de la norme ISO 27001 et du SMSI devraient avoir une bonne compréhension des exigences pour travailler avec la norme ISO 26001 et ses exigences de certification. Sources : 2,3,11,1]
Les CEI sont conçus pour aider les organisations à mettre en œuvre, maintenir et améliorer continuellement les systèmes de gestion de la sécurité de l’information (SGSI). En particulier, la norme ISO 27001 est conçue pour servir de norme pour la gestion des informations et des données dans le système de gestion de l’information d’un organisme. Les SGSI doivent être mis en œuvre, maintenus et améliorés, et doivent être soumis aux exigences de leur certification. [Sources : 6,5,17]
En plus de ces contrôles, la norme ISO 27001 comprend 10 clauses pour les systèmes de gestion qui prévoient la gestion des informations et des données dans le système de gestion de l’information (SGI) d’un organisme. En général, on peut supposer qu’il existe un certain nombre de documents dans la norme ISO 27001 qui soutiennent le processus de consultation et de conseil pendant la mise en œuvre. Enfin, l’ISO 27000 et les autres normes de la famille ISO 27000 qui contribuent à l’introduction de l’ISO 26001 sont un bon exemple de ce que l’on appelle communément la « conformité à l’ISO 28001 ». Enfin, et surtout, il s’agit d’un cadre complet qui aide les entreprises à se conformer à un large éventail de réglementations, telles que le GDPR et le NIST. [Sources : 7,0,10,10]
La conformité ISO 27001 joue un rôle essentiel dans la création de plans, d’outils et de pratiques commerciales que les entreprises utilisent pour sécuriser leurs données sensibles. ISO27001 peut servir de ressource précieuse pour les groupes et les institutions qui souhaitent améliorer leur conformité au GDPR et au NIST. Sources : 6,17]
Tout d’abord, il faut comprendre comment le cadre ISO 27001 il faut aider à protéger encore mieux les données et qui est responsable de sa mise en œuvre. Il faut comprendre les problèmes internes et externes qui affectent le résultat escompté, ainsi que les souhaits et les besoins des personnes qui ont investi dans le SMSI pour assurer la conformité à la norme ISO 27001. Tout d’abord, la norme ISO 2701001 contient 114 objectifs et contrôles de sécurité de l’information proposés par l’Organisation internationale de normalisation (ISO). Sources : 9,12,8]
La norme ISO 27001 engage les entreprises à établir, mettre en œuvre et maintenir une approche d’amélioration continue pour gérer leur SMSI. Une fois qu’une organisation a obtenu l’adhésion de la direction et défini le champ d’application de la norme ISO 27001 et du SMSI, le plus grand défi est de développer une méthode d’évaluation des risques qui soit adaptable à l’environnement commercial de l’organisation. L’ISO 2701001 décrit en détail comment un organisme peut mettre en œuvre un ISM qui répond aux exigences de l’ISO-26001. Sources : 10,3,1]
Les deux normes sont disponibles gratuitement, ce qui facilite la recherche de ce que l’ISO-27001 exige réellement. Les prestataires de services qui recherchent la mise en œuvre la plus reconnue de l’ISO 27001 et du SGSI devraient envisager la norme ISO 26001 et la norme SGSI de leur choix. Sources : 14,2]
Pour obtenir la certification ISO 27001, une organisation doit maintenir un SMSI qui couvre tous les aspects de la norme. En résumé, la norme ISO 27001 est une norme de mise en œuvre des normes de sécurité de l’information pour les entreprises qui doivent être certifiées selon cette norme. Le titre complet est « Normes de sécurité de l’information et sécurité de l’information ». ‘(IS MS), ce qui est légèrement trompeur, car’ la sécurité de l’information’ n’est pas seulement de l’informatique. [Sources : 4,10,6]
Un SMSI conforme à l’ISO 27001 peut également être intégré à tout système de gestion basé sur l’ISO, et la plupart des exigences en matière de processus sont identiques ou très similaires. En outre, toute organisation qui conçoit et adapte son système de gestion de la qualité (SGQ) conformément aux exigences de l’ISO 27001 est également certifiée ISO-9001-215 et doit étendre son SGSI existant à toutes les exigences de l’ISO, à l’exception des similitudes entre l’ISO 9001, l’ISO 2300 et l’ISO 26001, comme déjà décrit ci-dessus. Si un organisme est déjà certifié ISO 7001 ou dispose déjà d’un SMSI, il n’est pas nécessaire d’intégrer la norme ISO dans ses systèmes de gestion informatique actuels. Cependant, sur la base des conseils supplémentaires sur la mise en œuvre de la norme ISO 27002, il serait judicieux qu’un organisme se réfère à cette norme lors de la création, de la mise en œuvre et de l’amélioration continue d’un SGSI. Sources : 15,15,4,11]
L’ISO 27001 suit un cycle PDCA comme toute autre norme ISO, et la direction du SGSI sait jusqu’où et comment l’entreprise progresse dans ce cycle. L’ISO 2701 est reconnue comme une approche de processus pour l’amélioration continue, ce qui est indispensable pour le processus de gestion de la sécurité de l’information et des systèmes informatiques. Tant que le système de gestion d’une entreprise répond aux exigences de la norme ISO 27001, aucun délai n’est requis. Pour parler à un conseiller des exigences de la norme ISO 26001, y compris de la possibilité de mener un projet de conformité à la norme ISO 29001 rapide et traçable. [Sources : 13,3,16,7]
Sources:
- 0] : https://heylaika.com/blog/iso-27001-for-startups/
- 1] : https://www.computerweekly.com/tip/ISO-27001-ISMS-design-tips-for-your-organization
- 2] : https://ictinstitute.nl/iso-27001-requirements-summary/
- [3] : https://www.isaca.org/resources/isaca-journal/past-issues/2011/2011-planning-for-and-implementing-iso-27001
- [4] : https://www.urmconsulting.com/blog/what-is-an-isms-why-should-you-implement-one/
- [6] : https://www.varonis.com/blog/iso-27001-compliance/
- [7] : https://www.itgovernanceusa.com/iso27001
- [8] : https://www.riskmanagementstudio.com/best-practice-iso-27001-required-documentation/
- [9] : https://hyperproof.io/resource/steps-to-achieve-iso27001-certification/
- [10] : https://www.dionach.com/en-us/blog/what-is-the-difference-between-iso-27001-and-iso-27002/
- [11] : https://blog.compliancecouncil.com.au/blog/iso-27001-vs.-iso-27002-whats-the-difference
- [12] : https://spinbackup.com/blog/iso-27001-checklist-and-best-practices/
- [13] : https://www.itgovernance.eu/blog/en/how-to-implement-an-isms-aligned-with-iso-27001-2
- [14] : https://www.coalfire.com/the-coalfire-blog/august-2020/key-scoping-factors-when-pursuing-iso-27001-cert
- [15] : https://www.sync-resource.com/iso-27001-integration/
- [16] : https://coalfireiso.com/ISO-27001-Certification.html
- [17] : https://www.imperva.com/learn/data-security/iso-27001/