La norme ISO 27001 est-elle une obligation ?

L’Insights Association a adopté la norme ISO 27001 relative à la sécurité de l’information comme option recommandée pour les sociétés de recherche et d’analyse et comme cadre pour la mise en œuvre d’un système de gestion de la sécurité de l’information (SGSI) dans un cadre. La norme ISO27001 définit les exigences relatives à un SMSI, mais ne constitue que la première étape du développement et de la mise en œuvre d’un système de gestion de la sécurité de l’information à part entière. Elle contient des lignes directrices complètes pour la conception, la mise en œuvre et la gestion d’un système de sécurité de l’information (SGSI). Sources : 7,1,8]

Connue officiellement sous le nom d’ISO / IEC 27001, c’est l’une des principales normes internationales pour les systèmes de gestion de la sécurité de l’information (SGSI) et également connue sous le nom de famille ISO 27000. Elle consiste en un ensemble de normes d’information et de sécurité qui contiennent des lignes directrices pour la conception, la mise en œuvre et la gestion d’un système de gestion de la sécurité de l’information (SGSI). Les 114 contrôles de l’annexe A et l’extension de la norme ISO-27002 fournissent un cadre complet pour la gestion des risques liés à l’information et le développement et la mise en œuvre d’un SGSI. Sources : 13,16,3]

Pour obtenir la certification ISO 27001, une organisation doit maintenir un SMSI qui couvre tous les aspects de la norme. Le point culminant est la norme ISO / IEC 27000, qui peut être certifiée indépendamment à n’importe quel niveau de l’autorité. Sources : 10,2]

ISO 27001 est la norme centrale de la série ISO 27000 et contient des exigences de mise en œuvre pour tous les SMSI. L’ISO / CEI 27004 fournit des lignes directrices pour la mesure et la sécurité de l’information et s’intègre bien dans l’ISO / 27001, qui explique comment déterminer si un SGSI a atteint ses objectifs. Après tout, il s’agit d’un cadre complet qui aide les entreprises à se conformer à un large éventail de réglementations, du GDPR au NIST. Si vous avez déjà mis en œuvre la norme ISO 9001 et que vous souhaitez mettre en œuvre la norme ISO 29000 ou que vous envisagez de le faire, la meilleure approche consiste à créer un système de gestion intégrée (SGI) qui répond aux exigences de la norme. Sources : 12,15,8,9]

Alors que la norme ISO 27001 se concentre sur la sécurité de l’information, il existe un certain nombre de plateformes et de technologies – cadres neutres conçus pour d’autres domaines tels que la cybersécurité et la protection des données. Plus important encore, le cadre de cybersécurité ISO / 27001 vous permet de comprendre clairement comment mettre en œuvre la sécurité de l’information et la cybersécurité dans votre organisation. En particulier, les normes ISO / 2701001 sont conçues comme une plate-forme pour le développement et la mise en œuvre d’une large gamme de solutions et d’outils de cybersécurité. Si l’on compare la norme ISO ou 27002 à d’autres cadres de cybersécurité, elle se situe en plein milieu du spectre, compte tenu des questions qu’elle couvre. [Sources : 11,2,5,6]

La norme ISO / CEI 27001 est formellement définie comme une norme pour la protection des informations et des données dans le domaine de la sécurité de l’information. En particulier, la norme ISO et I EC 2701001 2013 contient une série de lignes directrices et de directives pour le développement et la mise en œuvre de solutions et d’outils de cybersécurité. La norme ISO / 27000 est décrite à l’aide d’une série de différents types de solutions, outils et technologies de sécurité des données, notamment le système de gestion de la sécurité de l’information (SGSI) et le système de gestion de la protection des données (SGPD). Sources : 7,7,14]

ISO / 27001 est la seule norme internationale vérifiable qui décrit les exigences en matière de protection des informations et des données dans le domaine de la sécurité des données. ISO / 27001 a été la première et reste la norme la plus complète en matière de sécurité de l’information en Europe. C’est l’une des rares normes internationales qui a été auditée et qui définit les principes, les principes et les lignes directrices pour la protection des données et de l’information dans un large éventail d’industries. [Sources : 12,0]

ISO / 27002 est une norme supplémentaire qui décrit en détail les mécanismes de contrôle de la sécurité de l’information qu’une organisation peut mettre en œuvre. Elle contient des descriptions étendues et brèves dans l’annexe sur la sécurité de l’information et un certain nombre d’autres annexes. Sources : 15]

La norme ISO / CEI 27001 fournit un cadre pour la création et l’exploitation d’un système de gestion des informations sur la vie privée (PIMS) pour les systèmes de gestion de la sécurité de l’information. Cette norme aidera les organisations à mettre en œuvre et à améliorer le système de gestion de l’information sur la protection des données (PimS) afin d’améliorer le SGSI sur la base des meilleures pratiques en matière de sécurité de l’information et de systèmes de gestion de la protection des données (SGPD). Sources : 1,9]

La norme ISO 27001 du NIST comprend l’introduction de contrôles de sécurité pour la sécurité de l’information, mais la portée varie d’une organisation à l’autre, d’un état à l’autre, d’un pays à l’autre, et même d’un état à l’autre. En tant que groupe contribuant aux meilleures pratiques des systèmes d’information fédéraux, le Nist 800-53 est une norme axée sur les contrôles de sécurité pour la gestion des systèmes de gestion de l’information et des données aux États-Unis. Sources : 4,15]

Le programme de cybersécurité et de protection des données (CDPP) est une norme de pointe basée sur 2013 et suit les meilleures pratiques reconnues par l’industrie. Les entreprises doivent s’y conformer afin d’être considérées comme conformes aux exigences communes en matière de sécurité de l’information, selon le NIST. [Sources : 6,6]

L’objectif est le même que celui de la norme ISO 27001 : identifier, évaluer et gérer les risques acceptables dans les systèmes d’information. Les organisations doivent démontrer à leurs clients, aux organismes de certification et aux autorités de réglementation une approche holistique du système de gestion qui incarne les meilleures pratiques internationales. En adoptant une approche globale du contrôle de la qualité de la sécurité de l’information, les organisations doivent intégrer des contrôles documentés de l’information. Sources : 4,12,12]

Sources:

[0] : https://charterhousemuller.com/what-is-iso-20071-and-why-does-it-matter/
[1] : https://www.certificationeurope.com/certification/iso-27001-information-security/
[2] : https://www.varonis.com/blog/iso-27001-compliance/
[3] : https://www.itgovernanceusa.com/iso27001
[4] : https://blog.compliancecouncil.com.au/blog/iso-27001-vs-nist-cybersecurity-framework
[5] : https://cloudbusiness.com/what-is-iso-27001-and-why-should-you-get-certified/
[6] : https://www.complianceforge.com/product/iso-27001-27002-policies-standards-cdpp/
[7] : https://www.insightsassociation.org/get-support/iso-information-security-standard-27001
[8] : https://continuumgrc.com/why-is-iso-27001-critical/
[9] : https://heylaika.com/blog/iso-27001-for-startups/
[11] : https://advisera.com/27001academy/blog/2014/02/24/which-one-to-go-with-cybersecurity-framework-or-iso-27001/
[13] : https://www.securicy.com/blog/guide-to-implement-iso-27001-controls/
[14] : https://www.thousandeyes.com/blog/five-reasons-why-iso-27001-certification-matters
[16] : https://www.bitlyft.com/what-is-iso-27000/