Dans ce guide, nous allons vous expliquer en détail les informations essentielles ainsi que nos conseils pour adopter une posture cybersécurité en phase avec la norme ISO 27001 pour votre entreprise.
Vous avez peut-être déjà entendu parler de l’ISO 27001. C’est en effet un standard pour améliorer votre sécurité informatique.
Il est important de vous en préoccuper car une brèche peut avoir de lourdes conséquences sur les opérations voir sur la viabilité de votre entreprise à terme.
Bien entendu, ce guide vous permettra également de vous préparer à passer la certification si c’est votre cas.
Qu’est-ce que l’ISO 27001 ?
Établi conjointement par l’ISO (International Organization for Standardization) et l’IEC (International Electrotechnical Commission), la norme ISO/IEC 27001:2022 de son nom complet, est un standard international. Il a été conçu dans le but d’aider les entreprises à définir et mettre en œuvre un système de gestion de la sécurité de l’information.
La norme précise également comment maintenir et améliorer régulièrement en attribuant des rôles et des contrôles au sein de l’organisation.
Une première version de l’ISO 27001 a été publiée en 2013, puis révisée en 2014, 2015 et 2022. Pour plus d’informations, vous pouvez retrouver le texte complet de la norme ISO/IEC 27001:2022.
Concrètement (et pour vous épargner la lecture des centaines de pages), l’ISO 27001 liste l’ensemble des actions (organisation, procédures et contrôle) à mettre en œuvre pour garantir la confidentialité, la disponibilité et l’intégrité des informations.
C’est donc un excellent processus pour construire sa politique en matière de cybersécurité.
Définissons quelques termes avant d'aller plus loin
La disponibilité garantit que les informations sont accessibles aux personnes autorisées en cas de besoin.
L’intégrité protège la modification des informations par les personnes autorisées seulement.
L’implémentation de l’ISO 27001 au sein des entreprises
La norme ISO 27001 établit la liste de l’ensemble des risques cyber pouvant impacter le bon fonctionnement d’une société.
Elle fournit donc un large éventail d’items possibles à vérifier… Les entreprises l’utilisent notamment pour s’assurer que l’approche de la sécurité de l’information sélectionnée est complète et bien adaptée.
Enfin, elle s’applique aux organisations de toute taille ou de tout type.
En se référant à chacun des points énoncés, le dirigeant s’assure ainsi de couvrir tous les points critiques pour son organisation.
La norme ISO 27001 est donc LA référence mondiale pour garantir la sécurité des informations et des actifs informatique.
L’obtention de la certification ISO 27001 prouve qu’une entreprise met en œuvre de bonnes pratiques pour assurer la sécurité de ses informations et celles de ses clients.
Dois-je obligatoirement passer une certification ISO 27001 pour mon entreprise ?
Vous l’avez compris à travers ce guide, obtenir une certification ISO 27001 montrera à toutes les parties prenantes de votre entreprise (clients, fournisseurs, sous-traitants, personnels, …) que le sujet de la sécurité informatique est prise très au sérieux.
Dans certains secteurs ou pour certaines tailles d’entreprises, l’obtention de l’ISO 27001 peut donc être un pré-requis pour bâtir des relations de confiance.
Bien que cela ne soit pas obligatoire pour toutes les entreprises, construire une politique cybersécurité en se basant sur la norme ISO 27001 est donc une excellente pratique.
Grâce à des assistants pas à pas, Fabor vous aide à bâtir votre politique cybersécurité en respect de l’ISO 27001.
Quel est le coût ?
Le coût d’une certification ISO 27001 est bien entendu variable selon un critère fondamental : la taille de l’entreprise. Plus votre entreprise comprendra un nombre important de salariés, plus le coût sera élevé pour effectuer l’audit.
Néanmoins, on estime que la certification ISO 27001 coûte entre 10 000 et 15 000 euros pour une petite entreprise.
En effet, selon la taille de votre entreprise, l’implémentation d’un Système de management de la sécurité de l’information (ISMS en anglais) et de la norme ISO 27001 peut nécessiter d’impliquer un nombre élevé de collaborateurs et donc devenir complexe… et chronophage.
En combien de temps peut-on passer la certification ISO 27001 ?
La durée de réalisation d’une certification ISO 27001 est en général de quelques mois. Mais cela peut aller à une voir plusieurs années selon la taille de votre société.
Pour être efficace, définissez clairement le périmètre d’application de la certification et une approche structurée : lister l’ensemble des tâches à réaliser, désigner les responsables du projet et le planning.
Sur Fabor, en quelques minutes seulement, vous listez l’ensemble des actions essentielles à mettre en place pour protéger les actifs de votre entreprise.
Combien de temps la certification est valable ?
Une fois obtenu, la certification ISO 27001 est valable pendant 3 ans.
Donc, tous les 3 ans, vous devez entièrement renouveler le processus d’audit nécessaire à l’obtention de cette certification.
De plus, l’organisme ISO spécifie que des audits de surveillance sont à conduire durant les deuxième et troisième années du cycle de la certification.
Ce cycle répétitif d’audit vérifie la bonne implémentation de l’ISMS et les procédures de contrôles mis en œuvre.
Évidemment, votre entreprise va évoluer au cours du temps : nombre de salariés, activité principale, procédures, etc… Ce qui nécessitera une redéfinition régulière du périmètre de la certification ISO 27001 et des parties prenantes.
Sans compter que la norme évolue régulièrement, modifiant certains critères d’obtention de la certification.
Fabor suit régulièrement les évolutions de votre entreprise pour maintenir une couverture de protection cybersécurité constante.
Comment se préparer le plus efficacement à l’ISO 27001 ?
Notre meilleur conseil dans ce guide ISO 27001 pour se préparer au passage de la certification est de conduire un audit interne approfondi. D’autant plus que c’est obligatoire pour le passage en certification !
Pour cela, Fabor vous fournit un outil complet pour vous auto-évaluer régulièrement.
Cet audit interne va vous permettre de vérifier en profondeur si votre architecture ISMS et vos procédures sont en adéquation avec les critères nécessaires à l’obtention de l’ISO 27001.
Quelques indications complémentaires :
- confiez cet audit interne à un personnel objectif et impartial, sans intérêts particuliers, n’ayant pas participé à la conception ni à l’utilisation du système mis en place,
- assurez-vous que cet auditeur est qualifié et compétent pour mener à bien des audits tels que l’ISO 27001.
Fabor conduit pour vous un audit régulier. Le rapport liste les non-conformités vis-à-vis de la politique de cybersécurité que vous avez défini grâce à nos assistants. Il est simple de suivre l’évolution de vos progrès d’entreprise.
La suite logique de cet audit interne est l’audit externe.
Cet audit externe est conduit en 2 phases :
- Phase 1 : revue complète de votre documentation cybersécurité avec un auditeur externe certifié ISO 27001 pour s’assurer que vous répondez aux critères de la norme,
- Phase 2 : aussi nommé « audit de certification », consiste en passages de divers tests pour vérifier que l’ISMS désigné est fonctionnel et correctement implémenté au sein de l’organisation.
Comment automatiser le plus possible la certification ISO 27001 ?
Dans ce guide sur l’ISO 27001, nous avons vu que la préparation interne est un passage important avant la certification par un auditeur externe.
Fabor offre une solution complète d’outils pour définir votre politique cybersécurité et effectuer des audits réguliers.
Contactez-nous dès maintenant pour en savoir plus.