Qu'est-ce que l'ISO 27001 ?

Qu'exige l'ISO 27001 ?

L'ISO 27001 ne prescrit pas une liste fixe de mesures, mais une manière de travailler. L'organisation définit le périmètre, recense les informations dont elle dispose et les risques qui pèsent sur elles, choisit des mesures et consigne pourquoi. Viennent ensuite des audits internes, une revue de direction et des améliorations : un cycle qui revient chaque année.

L'organisation choisit les mesures dans une annexe de la norme. Dans la version actuelle, l'ISO/IEC 27001:2022, il y en a 93, réparties en quatre thèmes : organisationnel, humain, physique et technologique. Exemples : gestion des accès, chiffrement, sauvegardes, gestion des fournisseurs et sensibilisation du personnel. Les certificats selon l'ancienne version de 2013 ont expiré après la période de transition.

Que dit un certificat ?

Un organisme de certification accrédité vérifie si l'organisation respecte la norme ; aux Pays-Bas, le Raad voor Accreditatie accrédite ces organismes. Un certificat est valable trois ans, avec des audits de surveillance annuels. Il atteste que l'organisation maîtrise sa sécurité de l'information dans le périmètre indiqué sur le certificat, pas que rien ne peut jamais mal tourner.

Pourquoi est-ce important dans le choix d'un logiciel ?

Avec le SaaS, vos données sont chez le fournisseur. Un certificat ISO 27001 permet de juger rapidement s'il prend cela au sérieux, et les organisations soumises à NIS2 doivent évaluer la sécurité de leurs fournisseurs. Demandez le certificat, vérifiez le périmètre et la validité, et regardez si le service que vous achetez est couvert.