ISO/IEC 27001:2022 concerne un système de management de la sécurité de l’information : confidentialité, intégrité et disponibilité. Le certificat ne garantit pas l’échec de toute attaque.

01

Délimiter l’information et les activités

Décrivez services, processus, sites, personnes, informations et technologies inclus. Montrez les interfaces avec les fournisseurs cloud et le télétravail. Externaliser une plateforme ne supprime pas la responsabilité des droits d’accès, contrats et traitements des données. Un certificat pour un service hébergé ne couvre pas automatiquement tous les produits ou sites.

02

Relier les risques à la déclaration d’applicabilité

Évaluez les risques selon des critères convenus, choisissez le traitement et attribuez les responsabilités. La déclaration d’applicabilité explique les mesures nécessaires, leur état de mise en œuvre et les raisons d’inclusion ou d’exclusion par rapport à l’ensemble de référence. Copier la liste d’une autre entreprise sans analyser ses propres risques rompt la traçabilité. D’autres mesures peuvent découler des activités et obligations.

03

Éprouver les limites sur une opération

Dans un service de paie hypothétique, précisez qui autorise les accès, stocke les fichiers, assiste le système et restaure les données. Le compte actif d’un salarié parti relie un risque au retrait d’accès et à ses preuves. Un test d’intrusion seul ne démontre pas toutes les mesures humaines, physiques et organisationnelles du SMSI.

04

Demande et autorité indépendante

Présentez périmètre, sites, effectifs, dépendances, analyse des risques, traitement et mise en œuvre. ISO/IEC 27006-1 complète les exigences de compétence et d’impartialité des organismes de certification du SMSI. ISO ne délivre pas de certificats ; vérifiez l’émetteur et toute accréditation revendiquée pour ce standard et cette activité. Le demandeur met en œuvre le système et prépare ses procédures propres à l’activité ainsi que ses enregistrements opérationnels. Une demande de certification adressée à Kayra porte sur les activités et sites réels, les informations de demande, les habilitations et les risques pour l’impartialité ; ce rôle ne comprend pas la conception ou la mise en œuvre du système du client. L’organisme de certification de systèmes de management, les autres parties de la même entité juridique et les entités sous son contrôle organisationnel ne peuvent proposer ou fournir ce conseil ; des contrats distincts ne lèvent pas cette restriction.

Sources et limites d’application

L’exemple est hypothétique. Le catalogue présente ISO/IEC 27001:2022 avec un amendement de 2024 ; vérifiez séparément l’édition et le statut du certificat réel.