Préparation ISO 27001 et conseil SMSI
Un certificat ISO/IEC 27001 n'est délivré que par un organisme de certification accrédité, après un audit formel. Aucun cabinet de conseil ne peut l'accorder. Nous vous aidons à bâtir un Système de management de la sécurité de l'information prêt pour cet audit : périmètre et traitement des risques, contrôles de l'Annexe A, audit interne et revue de direction, ainsi que les tests d'intrusion qui prouvent l'efficacité de vos contrôles techniques. L'audit de certification est réalisé par un organisme accrédité.
Déploiement du SMSI
L'ISO/IEC 27001:2022 certifie un système de management, pas un produit. Les chapitres 4 à 10 de la norme définissent le SMSI, et l'Annexe A liste 93 contrôles répartis en quatre thèmes : Organisationnel, Humain, Physique et Technologique. Nous vous aidons à mettre en place le système, puis à sélectionner, mettre en œuvre et prouver les contrôles applicables.
- Périmètre, contexte, leadership du SMSI et les exigences du système de management des chapitres 4 à 10
- Appréciation des risques et plan de traitement des risques, avec la Déclaration d'applicabilité
- Sélection et mise en œuvre des contrôles de l'Annexe A 2022 (93 contrôles répartis sur les quatre thèmes)
- Politiques, procédures et enregistrements que l'auditeur échantillonnera
- Tests d'intrusion comme preuve pour les contrôles technologiques
- Audit interne et revue de direction en amont de l'audit de certification
Nous le bâtissons ; un organisme accrédité le certifie
Nous sommes votre partenaire de mise en œuvre et de préparation. La certification est un audit de Stage 1 (documentation) puis de Stage 2 (mise en œuvre) réalisé par un organisme de certification accrédité qui doit être indépendant des personnes ayant bâti le SMSI. Nous vous préparons et pouvons mener votre audit interne, mais nous ne sommes pas un organisme de certification et n'émettons jamais le certificat.
- 1
Cadrage et analyse d'écart
Nous définissons le périmètre du SMSI, menons une analyse d'écart par rapport à l'ISO/IEC 27001:2022 et à l'Annexe A, et signons un NDA.
- 2
Traitement des risques
Nous bâtissons l'appréciation des risques, le plan de traitement des risques et la Déclaration d'applicabilité qui pilotent la sélection des contrôles.
- 3
Contrôles et documentation
Nous mettons en œuvre les chapitres du système de management et les contrôles de l'Annexe A, et menons le test d'intrusion qui en apporte la preuve.
- 4
Audit interne et revue
Nous menons l'audit interne et la revue de direction afin que les non-conformités soient corrigées avant l'audit externe.
- 5
Accompagnement à la certification
Nous vous accompagnons tout au long des audits de Stage 1 et de Stage 2 de l'organisme accrédité et de toute action corrective.
Ce que vous recevez
Un SMSI complet, prêt pour l'audit, et les preuves techniques qui l'étayent. Le certificat lui-même est émis par l'organisme de certification accrédité après un audit de Stage 2 réussi, pas par nous.
- Analyse d'écart par rapport à l'ISO/IEC 27001:2022 et aux contrôles de l'Annexe A 2022
- Appréciation des risques, plan de traitement des risques et Déclaration d'applicabilité
- Ensemble de politiques et procédures du SMSI, plus les enregistrements que l'auditeur échantillonne
- Rapport de test d'intrusion (CVSS 3.1, PoC, reproduction) apportant la preuve des contrôles technologiques
- Rapport d'audit interne et dossier de revue de direction
- Validation de préparation et accompagnement tout au long de l'audit de certification
Ancré dans l'ISO/IEC 27001:2022
La préparation suit l'ISO/IEC 27001:2022 (chapitres 4 à 10 du système de management) avec des contrôles sélectionnés dans l'Annexe A 2022 (93 contrôles répartis sur les thèmes Organisationnel, Humain, Physique et Technologique), guidée par l'ISO/IEC 27002:2022. Le certificat n'est accordé que par un organisme de certification accrédité après un audit de Stage 1 / Stage 2 : nous fournissons le déploiement du SMSI, l'audit interne et le test d'intrusion de soutien, mais nous ne sommes pas un organisme de certification et n'émettons pas de certificats ISO 27001.
Préparez-vous pour ISO 27001.
Indiquez-nous le périmètre prévu de votre SMSI. Nous mènerons l'analyse d'écart, mettrons en place le traitement des risques et les contrôles, en apporterons la preuve par un test d'intrusion et vous préparerons à l'audit d'un organisme de certification accrédité, sous NDA. La première consultation est gratuite.