Pourquoi tant de questionnaires ressemblent à ISO 27001
ISO 27001 est la norme de sécurité de l’information la plus utilisée, et son Annexe A est une liste de contrôles regroupés par thèmes. Lorsqu’une équipe de sécurité client rédige un questionnaire, l’Annexe A est la liste de vérification dont elle part, même si le questionnaire ne mentionne jamais ISO. Les questions arrivent donc dans un ordre reconnaissable : politiques et organisation, personnes, sécurité physique, technologie.
Les thèmes, et ce que chacun demande
Contrôles organisationnels. Avez-vous une politique de sécurité de l’information, qui est responsable de la sécurité, comment les rôles sont-ils définis, comment gérez-vous les fournisseurs, comment classez-vous les informations, comment traitez-vous les incidents, comment planifiez-vous la continuité, quelles sont vos obligations légales et contractuelles. C’est le groupe le plus important et celui dans lequel les politiques écrites comptent le plus.
Contrôles liés aux personnes. Vérification avant l’embauche, conditions d’emploi, formation de sensibilisation à la sécurité, procédure disciplinaire, ce qui se passe lorsqu’une personne quitte l’entreprise, accords de confidentialité, règles de travail à distance.
Contrôles physiques. Zones sécurisées, contrôles d’accès, protection contre les menaces environnementales, sécurité des équipements, bureau propre et écran propre, élimination sécurisée. Pour une entreprise cloud, l’essentiel est couvert par la certification du fournisseur d’hébergement, ainsi que par ce que vous faites pour les ordinateurs portables et les bureaux.
Contrôles technologiques. Terminaux, accès privilégié, restriction des accès, authentification, gestion de la capacité, protection contre les logiciels malveillants, gestion des vulnérabilités, journalisation et surveillance, sauvegarde, redondance, sécurité réseau, cryptographie, développement sécurisé, gestion des changements, données de test, revue de code.
Répondre avec un certificat
Si vous êtes certifié, le certificat, son périmètre et la déclaration d’applicabilité répondent à une grande partie de tout questionnaire de type ISO. Joignez le certificat, citez le périmètre exactement (les relecteurs vérifient que le service qu’ils achètent y est inclus), et, pour chaque thème, répondez à partir de la déclaration d’applicabilité : quels contrôles s’appliquent, comment ils sont mis en œuvre et qui en est responsable. Attendez-vous à des questions sur le dernier audit de surveillance et sur toute non-conformité.
Répondre sans en avoir
Vous pouvez toujours répondre à chaque ligne. Pour chaque contrôle, indiquez si vous l’avez, comment il est mis en œuvre, qui en est responsable et où se trouvent les preuves ; et pour ceux que vous n’avez pas, dites-le, ainsi que ce que vous faites à la place ou quand c’est prévu. Un fournisseur qui donne des réponses claires et honnêtes, avec un plan, réussit souvent la revue d’un client ; un fournisseur avec un certificat et des réponses vagues, parfois non.
Conservez la correspondance, pas les questionnaires
Le même contrôle de l’annexe A sera demandé dans chaque questionnaire à partir de maintenant, avec d’autres mots. Gardez une réponse approuvée par contrôle, avec sa preuve et sa date, et rédigez chaque questionnaire à partir de là. Dans Responsemate, cette réponse vit une seule fois dans la base de connaissances, avec son fichier et sa date d’expiration, et chaque questionnaire est rédigé à partir d’elle avec la source affichée sur chaque ligne. Les connaissances dans Responsemate.
Questions fréquentes
Avons-nous besoin de la certification ISO 27001 pour répondre à un questionnaire ISO 27001 ?
Non. Le questionnaire demande si vous disposez des contrôles, pas si un auditeur les a vérifiés. Un certificat vous permet de répondre à de nombreuses lignes par « certifié, voir le certificat et la déclaration d’applicabilité » ; sans certificat, vous répondez à chaque ligne sur le fond.
Qu’est-ce que la déclaration d’applicabilité ?
Le document d’un système ISO 27001 qui répertorie chaque contrôle de l’Annexe A et indique s’il s’applique à vous et comment il est mis en œuvre. Les relecteurs qui connaissent ISO le demandent, car il répond à la plupart des questions de leur questionnaire dans un seul document.