Comment préparer notre premier audit de certification ISO 27001 ?

Commencez par le périmètre et les preuves, pas par des documents pour eux-mêmes. Fixez d’abord le périmètre : quelle organisation, quels sites, services et systèmes le certificat couvrira, choisis pour compter aux yeux des clients et pouvoir aboutir. Faites ensuite le travail de fond qu’exige la norme : appréciation et plan de traitement des risques, déclaration d’applicabilité, politiques et procédures obligatoires, rôles attribués, sensibilisation du personnel et mesures qui fonctionnent réellement. Laissez-les fonctionner assez longtemps pour produire des enregistrements, comme des revues d’accès, des approbations de changements, des tickets d’incident, des contrôles de fournisseurs et des revues de surveillance, car les auditeurs vérifient des preuves de fonctionnement, pas des intentions. Menez un audit interne et une revue de direction avant l’audit externe, et corrigez ce qu’ils révèlent. Les audits de certification se déroulent en général en deux étapes : d’abord une revue de la documentation et de la préparation, puis une évaluation du fonctionnement réel du système. Choisissez un organisme de certification accrédité et séparez le consultant qui vous accompagne de l’auditeur. Pour les mesures de surveillance, la carte du réseau, l’historique d’alertes, le journal d’audit et les rapports de conformité PDF de NetSenX peuvent faire partie de vos preuves ; NetSenX n’audite ni ne certifie rien.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes