Qu’est-ce que la déclaration d’applicabilité dans l’ISO 27001 ?

C’est le document qui reprend chaque mesure de référence de l’annexe de la norme et indique, pour chacune, si vous l’appliquez, pourquoi, et comment elle est mise en œuvre. La déclaration d’applicabilité (DdA, ou SoA en anglais) relie votre appréciation des risques à vos mesures : une mesure est retenue parce qu’elle traite un risque identifié ou répond à une obligation légale ou contractuelle, et exclue seulement avec une justification, par exemple parce que vous n’avez pas de locaux propres. Les auditeurs s’en servent comme d’une carte de votre SMSI et testent les mesures qu’elle revendique ; les clients la demandent parfois pour comprendre ce que couvre réellement votre certificat. Gardez-la courte et factuelle, citez la preuve de chaque mesure mise en œuvre et mettez-la à jour quand vos risques ou votre organisation changent. Une bonne entrée sur la surveillance nomme l’outil, les systèmes couverts, qui examine les résultats et où sont conservés les enregistrements. Si NetSenX fait partie de votre surveillance, sa carte du réseau, son historique d’alertes et son journal d’audit peuvent être cités comme preuves ; la déclaration reste votre document.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes