Pour obtenir la certification ISO 27001, une entreprise définit et consigne son périmètre, apprécie ses risques, rédige la déclaration d'applicabilité sur les 93 mesures de l'annexe A, fait fonctionner le système de management assez longtemps pour avoir des enregistrements, choisit un organisme de certification accrédité pour l'ISO/IEC 27001, et passe une revue documentaire d'étape 1 suivie d'un audit d'étape 2 du système en fonctionnement. Quatre à sept mois est réaliste pour une petite entreprise de logiciel, puis un audit de surveillance chaque année et une recertification la troisième année. Les étapes sont ordonnées, et les étapes prises dans le désordre doivent être refaites.

1. Définir le périmètre, et l'écrire

Ce que le certificat couvre : quelles parties de l'organisation, quels services, quels sites. Le périmètre commande tout ce qui suit, y compris les frais d'audit, parce que les jours d'auditeur découlent de l'effectif couvert. Écrivez-le étroitement et sincèrement. Un périmètre trop large coûte des jours et invite des constats dans des domaines que vous n'aviez pas besoin de certifier.

2. Contexte, parties intéressées et appréciation des risques

Chapitres 4 et 6. Ce qui affecte votre capacité à faire fonctionner un système de management de la sécurité de l'information, qui y a un intérêt, et ce qui pourrait mal tourner. C'est le socle contre lequel un auditeur teste tout le reste.

3. La déclaration d'applicabilité

Chapitre 6.1.3, et le document qu'un organisme de certification lit en premier. Les 93 mesures de l'annexe A, chacune déclarée applicable ou exclue, chacune avec une justification. Les exclusions sont légitimes et doivent être justifiées. Une DdA qui marque tout applicable pour paraître complète crée 93 choses à prouver.

4. Faire fonctionner le système, et tenir les enregistrements

Politiques approuvées, risques traités, fournisseurs évalués, accès revus, incidents traités. C'est ici que le calendrier compte plus que les documents : l'auditeur demandera des enregistrements couvrant une période, donc le système doit avoir fonctionné, et pas seulement avoir été conçu.

Minimum avant l'étape 2 : un audit interne et une revue de direction, tous deux avec des enregistrements. Ce sont les deux raisons les plus courantes pour lesquelles une étape 2 est reportée.

5. Choisir un organisme de certification accrédité

Une société distincte, contractée et payée directement. Vérifiez l'accréditation pour l'ISO/IEC 27001 spécifiquement, dans le registre public de l'organisme d'accréditation. Comment vérifier.

6. L'étape 1

Une revue de préparation, généralement plus courte et souvent à distance. L'auditeur lit vos informations documentées et décide si l'étape 2 vaut d'être réservée. Les constats ici coûtent peu. C'est le moment où être réellement prêt fait économiser de l'argent.

7. L'étape 2

L'audit complet. L'auditeur échantillonne les enregistrements et teste si le système fonctionne comme documenté. Les non-conformités sont relevées comme majeures ou mineures ; les majeures doivent être corrigées avant qu'un certificat soit délivré.

8. Les trois années qui suivent

Des audits de surveillance chaque année à environ un tiers du temps d'audit initial, puis une recertification à environ deux tiers. C'est la plus grande partie du cycle et la plus grande partie du coût total. L'arithmétique.

Ce qui décide de tout

Que la preuve existe quand on la demande. Les entreprises qui peinent manquent rarement de politiques. Il leur manque les douze mois d'enregistrements montrant que les politiques ont été suivies.