On ne répond pas à un questionnaire de sécurité de mémoire ni en prose. On y répond à partir de quatre sortes d'enregistrements : si la mesure est en place, ce qui la régit, ce qui montre qu'elle a fonctionné, et ce qui montre qu'elle fonctionne encore. Si vous faites tourner un système de management ISO 27001, vous détenez déjà les quatre. Le travail consiste à savoir de quelle mesure chaque question parle, et la correspondance ci-dessous le fait pour les trente thèmes qui composent presque tous les questionnaires qu'une entreprise européenne reçoit.
La correspondance est la nôtre et elle est publiée en entier. Elle a été écrite à partir des questions qui reviennent dans le CAIQ, le SIG Lite, le VSA et les tableurs maison, d'où proviennent, à eux tous, presque tous les questionnaires. Utilisez-la sans nous.
Pourquoi les questionnaires et les audits posent des questions différentes
Le questionnaire d'un client demande ce qui importe à ce client. Un audit ISO 27001 interroge sur les 93 mesures de l'annexe A. Le recoupement est large mais le cadrage est différent : un questionnaire dit « imposez-vous la MFA à tous les utilisateurs », la norme dit A.8.5, se connecter en sécurité. Personne parmi ceux qui ont écrit le questionnaire ne pensait en numéros de mesures, et personne parmi ceux qui ont construit le SMSI ne pensait avec les mots du client.
C'est dans cet écart que partent les heures. La personne qui répond ouvre le tableur du trimestre dernier, cherche une formulation semblable, colle et ajuste. La réponse est généralement juste et rarement vérifiable, parce qu'elle ne porte aucune date et ne cite aucun enregistrement. Six mois plus tard, le questionnaire suivant arrive et l'exercice recommence.
Le remède est de traduire chaque question dans la mesure dont elle parle, puis de répondre à partir des enregistrements que le SMSI tient pour cette mesure. Une fois cela fait, la réponse s'écrit d'elle-même, elle porte des dates, et c'est la même réponse que l'auditeur verra.
Les quatre enregistrements qui répondent à toute question
Lisez un questionnaire comme un examinateur sécurité lit vos réponses, dans cet ordre :
- La mesure est-elle en place ? La déclaration d'applicabilité le dit, pour chacune des 93 mesures : applicable ou exclue, et si applicable, mise en œuvre, en cours ou non commencée. C'est la phrase qui ouvre la réponse.
- Qu'est-ce qui la régit ? Une politique approuvée, avec un numéro de version, une date d'approbation et le nom de l'approbateur. Une politique qui existe mais n'a jamais été approuvée n'est pas de la gouvernance, et un auditeur la traite comme un constat. Vous devriez faire de même.
- Qu'est-ce qui montre qu'elle a fonctionné ? Un enregistrement de preuve avec une date de collecte et, le cas échéant, une expiration. Un rapport de test d'intrusion d'il y a dix-huit mois est la preuve que la mesure a fonctionné une fois, pas qu'elle fonctionne.
- Qu'est-ce qui montre qu'elle fonctionne encore ? Une vérification sur le système en production, avec la date de sa dernière exécution : MFA imposée dans votre fournisseur d'identité, chiffrement activé dans votre compte cloud, aucun port d'administration ouvert sur Internet.
Une réponse construite à partir de ces quatre phrases est une réponse que l'équipe sécurité du client peut rapprocher de la suivante, parce que chaque fait qu'elle contient a une date. Cette propriété vaut plus que la formulation.
La correspondance
Trente thèmes, les mesures de l'annexe A dont chacun parle, et les titres des mesures tels que nous les formulons. Quand une question couvre deux thèmes, les deux s'appliquent.
| Ce qu'ils demandent | Mesures | Ce que ces mesures couvrent |
|---|---|---|
| MFA, authentification unique, règles de mots de passe | A.8.5, A.5.17 | Se connecter en sécurité; Gérer mots de passe, clés et autres secrets |
| Chiffrement au repos et en transit, gestion des clés | A.8.24 | Employer le chiffrement correctement et gérer les clés |
| Sauvegardes et tests de restauration | A.8.13 | Sauvegarder et prouver que les restaurations fonctionnent |
| Continuité d'activité, reprise après sinistre, RTO et RPO | A.5.29, A.5.30, A.8.14 | Tenir la sécurité pendant une crise; Faire tourner la technologie malgré les perturbations; De la capacité de réserve pour survivre à une panne |
| Tests d'intrusion, gestion des vulnérabilités, correctifs | A.8.8 | Trouver et corriger les failles connues |
| Réponse aux incidents, notification des violations | A.5.24, A.5.26, A.6.8 | Être prêt avant qu'un incident survienne; Agir une fois l'incident déclaré; Permettre au personnel de signaler facilement un problème |
| Fournisseurs, sous-traitants ultérieurs, tiers | A.5.19, A.5.20, A.5.21, A.5.23 | Maîtriser le risque apporté par les fournisseurs; Inscrire les exigences de sécurité dans les contrats fournisseurs; La sécurité tout au long de la chaîne d'approvisionnement technologique; Utiliser les services cloud en sécurité |
| Vérifications d'antécédents | A.6.1 | Vérifications avant l'embauche |
| Formation à la sécurité, simulation de phishing | A.6.3 | Former les personnes à travailler en sécurité |
| Journalisation, surveillance, SIEM, alertes | A.8.15, A.8.16 | Enregistrer ce qui s'est passé sur vos systèmes; Guetter les comportements suspects sur les systèmes |
| Contrôle d'accès, moindre privilège, arrivées et départs, accès administrateur | A.5.15, A.5.18, A.8.2 | Décider qui peut atteindre quels systèmes et quelles données; Accorder, revoir et retirer les droits; Restreindre les accès d'administration |
| Conservation, suppression, mise au rebut | A.5.33, A.8.10 | Conserver les enregistrements en sécurité aussi longtemps qu'il le faut; Supprimer les données dont vous n'avez plus besoin |
| Politique de sécurité, le système de management lui-même | A.5.1 | Des politiques de sécurité écrites, approuvées et à jour |
| Classification et marquage | A.5.12, A.5.13 | Classer l'information selon sa sensibilité; Marquer l'information avec son niveau de sensibilité |
| Inventaire des actifs | A.5.9 | Savoir quelles informations et quels équipements vous détenez |
| Terminaux, MDM, chiffrement du disque, BYOD | A.8.1, A.6.7 | Sécuriser portables, téléphones et postes fixes; Travailler en sécurité hors du bureau |
| Logiciels malveillants, antivirus, EDR | A.8.7 | Se défendre contre les logiciels malveillants |
| Développement sécurisé, revue de code, gestion des changements, CI/CD | A.8.25, A.8.29, A.8.32 | La sécurité tout au long de la fabrication du logiciel; Tester la sécurité avant toute mise en service; Maîtriser les changements sur les systèmes en service |
| Centres de données, accès physique, bureaux | A.7.1, A.7.2, A.7.4 | Définir la limite physique que vous protégez; Contrôler qui franchit la porte; Surveiller les locaux contre les intrusions |
| Vie privée, RGPD, accord de traitement des données | A.5.34 | Protéger les données personnelles |
| Travail à distance | A.6.7 | Travailler en sécurité hors du bureau |
| Segmentation réseau, pare-feu, VPN | A.8.20, A.8.22 | Sécuriser le réseau lui-même; Séparer les réseaux les uns des autres |
| Fournisseur cloud, région d'hébergement, résidence des données | A.5.23 | Utiliser les services cloud en sécurité |
| Renseignement sur les menaces | A.5.7 | Recueillir et exploiter le renseignement sur les menaces |
| Obligations légales, réglementaires et contractuelles | A.5.31 | Connaître les lois et les contrats qui vous lient |
| Appréciation et traitement des risques | A.5.1, A.8.8 | Des politiques de sécurité écrites, approuvées et à jour; Trouver et corriger les failles connues. Le processus de risque lui-même est le chapitre 6.1 de la norme, pas une mesure de l'annexe A |
| Secrets, clés d'API, coffres-forts | A.8.5, A.8.24 | Se connecter en sécurité; Employer le chiffrement correctement et gérer les clés |
| Capacité, disponibilité, SLA | A.8.6, A.5.30 | Avoir assez de capacité pour continuer; Faire tourner la technologie malgré les perturbations |
| Bases de configuration, durcissement | A.8.9 | Garder les systèmes configurés comme prévu |
| Données de test et environnements de test | A.8.33, A.8.31 | Utiliser des données sûres pour les tests; Séparer les environnements de développement, de test et de production |
Deux choses que la correspondance n'est pas. C'est un vocabulaire, pas une correspondance juridique : le SIG et le CAIQ ont leurs propres identifiants de contrôles, et une table de passage formelle vers eux est un autre document. Et elle est plafonnée par conception. Une question qui correspond à neuf mesures n'a pas été comprise ; rapportez-la donc aux deux à quatre dont elle parle vraiment et répondez à celles-là.
La question de la certification
« Êtes-vous certifié ISO 27001 ? » est une question sur le système dans son ensemble, pas sur une mesure, et elle a exactement deux réponses honnêtes.
Si vous détenez un certificat : la norme, l'organisme de certification, le numéro du certificat et la date d'expiration. Le client ira vérifier, la réponse doit donc le lui permettre.
Si vous n'en détenez pas : dites-le, puis dites ce qui est vrai. « Un système de management ISO/IEC 27001 est en fonctionnement, avec 71 des 84 mesures applicables de l'annexe A mises en œuvre, et la certification par un organisme accrédité est prévue pour mars. » C'est une réponse plus solide que ce que la plupart des équipes achats attendent d'un fournisseur non certifié, et elle est vérifiable. Ce qu'elle ne doit jamais faire, c'est brouiller la ligne. Les certificats viennent d'un organisme de certification accrédité, et l'ISO/IEC 17021-1 exige que cet organisme soit indépendant de quiconque vous a aidé à vous préparer. Un prestataire qui propose les deux est la chose à vérifier.
Que dire quand l'enregistrement dit « en cours »
Dites en cours.
Une réponse à un questionnaire est une déclaration faite à un client, souvent dans le cadre d'un contrat qui rend la fausse déclaration coûteuse, et la seule réponse défendable est celle que vos enregistrements soutiennent. Si la déclaration d'applicabilité dit que la mesure A.8.16 est en cours, le brouillon dit que la mesure est en cours de mise en œuvre et n'est pas encore achevée, et la personne qui l'envoie décide de ce qu'elle ajoute, l'enregistrement sous les yeux.
La même chose vaut pour les trois autres façons dont une réponse surestime discrètement :
- Une mesure exclue sans justification. Dans un questionnaire, cela se lit comme une esquive ; dans votre DdA, c'est un constat à l'étape 1. Écrivez la raison une fois et les deux problèmes disparaissent.
- Une preuve périmée. Une réponse qui cite un test d'intrusion doit citer sa date, et si la date est ancienne la réponse doit dire qu'un nouveau test est planifié, ou ne pas le citer.
- Une vérification en échec. Si votre fournisseur d'identité signale que la MFA n'est pas imposée à tous les utilisateurs, la réponse ne peut pas dire qu'elle l'est. Corrigez d'abord, ou dites-le.
L'équipe sécurité du client ne cherche pas la perfection. Elle cherche le fournisseur dont elle pourra croire les réponses dans dix-huit mois, et le signe révélateur est de savoir si les réponses portaient des dates la première fois.
La partie qui se cumule
Le quarantième questionnaire est essentiellement les trente-neuf premiers. « Imposez-vous la MFA ? » et « La MFA est-elle imposée à tous les comptes utilisateurs ? » sont la même question, et une réponse confirmée à l'une est le brouillon de l'autre.
Conservez chaque réponse confirmée avec la question à laquelle elle répondait, et rapprochez les nouvelles questions des anciennes par le sens plutôt que par la formulation exacte. Puis reconfirmez avant réutilisation, chaque fois, parce que ce qui était vrai en mars ne l'est peut-être plus en septembre. Une réponse réutilisée que personne n'a relue est la façon dont une entreprise finit par affirmer une mesure qu'elle a abandonnée.
Ce que le logiciel doit et ne doit pas faire ici
Les outils de cette catégorie rédigent de plus en plus les réponses avec un modèle de langage, et les résultats ne sont fiables que dans la mesure de la règle qu'ils suivent. La règle qui tient est : l'enregistrement est la source, le modèle est un dactylo, et une personne confirme. Un modèle peut reformuler un brouillon composé à partir de votre DdA, de vos politiques, de vos preuves et de vos vérifications dans la forme de la question du client. Il ne peut pas ajouter un fait, aussi plausible soit-il, et il ne peut pas répondre à partir de ce que font « la plupart des entreprises ». Une réponse assurée et fluide qu'aucun enregistrement ne soutient est la phrase la plus coûteuse qu'un outil de conformité puisse produire.
Si le SMSI n'a rien sur une question, la bonne sortie est un blanc et une note qui le dit. La personne répond à partir de ses connaissances, puis enregistre la mesure, la politique ou la preuve sur laquelle elle s'est appuyée, pour que le questionnaire suivant puisse la réutiliser. C'est ainsi que l'enregistrement grandit jusqu'à couvrir ce que les clients demandent réellement.
C'est selon cette règle que StandardOS rédige les réponses aux questionnaires : à partir des propres enregistrements de l'organisation, cités par nom et par date, confirmés par une personne, et réutilisés la fois suivante. Si vous vendez en Europe, le questionnaire est souvent le premier endroit où un acheteur cherche l'ISO 27001 tout court : elle apparaît dans 3 408 avis de marché de l'UE sur l'année écoulée, contre 104 pour SOC 2.