FR
Coût de la certification

Tous les autodiagnostics

Préparation à l'ISO/IEC 27001 — Sécurité de l'information

Évaluez où en est votre entreprise par rapport aux exigences de la norme ISO/IEC 27001:2022, y compris les mesures de sécurité de l'annexe A.

29 questions · ~7 min

Anonyme : nous ne demandons ni nom, ni e-mail, ni coordonnées d'entreprise. Nous ne conservons que les réponses, sans aucune donnée d'identification, à des fins statistiques.

Comment répondre

Choisissez « Oui » uniquement lorsque l'exigence est appliquée dans la pratique et qu'il existe une documentation ou des enregistrements. « En partie » signifie que c'est fait de manière informelle ou pas partout.

4 Contexte de l'organisme

4.1 Avez-vous recensé les enjeux internes et externes (p. ex. marché, concurrence, technologie, législation) qui influent sur votre système de management de la sécurité de l'information ?

4.2 Avez-vous identifié les parties intéressées (clients, salariés, autorités, fournisseurs, etc.) et leurs exigences ?

4.3–4.4 Le domaine d'application de votre système de management de la sécurité de l'information est-il défini par écrit (activités, sites, exclusions éventuelles) et les principaux processus sont-ils cartographiés ?

5 Leadership

5.1 La direction s'implique-t-elle activement dans le système de management de la sécurité de l'information, en y consacrant des ressources et en l'intégrant aux décisions de l'entreprise ?

5.2 Existe-t-il une politique de sécurité de l'information approuvée, adaptée à l'entreprise, communiquée au personnel et accessible à ceux qui en ont besoin ?

5.3 Les rôles, responsabilités et autorités relatifs au système ont-ils été définis et communiqués ?

6 Planification

6.1 Avez-vous évalué les risques et opportunités liés à votre système de management de la sécurité de l'information et planifié des actions pour y faire face ?

6.1.2 Disposez-vous d'une méthodologie d'appréciation des risques de sécurité de l'information, et avez-vous apprécié les risques pesant sur vos actifs informationnels (données, systèmes, fournisseurs) ?

6.1.3 Existe-t-il un plan de traitement des risques et une déclaration d'applicabilité (DdA) qui justifie les mesures de l'annexe A appliquées ?

6.2 Existe-t-il des objectifs mesurables de sécurité de l'information, avec des responsables, des ressources, un calendrier et un mode de suivi ?

6.3 Les modifications du système (organisationnelles, de processus, d'infrastructure) sont-elles planifiées et maîtrisées avant d'être mises en œuvre ?

7 Support

7.1–7.2 Avez-vous défini les compétences requises pour chaque poste concerné, et conservez-vous des enregistrements de formation, d'expérience ou de qualifications ?

7.3–7.4 Le personnel connaît-il la politique de sécurité de l'information et sa contribution au système, et existe-t-il un mode de communication interne et externe défini ?

7.5 Les documents et enregistrements du système sont-ils maîtrisés (approbation, versions, diffusion, stockage, conservation) ?

8 Fonctionnement

8.1–8.3 L'appréciation et le traitement des risques sont-ils renouvelés à intervalles réguliers ou en cas de changements importants ?

A.5 Des mesures organisationnelles sont-elles en place : inventaire des actifs informationnels, classification des informations, règles d'utilisation acceptable et contrôle d'accès fondé sur les rôles ?

A.5 La sécurité de l'information est-elle prise en compte dans les relations avec les fournisseurs et les prestataires cloud (contrats, évaluation, surveillance) ?

A.5 Existe-t-il un processus de gestion des incidents de sécurité (signalement, évaluation, réponse, retours d'expérience) et des dispositions pour la continuité d'activité ?

A.5 Avez-vous recensé les exigences légales et contractuelles (p. ex. RGPD, NIS2 le cas échéant), et protégez-vous les données personnelles ?

A.6 Des mesures liées au personnel sont-elles en place : vérification préalable à l'embauche, engagements de confidentialité, formation de sensibilisation, processus de départ ?

A.7 Les locaux et les équipements sont-ils physiquement protégés (contrôle des accès, salle serveurs sécurisée, destruction sécurisée des supports) ?

A.8 Des mesures techniques sont-elles appliquées : gestion des identités et authentification forte (MFA), protection contre les logiciels malveillants, mises à jour et gestion des vulnérabilités ?

A.8 Des sauvegardes sont-elles réalisées et testées, et existe-t-il une journalisation et une surveillance des événements (logs) ainsi que des mesures de sécurité du réseau ?

A.8 Des principes de développement logiciel sécurisé, de tests et de séparation des environnements sont-ils appliqués ? Si cela ne vous concerne pas, choisissez « Non applicable ».

9 Évaluation des performances

9.1 Surveillez-vous, mesurez-vous et analysez-vous des indicateurs de sécurité de l'information, et en évaluez-vous les résultats ?

9.2 Existe-t-il un programme d'audit interne, et au moins un audit interne complet du système a-t-il été réalisé par une personne compétente ?

9.3 Une revue de direction du système a-t-elle été réalisée et consignée, avec des décisions et des actions ?

10 Amélioration

10 Les non-conformités sont-elles enregistrées, leurs causes analysées et des actions correctives mises en œuvre, avec vérification de leur efficacité ?

10 Existe-t-il des exemples documentés d'amélioration continue du système ?

Réponses : 0 sur 29