Qui devrait lire ceci : une entreprise qui vient d’être certifiée ISO 27001 et approche de sa première visite de surveillance, ou une entreprise qui hésite à se certifier et veut savoir ce qu’elle engage au-delà du premier audit.
L’essentiel de ce qui s’écrit sur ISO 27001 s’arrête au certificat. C’est là que s’arrête le discours commercial, et c’est là que commence l’obligation récurrente. Le certificat court trois ans, et l’organisme de certification reviendra deux fois avant son expiration.
Le cycle de trois ans
La forme est fixée par les règles d’accréditation auxquelles l’organisme est soumis, pas par l’organisme, donc elle est à peu près la même partout.
- Année zéro. Étape 1, puis étape 2, puis la décision de certification. Le certificat porte la date de décision. Ce qui se passe lors de ces deux visites est décrit dans étape 1 et étape 2 : ce que l’auditeur demande.
- Environ douze mois plus tard. Audit de surveillance un.
- Environ vingt-quatre mois. Audit de surveillance deux.
- Avant trente-six mois. Recertification, qui doit être réalisée et décidée avant l’expiration du certificat, pas après.
Le mot « environ » pèse lourd. La première surveillance doit avoir lieu dans les douze mois suivant la décision de certification, et si vous laissez filer, l’organisme peut suspendre le certificat. Les entreprises qui traitent la date anniversaire comme un objectif souple sont celles qui finissent par expliquer une suspension à un client.
Combien de temps cela prend
Nettement moins que la certification, et c’est la bonne nouvelle.
Pour un organisme jusqu’à une cinquantaine de personnes, une visite de surveillance dure généralement d’une demi-journée à une journée. L’étape 2 pour la même entreprise aurait pris un à trois jours, et la recertification un à deux. La surveillance représente environ un tiers de l’effort d’audit initial, ce qui correspond aussi à peu près à l’évolution des honoraires. Le calcul complet sur trois ans est dans ce que coûte réellement ISO 27001 à une PME.
Plus court ne veut pas dire plus léger. L’auditeur arrive avec une liste fixe et moins de temps pour se laisser charmer.
Les cinq points vérifiés à chaque visite
Quoi qu’il soit échantillonné par ailleurs, ces points sont couverts à chaque audit de surveillance, sans exception.
- Les non-conformités de l’audit précédent. Closes, avec preuves, pas simplement marquées closes dans un tableur. Si l’étape 2 a relevé une mineure sur les revues d’accès, l’auditeur veut voir les revues d’accès.
- Le programme d’audit interne. Au moins un audit interne doit avoir eu lieu depuis la dernière visite, couvrant une partie appropriée du système, avec constats et suites données.
- La revue de direction. De vrais comptes rendus, traitant les données d’entrée du chapitre 9.3, produisant des décisions. Pas une entrée d’agenda.
- L’actualité de l’appréciation des risques. A-t-elle été réexaminée depuis que l’organisme a changé ? Nouveau site, nouvelle plateforme cloud, quarante recrutements, nouvelle gamme, acquisition. Si l’entreprise a bougé et pas l’appréciation, c’est un constat.
- L’action corrective en général. La preuve que les problèmes sont relevés, instruits et clos en routine, et pas seulement à l’approche d’un auditeur.
Les points deux et trois sont les plus souvent manqués, et ce sont les deux qui ne peuvent pas être produits après coup de façon crédible. Le détail pratique est dans audit interne et revue de direction.
L’échantillonnage de l’Annexe A tourne, délibérément
C’est ce qui piège ceux qui se sont préparés étroitement.
L’organisme ne réaudite pas chaque année les quatre-vingt-treize mesures applicables. Il échantillonne. Et l’échantillon tourne précisément pour que, sur le cycle de trois ans, l’ensemble de la déclaration d’applicabilité soit couvert.
Conséquence pratique : ce que l’auditeur a examiné la dernière fois est ce qu’il examinera le moins probablement la prochaine. Une entreprise qui a corrigé exactement ce qui avait été échantillonné à l’étape 2 et laissé le reste s’est organisée pour rater la surveillance un. Le regroupement qui rend la couverture complète gérable est dans les 93 mesures de l’annexe A regroupées pour le travail réel.
Les auditeurs s’attachent aussi à la proportionnalité en cas de croissance. Des mesures raisonnables à vingt-cinq personnes ne le sont souvent plus à quatre-vingts, et l’évolution de l’effectif est visible avant même l’entrée en salle.
Pourquoi l’année deux échoue plus que l’année un
Le schéma est assez constant pour être prévisible.
La certification est un projet. Elle a une échéance, un budget, une personne affectée et une pression visible. Le système se construit, l’audit se passe. Puis le projet s’achève, la personne qui le menait retourne à son vrai métier, et le système n’a plus de propriétaire.
Onze mois plus tard, quelqu’un remarque la date de surveillance. L’audit interne prévu au quatrième mois n’a pas eu lieu. La revue de direction a été un point de quinze minutes sans compte rendu. L’appréciation des risques décrit encore l’entreprise d’avant la nouvelle plateforme. Trois mois de revues d’accès manquent.
Rien de tout cela ne se fabrique de façon convaincante, car tout est daté. C’est le principe qui rend les preuves qui s’assemblent toutes seules plus solides que celles préparées pour l’occasion.
C’est aussi l’argument en faveur d’un système doté d’un propriétaire nommé disposant de temps réel, plutôt que d’une responsabilité occasionnelle partagée par tous. Cette question fait l’objet de qui porte la sécurité quand personne ne la porte.
Ce qui se passe quand cela tourne mal
Une non-conformité mineure est normale. La plupart des audits de surveillance en produisent une ou deux. Vous convenez d’un plan d’action correctif, vous le mettez en œuvre, vous fournissez les preuves, elle se clôt à la visite suivante au plus tard. Sans drame.
Une non-conformité majeure est autre chose. L’organisme fixe un délai de résolution, couramment de l’ordre de quatre-vingt-dix jours, et peut exiger un audit de suivi pour vérifier la clôture plutôt que d’accepter des documents. Si elle n’est pas résolue dans ce délai, le certificat est suspendu, ce qui signifie que vous ne pouvez plus l’utiliser, ni la marque, tant que dure la suspension. C’est la phase où un client demande votre certificat et où il faut expliquer. Une suspension prolongée conduit au retrait, rare en pratique, car la perspective de perdre un certificat concentre l’attention.
Le risque réaliste pour une PME n’est pas le retrait. C’est une suspension qui tombe pendant un appel d’offres.
Que faire pendant les douze mois entre deux visites
Quatre engagements, modestes s’ils sont planifiés plutôt que mémorisés.
Mettez l’audit interne au calendrier au quatrième ou cinquième mois, pas au onzième. Tenez la revue de direction comme réunion à part entière, deux fois par an, avec des comptes rendus qui consignent des décisions. Réexaminez l’appréciation des risques dès qu’un changement matériel survient, et consignez que vous l’avez fait même quand rien ne devait changer. Laissez les preuves de routine, revues d’accès, contrôles fournisseurs, enregistrements de formation, se produire au fil de l’eau plutôt que d’être rassemblées avant la visite.
Cela représente quelques heures par trimestre. C’est aussi la différence entre une matinée administrative et une crise.
La réalité technique : la surveillance teste si le système a tourné, pas s’il a fonctionné
Il vaut la peine d’être précis sur ce que ces audits établissent, et ce qu’ils n’établissent pas.
Un audit de surveillance vérifie que votre système de management a fonctionné : que les revues ont eu lieu, que les audits ont tourné, que les constats se sont clos, qu’un échantillon de mesures est en place. C’est un test de continuité de processus. Ce n’est pas un test de la défensabilité de votre parc le jour de la visite, et ce n’est pas conçu pour l’être.
L’auditeur échantillonne un sous-ensemble de mesures une fois par an. Un attaquant n’échantillonne pas. L’intervalle entre deux visites est de douze mois, et l’intervalle entre l’apparition d’une mauvaise configuration et son exploitation est généralement plus court. Une entreprise peut passer trois surveillances consécutives tout en exploitant un service exposé non corrigé pendant l’essentiel du cycle, car rien dans le programme d’audit n’est conçu pour le trouver.
Combler cet écart suppose que ce que l’audit échantillonne une fois l’an soit mesuré en continu : inventaire construit à partir de ce qui tourne réellement, état des correctifs et de l’exposition visible plutôt que déclaré, accès rapprochés des départs et des contrats, restaurations vérifiées plutôt que planifiées. Alors la surveillance cesse d’être un événement à préparer, parce que les preuves sont déjà là et à jour. La version complète de cet argument est dans certifié n’est pas sécurisé.
Si vous voulez couvrir l’intervalle entre audits plutôt que de le supposer, c’est l’objet de la plateforme CloudSoul, et un audit de sécurité indépendant vous dira ce que le dernier échantillon a manqué.
