ISO 27001, de l’analyse des écarts à l’audit.
CloudSoul confronte votre entreprise à tout ce qu’exige la norme, classe les écarts du plus grave au moindre et conserve les preuves que l’organisme de certification demande à voir.
Ce qu’ISO 27001 attend de vous.
ISO 27001 certifie une façon de travailler, pas un produit. Voici les éléments qu’elle s’attend à trouver.
-
Un système de management que vous faites vivre
La sécurité doit être une pratique que vous maintenez, pas un dossier que vous avez classé.
-
Un périmètre que vous pouvez défendre
Vous décidez de ce qui est couvert, et vous le dites clairement.
-
Une appréciation des risques qui guide vos actions
Ce sont vos propres risques qui décident des priorités.
-
Des politiques écrites et les enregistrements qui les soutiennent
Chaque politique a besoin des enregistrements qui prouvent qu’elle est appliquée.
-
Des vérifications internes avant tout regard extérieur
Vous vous testez d’abord, puis vous corrigez ce que vous trouvez.
-
Un audit indépendant à la fin
Un organisme de certification accrédité examine le travail et délivre le certificat.
À quoi ressemble une collaboration avec nous.
Quatre étapes. Chacune alimente la suivante.
Modéliser votre entreprise
Vous nous dites ce que vous faites et ce que vous exploitez. Tout le reste part de là.
Voir ce qui manque
Nous confrontons votre entreprise à tout ce qu’exige la norme. Vous recevez une liste des écarts priorisée, du plus grave au moindre, chaque ligne avec sa correction en regard.
Faire le travail
Commencez par la conformité : rédiger la politique, mener la formation, nommer le responsable. Quand un écart appelle plutôt un outil, notre pilier Security Operations le couvre, activé le jour où votre liste l’exige.
Conserver les preuves
Chaque étape laisse un enregistrement daté au même endroit. L’organisme de certification réalise l’audit et trouve ce dossier déjà en ordre.
Les questions que l’on nous pose.
Combien de temps prend la certification ?
Cela dépend de votre périmètre, de votre taille et de ce que vous avez déjà. Une entreprise avec des politiques et des responsables nommés avance vite. Partir de zéro prend plus longtemps. Nous vous disons où vous en êtes avant tout engagement.
Délivrez-vous le certificat ?
C’est un organisme de certification accrédité qui le délivre, après un audit indépendant. CloudSoul vous prépare et conserve chaque preuve qu’il demande à voir.
Nous avons déjà des travaux NIS2 en cours. Est-ce que ça compte ?
Oui. Les deux se recoupent largement, donc l’essentiel du travail compte double. Une mesure de sécurité cartographiée une fois vaut pour les deux référentiels.
Que devons-nous faire nous-mêmes ?
La conformité reste chez vous : politiques, formation, responsables nommés. Nous fournissons les modèles et l’ordre dans lequel les traiter, pour que personne ne parte d’une page blanche.
Devons-nous installer quelque chose ?
Rien à héberger, rien à configurer. Vous connectez ce que vous exploitez déjà, et cela fonctionne dès ce moment-là.
Que se passe-t-il une fois certifiés ?
L’organisme de certification revient pour les audits de surveillance. Vos preuves continuent de s’accumuler en arrière-plan, il n’y a donc rien à reconstituer. Au fil des recrutements, de la croissance et des nouveaux fournisseurs, ce que vous détenez décrit toujours l’entreprise que vous êtes.