ISO 27001 permet de :
- Structurer la fonction sécurité par la mise en place de processus d'amélioration continue, la pratique d'audits internes, l'évaluation régulière des risques, le traitement des incidents, la définition d'indicateurs… L'utilisation de cette approche normalisée facilite également le dialogue et la communication avec les métiers, les utilisateurs, l'informatique et les auditeurs.
- Pérenniser les investissements déjà menés lors de démarches précédentes ISO 27002, (anciennement ISO 17799), de rédaction de politique de sécurité, en mettant en cohérence ces différentes briques au sein d'un système de gestion, les inscrivant ainsi dans une démarche de mise à jour et d'amélioration continue.
- Répondre aux enjeux croissants de "conformité". Cela évite la transformation de la fonction de RSSI en fonction "d'Audité" permanent. L'ISO 27001 peut être considéré comme le socle commun à toutes les démarches de conformité en sécurité, et. Il permet la mutualisation des communications et supports destinés aux auditeurs externes, Sarbanes Oxley, Commission bancaire, Bâle II, Cours des comptes et Solvency II ou PCI-DSS.
- Démontrer une dynamique positive, véritable facteur de confiance, pour les partenaires, actionnaires, clients, fournisseurs, banques mais aussi pour le personnel et le grand public, en France comme à l'international.
- Conclure cette démarche de conformité par l'obtention d'une certification. Au-delà des avantages marketing évidents que peut offrir une certification en termes de différenciation, elle présente également des atouts réglementaires. En effet, la norme est homologuée par l'Etat français et opposable en justice.
Les étapes de notre méthodologie:
- états des lieux sur les pratiques de sécurité, les processus définis et les contrôles implémentés
- cadrage du périmètre, confirmation de la faisabilité, des coûts et du calendrier à prévoir pour l'application de la norme
- analyse des écarts identification des divergences entre les pratiques réellement en vigueur et celles dictées par la norme
- élaboration d'une déclaration d'applicabilité (SoA) décrivant la pertinence de chacun des contrôles de la norme retenus pour votre organisation
- production d'un référentiel destiné à l'inventaire des actifs informationnels
- mise en œuvre d'un programme d'amélioration de la sécurité, de recommandations sur les mesures à prendre pour traiter les écarts identifiés au cours des phases précédentes
- accompagnement et formation pour la préparation à la certification
