Gouvernance de la sécurité · Cybersécurité
Audit interne ISO/IEC 27001:2022
Nous auditons votre Système de management de la sécurité de l'information avec la rigueur qu'appliquera l'organisme certificateur, pour qu'aucune surprise ne surgisse le jour de l'audit réel.
- Norme
- ISO/IEC 27001:2022 · clause 9.2
- Durée
- 3 à 6 semaines
- Modalité
- Audit interne ou de fournisseurs
- Résultat livré
- Rapport avec non-conformités et plan
Le problème
La norme impose des audits internes à intervalles planifiés, et ce n'est pas une formalité : c'est le mécanisme qui détecte les écarts avant qu'un tiers ne le fasse. Il sert aussi de répétition générale si vous n'êtes pas encore certifié, et de contrôle sur les fournisseurs critiques qui déclarent se conformer sans que personne ne l'ait vérifié.
Ce que cela comprend
Programme d'audit
Planification du cycle annuel : quels processus sont audités, quand, selon quels critères et avec quelle indépendance vis-à-vis de ceux qui les exploitent.
Revue documentaire
Confrontation du corpus documentaire —politique, procédures, Déclaration d'Applicabilité et enregistrements— à ce qu'exige la norme dans chaque clause.
Audit sur le terrain
Entretiens, observation et échantillonnage de preuves réelles : il ne suffit pas que la procédure existe, il faut vérifier qu'elle s'exécute comme elle est écrite.
Vérification des mesures de l'Annexe A
Revue technique des mesures déclarées applicables, y compris accès, cryptographie, sauvegardes, journalisation, développement sécurisé et gestion des fournisseurs.
Constats classés
Non-conformités majeures, mineures et observations, chacune avec la clause non respectée, la preuve qui l'étaye et son impact.
Plan d'actions correctives
Analyse de cause racine et actions avec responsable et échéance, rédigées pour clore le constat et pas seulement pour y répondre.
Suivi de la clôture
Vérification a posteriori que les actions ont été mises en œuvre et se sont révélées efficaces, avec un procès-verbal de clôture par constat.
Audit des fournisseurs
La même méthodologie appliquée aux tiers critiques qui traitent vos informations et déclarent respecter la norme.
Notre méthode
- 01PlanificationPérimètre, critères, équipe d'audit et calendrier convenus avec la direction.
- 02Revue documentaireAnalyse préalable du SMSI et préparation de la liste de vérification.
- 03ExécutionEntretiens, échantillonnage de preuves et réunion de clôture avec les constats préliminaires.
- 04RapportConstats classés, preuves et plan d'actions correctives.
- 05SuiviVérification de la clôture effective de chaque non-conformité.
Livrables
| Document | Volume |
|---|---|
| Programme d'audit Cycle annuel documenté. | inclus |
| Liste de vérification Clause par clause et mesure par mesure. | inclus |
| Rapport d'audit Constats avec preuves et classification. | 20-45 p. |
| Plan d'actions correctives Avec cause racine, responsable et échéance. | inclus |
| Procès-verbal de clôture Vérification de l'efficacité par constat. | inclus |
Nous auditons, nous ne certifions pas. La certification est délivrée par un organisme indépendant accrédité, et cette indépendance est justement ce qui lui donne de la valeur. Notre rôle est interne : trouver ce qui ne va pas tant que cela peut encore être corrigé sans figurer dans un rapport officiel.