Les 31 documents du toolkit ISO 27001, un par un

Définit le contexte, le périmètre, la structure de gouvernance et l'architecture documentaire. C'est le document directeur du système.

Principes directeurs et engagements de plus haut niveau. Classification publique : elle est remise sans restriction aux clients et aux auditeurs.

Cycle de vie documentaire, schéma de codification, référentiel maîtrisé et table de conservation.

Les onze entrées et sept sorties obligatoires de la revue annuelle, et le traitement des non-conformités.

Dix objectifs mesurables, seize indicateurs avec leur source de données, et le programme de travail de l'année.

Neuf phases, de la décision au certificat délivré, avec les critères de décision et les risques du programme.

Le document d'entrée. Parcours de lecture par rôle, actes formels de constitution, traçabilité avec la norme, calendrier de preuves et auto-évaluation de maturité.

Référence de navigation du cadre : où trouver chaque chose, catalogue par bloc, parcours de lecture par rôle et ce qui peut être partagé à l'extérieur.

Registre central de tous les documents avec propriétaire, approbateur, classification, périodicité et état. Première demande de tout auditeur.

Échelles de vraisemblance et d'impact, critères d'acceptation, appétence au risque et déclencheurs de réévaluation.

Résultat de l'appréciation avec l'exposition agrégée et les initiatives de traitement priorisées.

Les risques identifiés avec évaluation inhérente, mesures existantes, évaluation résiduelle et traitement. Comprend une carte de chaleur 5×5 et une feuille d'acceptations formelles.

C'est ici que se trouvent les 93 mesures de l'Annexe A. Pour chacune : applicabilité, origine, justification, document qui l'établit, état et preuve. Exigée par l'exigence 6.1.3 et la première chose qu'examine l'organisme de certification.

Quatre niveaux de classification avec leurs critères et les règles de manipulation applicables à chacun.

Identités nominatives, authentification multifacteur, moindre privilège, accès à privilèges et revue périodique.

Obligations du personnel sur les équipements, les services et les canaux, et les mesures propres au travail à distance.

Algorithmes approuvés, interdictions explicites et cycle de vie complet du matériel cryptographique.

Durcissement, gestion des vulnérabilités avec délais par sévérité, journalisation et surveillance, sauvegarde, capacité et réseaux.

Modèle de responsabilité partagée, mesures de cloisonnement entre locataires, configuration du cloud, localisation des données et conteneurs.

Actifs d'information avec type, classification, criticité, propriétaire et mesures appliquées.

Exigences de sécurité à chaque phase du cycle de vie, modélisation des menaces, contrôles automatisés et fonctionnalités d'intelligence artificielle.

Règles vérifiables par catégorie et liste de contrôle en dix-huit points pour la revue par les pairs.

Environnements, classification des changements, approbations, fenêtres de notification au client et retour arrière.

Vérification des antécédents, instruments contractuels, programme de sensibilisation et départ sécurisé.

Classification des fournisseurs, diligence raisonnable, clauses contractuelles, sous-traitants ultérieurs et risque de concentration.

Rôle de sous-traitant, droits des personnes concernées, transferts internationaux et violations de données.

Détection, classification par sévérité, cellule de réponse, cycle de vie, notification par destinataire et analyse a posteriori.

Analyse d'impact, objectifs de reprise, scénarios de disruption, comité de crise et programme de tests.

Programme annuel fondé sur le risque, exigences d'indépendance de l'auditeur, exécution et suivi des constats.

Exigences par juridiction ainsi que les exigences transversales et contractuelles, avec responsable et périodicité de revue.

Dossier de preuves, gestion des questionnaires, règle d'honnêteté sur l'état de maturité et conduite des audits clients.