L'entreprise est-elle certifiée ISO 27001 ?

Certification ou seule application de la norme

Cette question porte sur un certificat, non sur une intention. « Certifiée ISO 27001 » signifie qu'un organisme certificateur indépendant a audité l'entreprise et a délivré un certificat, avec une date de validité et une description du périmètre. Si l'entreprise fonctionne selon la norme, mais qu'aucun auditeur n'est jamais venu, la réponse à cette question spécifique est non — même si les pratiques substantielles sont peut-être comparables. Cette nuance est précisément ce que ce type de questionnaire recherche : non pas « pratiquons-nous la sécurité de l'information » mais « cela a-t-il été audité et confirmé de manière externe ».

En l'absence de certificat, il est courant de le signaler simplement, éventuellement avec une brève explication de ce qui existe réellement : une politique de sécurité de l'information, une analyse de risques, ou des mesures qui correspondent substantiellement à la norme sans l'audit formel. De nombreux clients acceptent cela comme réponse intermédiaire, d'autant plus que les mesures sous-jacentes — telles que la politique relative à l'analyse des risques et la sécurité des systèmes d'information ou les arrangements relatifs à la maîtrise d'accès et les actifs — sont en place. Un certificat est alors la preuve qui fait défaut, non la pratique qui la sous-tend.

Annex A comme test pratique

Le fondement de ce qu'un auditeur examine se trouve dans l'Annexe A d'ISO/IEC 27001 : la liste des mesures de maîtrise prescrites par la norme, allant de la maîtrise d'accès aux relations avec les fournisseurs en passant par la gestion des incidents. Cette liste peut être utilisée comme liste de contrôle, même sans certificat : qui peut démontrer que la plupart des mesures de l'Annexe A ont été mises en œuvre peut le joindre comme justification en réponse « non » à la question de certification. Le certificat lui-même, avec périmètre et date de validité, reste la seule preuve que la question est littéralement répondue par « oui ».