Réponse courte
Une partie d'ISO 27001 peut être mise en place par vos soins : la description de vos processus, l'évaluation des risques et la mise en œuvre de mesures. Cependant, vous ne pouvez pas délivrer le certificat vous-même. Il est délivré par un organisme de certification indépendant et accrédité qui évalue votre organisation selon la norme. Réaliser soi-même et externaliser ne sont donc pas deux choix distincts, mais deux étapes d'un même processus.
Que vous ayez besoin d'un cabinet de conseil dépend surtout de la disponibilité de temps, de connaissances et de capacités internes dont vous disposez. Pour une petite entreprise avec un environnement informatique clair, la mise en place du système est souvent tout à fait faisable en interne. Pour une organisation avec plusieurs sites, des fournisseurs et des systèmes multiples, ce processus nécessite généralement tellement d'heures qu'un accompagnement raccourcit le délai.
Qu'est-ce qu'ISO 27001 au juste
ISO 27001 est une norme internationale de sécurité de l'information. La norme ne décrit pas de produits techniques, mais un système d'accords : comment vous évaluez les risques, quelles mesures vous prenez en réponse et comment vous maintenez ce système. Cet ensemble s'appelle le SMSI, le système de management de la sécurité de l'information. Un certificat atteste qu'une partie indépendante a évalué ce système, non qu'il ne peut jamais rien se passer de mal.
Ce que vous pouvez faire vous-même
La mise en place du SMSI elle-même n'est en principe pas un travail réservé par la loi à une partie externe. Vous pouvez vous-même : dresser un inventaire de l'information et des systèmes que vous protégez, effectuer une analyse des risques, établir des politiques et des procédures, mettre en œuvre des mesures telles que le contrôle d'accès et les sauvegardes, et effectuer un audit interne pour vérifier que tout se passe effectivement comme prévu. De nombreuses entreprises le font avec un collaborateur permanent qui assume le rôle de responsable de la sécurité de l'information, complété par un modèle ou un plan d'action.
Le défi réside moins dans le contenu que dans l'exhaustivité. La norme exige un grand nombre de composants interdépendants, et un organisme de certification évalue précisément si rien ne manque. Ceux qui le font pour la première fois sous-estiment souvent la quantité de documentation et de preuves nécessaires pour démontrer qu'une mesure non seulement existe, mais est aussi mise en œuvre.
Ce que vous ne pouvez pas faire vous-même : l'organisme de certification
Le certificat lui-même provient d'un organisme de certification accrédité pour évaluer par rapport à la norme ISO 27001. Cet organisme effectue un audit externe, généralement en deux phases : d'abord une évaluation de la documentation, puis une évaluation en pratique. Vous ne pouvez pas effectuer cette étape en interne, même avec un collaborateur très expérimenté : l'indépendance de l'évaluateur fait partie de ce qui donne une valeur au certificat. Vous choisissez vous-même quel organisme de certification accrédité vous engagez.
Ce qu'un cabinet de conseil apporte
Un cabinet de conseil ne remplace pas l'organisme de certification, mais aide à l'étape précédente : la mise en place et l'organisation du SMSI pour que l'audit externe ait plus de chances de réussir. Il peut s'agir de structurer la documentation existante, de former les collaborateurs ou d'accompagner l'audit interne. Pour les entreprises sans département informatique ou conformité propre, cela permet surtout de gagner du temps : quelqu'un qui connaît déjà la norme n'a pas besoin de redécouvrir chaque composant.
Que cette économie de temps justifie les frais d'un cabinet de conseil varie selon l'organisation. Une entreprise avec un seul site et un portefeuille applicatif simple a un chemin plus court qu'une entreprise avec plusieurs sites et de nombreux partenaires externes dans la chaîne.
ISO 27001 est-il toujours nécessaire, ou existe-t-il une alternative
Tous les clients qui demandent une sécurité de l'information vérifiable ne requièrent pas nécessairement un certificat ISO 27001 littéral. Certains clients acceptent une auto-évaluation, un questionnaire ou une déclaration sur les principales mesures, en particulier si votre entreprise est petite ou a un accès limité aux données sensibles du client. Il est donc judicieux de vérifier d'abord exactement ce que votre client demande, avant de vous engager dans un processus de certification. l'explication par sujet dans la base de connaissances montrer quels concepts se cachent souvent derrière une telle question et comment ils se rapportent les uns aux autres.
Supplia.eu ne certifie ni n'évalue quoi que ce soit et ne peut donc pas déterminer si votre organisation est conforme à la norme. Ce que nous faisons, c'est reconnaître le questionnaire de votre client et compléter les réponses à partir d'un seul dossier de chaîne, afin que vous n'ayez pas à réexpliquer chaque fois quelles mesures vous avez déjà prises. Avec quelques questions, vous voyez où se situe environ votre situation, sans que cela ne dise quoi que ce soit sur un processus de certification lui-même.
Ce que vous pouvez faire maintenant
Commencez par déterminer si votre client exige un certificat ou s'il se contente d'une réponse fondée aux questionnaires. Examinez ensuite quelle part de votre SMSI vous avez déjà mise en place de manière informelle : les risques, la gestion des accès, les sauvegardes et la gestion des incidents sont souvent déjà partiellement en place, même sans que quelqu'un l'ait appelé ainsi. Ce n'est que lorsque vous savez ce qui manque qu'il est utile de déterminer si vous vous en chargez vous-même ou si vous faites appel à un cabinet de conseil pour l'étape vers l'organisme de certification.
Sur la page sur la façon dont l'information sur supplia.eu est créée vous verrez d'où vient notre explication, afin que vous puissiez la consulter à côté de la norme officielle. Si vous hésitez encore sur la question de savoir si votre situation requiert un certificat, effectuez l'examen rapide gratuit ou consultez les questions fréquemment posées sur les questionnaires et les preuves pour une première orientation.