QRS Quality · ISO 27001
Sécurité de l’information ISO/IEC 27001
ISO/IEC 27001 traite un management de la sécurité de l’information fondé sur les risques pour confidentialité, intégrité et disponibilité. Il ne promet pas l’absence d’incident, n’approuve pas un logiciel et ne prouve pas automatiquement toutes les obligations de protection des données. QRS examine la demande réelle et le périmètre proposé ; vérifier programme et compétence actuelle avant engagement. Le conseil propre au client ne vaut pas certification impartiale.
Définir les informations et interfaces
Identifier entité, informations, processus, sites, systèmes et interfaces fournisseurs. Pour une paie externalisée hypothétique, distinguer décisions d’accès de l’organisation et responsabilités du fournisseur cloud. Son certificat ne couvre pas automatiquement le système client. Consigner les exigences contractuelles et légales pertinentes, sans inclure indistinctement toutes les sociétés du groupe et applications.
Relier risques, traitement et applicabilité
Évaluer les menaces selon des critères déclarés et désigner les propriétaires des risques. Relier traitement, décisions de risque résiduel et contrôles à la déclaration d’applicabilité, avec motifs d’inclusion ou d’exclusion. L’annexe A n’est pas une liste sans justification. Pour un départ de salarié hypothétique, relier risque d’accès, responsable du retrait, preuve de révocation et revue des privilèges restants.
Préparer les preuves du fonctionnement
Relier analyse, traitement et déclaration d’applicabilité aux revues d’accès, incidents, contrôles fournisseurs, suivi et corrections. Audit interne et revue de direction examinent le fonctionnement et la pertinence des contrôles. Utilisateurs, sites, technologies, dépendances et complexité déterminent compétences d’audit, durée et devis. Un rapport de test d’intrusion ne remplace pas l’évaluation de tout le système de management.
Demande, décision indépendante et devis
Fournir identité juridique, activités réelles, sites, effectifs, horaires, dépendances fournisseurs et preuves existantes. Vérifier programme, édition et périmètre actuel de l’organisme. Étapes d’audit, constats et preuves de correction précèdent une décision impartiale distincte ; ISO ne délivre pas de certificats. Séparer mise en œuvre et essais nécessaires de l’évaluation, surveillance, recertification, voyages et suivi. Preuves manquantes et actions ouvertes influencent le calendrier. Ni demande payée ni rapport d’audit ne garantit la certification.
Sources officielles et limites d’application
Les exemples opérationnels sont hypothétiques, sans événement client ni décision garantie. Le référentiel réel et l’organisme compétent déterminent les exigences.