Mise en œuvre de la certification ISO 27001 1
Sommaire : 1. Définitions 2. Pourquoi vouloir obtenir une certification? 3. Les étapes pour obtenir l ISO 27001 4. Implémentation 5. Surveillance et audit du SMSI 6. Avantages vs Inconvénients 7. Retours sur la certification SynAApS 2
Définitions Clusir Rhône-Alpes Club SSI, le 29/04/2015 La famille de normes ISO 27000 aide les organisations à assurer la sécurité de leurs informations. Ces normes organisent le management de la sécurité des informations, notamment : Les données financières Les documents soumis à la propriété intellectuelle Les informations relatives au personnel Les données qui vous sont confiées par des tiers L ISO/IEC 27001, expose les exigences relatives aux systèmes de management de la sécurité des informations (SMSI). La suite ISO/CEI 27000 comprend les normes de sécurité de l'information publiées conjointement par l'organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (CEI, ou IEC en anglais). 3
Définitions Clusir Rhône-Alpes Club SSI, le 29/04/2015 Un SMSI désigne l'approche systémique par laquelle une organisation veille à la sécurité des informations sensibles. Construit selon un processus de management du risque, un SMSI englobe : Les personnes Les processus et les systèmes de l IT Cette démarche peut être utile aux organisations de tous secteurs et de toutes tailles qui tiennent à la confidentialité de leurs informations. 4
Définitions Clusir Rhône-Alpes Club SSI, le 29/04/2015 5
Pourquoi vouloir une certification? Comme toutes les autres normes de systèmes de management de l'iso, la certification selon ISO/IEC 27001 est une possibilité, mais pas une obligation. Certains utilisateurs (organisations) décident de mettre en œuvre la norme pour les avantages directs que procurent les meilleures pratiques. Bonne gouvernance = réduction des coûts D'autres font le choix de la certification pour prouver à leurs clients qu'ils suivent les recommandations de la norme. 6
Les étapes Clusir Rhône-Alpes Club SSI, le 29/04/2015 Etapes INITIALE AUDIT ETUDE DES RISQUES SMSI PLAN D ACTIONS DOCUMENTATION DOSSIER ASIP Désignation Préparation du scope projet ISO 27K Etat des lieux du périmètre Datacenter Méthodologie d étude EBIOS Phases Conception, déploiement, surveillance et amélioration du SMSI Plan d Actions et suivi de la mise en conformité Formalisation de la base documentaire Accompagnement pour la création du dossier de candidature 7
Implémentation de la certification? 8
Implémentation de la certification? 9
Implémentation de la certification? 10
Implémentation de la certification? 11
Implémentation de la certification? 12
Implémentation de la certification? 13
Implémentation de la certification? 14
Implémentation de la certification? 15
Implémentation de la certification? 16
Implémentation de la certification? 17
Implémentation de la certification? ISO 27001:2013 113 mesures de sécurité 18
Les différents niveaux de sécurisation à traiter : ACL, Cryptage, Chiffrement, Anonymisation, Sauvegarde. Antivirus, contrôle des développements, Contrôle et tracing des accès Sondes HIDS(1), Authentification, Renforcement de la sécurité du Système d Exploitation Sondes NIDS(2), Authentification, Renforcement de la sécurité du Système d Exploitation Firewall, Vpn Ipsec/ SSL, Vlan, etc Cages, Verrous, vidéosurveillance, Périmètre, Contrôles physiques, Détecteurs biométriques, thermiques, hydrométriques, etc Formation, Accompagnement, Sensibilisation des utilisateurs, Etude des risques, PSSI, Gestion des projets, etc (1) SDIH = Système de Détection d Intrusion au niveau des Hôtes (2) NIDS = Système de Détection d Intrusion au niveau du Réseau 19
Implémentation de la certification? 20
Surveillance et réexamen du SMSI 21
Audit interne et externe 22
Choix de l organisme de certification? 23
Les avantages? 24
Les avantages? 25
Les contraintes? Temps passé Embauche de plusieurs collaborateurs Des processus contraignants à respecter Des obligations de résultats Audit tous les ans Des documents à maintenir Un temps de formation important pour les nouveaux collaborateurs L obligation de déléguer des responsabilités Une implication obligatoire de la direction 26
Notre retour sur la certification SynAApS L implémentation est longue et difficile à gérer avec l activité Cette norme doit vivre dans l organisation à tous les niveaux hiérarchiques Le choix du périmètre est essentiel Embauche de nouvelles ressources Elle évolue et s améliore tous les jours Ne pas faire cette norme par contrainte d un prospect Elle permet de rassurer nos clients. Il retrouve leur zone de confiance. La certification AHDS 27