Exemple de procedure de mise en pratique de la norme ISO/IEC
27001 pour une entreprise :
Prenons l'exemple d'une entreprise fictive, une société de services financiers appelée "SecureBank",
qui souhaite appliquer la norme ISO/IEC 27001 pour renforcer la sécurité de ses informations
sensibles, telles que les données financières des clients.
Étape 1: Sensibilisation et Engagement de la Direction:
La direction de SecureBank doit être sensibilisée à l'importance de la sécurité de
l'information et à la valeur ajoutée de la certification ISO/IEC 27001.
Une réunion est organisée pour expliquer les avantages et les exigences de la norme, ainsi
que les implications pour l'entreprise.
Étape 2: Évaluation Initiale et Planification:
SecureBank effectue une évaluation initiale de son environnement informatique et identifie
les risques potentiels pour la sécurité de l'information.
Sur la base de cette évaluation, un plan d'action est élaboré pour la mise en œuvre de la
norme ISO/IEC 27001, en tenant compte des ressources nécessaires et des échéances.
Étape 3: Formation du Personnel:
Le personnel de SecureBank, notamment les responsables informatiques et les employés
concernés par la gestion de la sécurité de l'information, reçoit une formation sur les principes
et les exigences de la norme ISO/IEC 27001.
Cette formation vise à sensibiliser le personnel aux bonnes pratiques en matière de sécurité
de l'information et à leur rôle dans la mise en œuvre du SMSI.
Étape 4: Élaboration de la Documentation:
SecureBank crée la documentation nécessaire pour définir les politiques, les procédures et
les processus liés à la sécurité de l'information conformément aux exigences de la norme
ISO/IEC 27001.
Cela comprend la rédaction d'une politique de sécurité de l'information, des procédures
opérationnelles standard, des registres de sécurité, etc.
Étape 5: Mise en Œuvre des Mesures de Sécurité:
Sur la base des résultats de l'évaluation des risques, SecureBank met en place les mesures de
sécurité nécessaires pour protéger ses informations sensibles.
Cela peut inclure la mise en place de pare-feu, la gestion des accès, le chiffrement des
données, la sensibilisation à la sécurité pour les employés, etc.
Étape 6: Audit Interne et Amélioration Continue:
SecureBank réalise des audits internes réguliers pour évaluer l'efficacité de son SMSI et
identifier les domaines à améliorer.
Sur la base des résultats de ces audits, des actions correctives et préventives sont mises en
œuvre pour renforcer la sécurité de l'information et améliorer le fonctionnement du SMSI.
Étape 7: Certification Externe:
Une fois que SecureBank est convaincue que son SMSI est pleinement conforme aux
exigences de la norme ISO/IEC 27001, elle engage un organisme de certification externe
pour effectuer une évaluation et délivrer la certification.
L'organisme de certification effectue une série d'audits pour vérifier la conformité de
SecureBank aux exigences de la norme et délivre la certification ISO/IEC 27001 si toutes les
conditions sont remplies.
Étape 8: Maintenance et Actualisation:
SecureBank s'engage à maintenir et à actualiser en permanence son SMSI pour répondre aux
évolutions des menaces et des technologies.
Cela implique de rester informé des nouvelles exigences de la norme et des meilleures
pratiques en matière de sécurité de l'information, ainsi que de mettre à jour régulièrement les
politiques et les procédures en conséquence.
En suivant cette démarche, SecureBank peut mettre en place un système de management de la
sécurité de l'information robuste et obtenir la certification ISO/IEC 27001, démontrant ainsi son
engagement envers la protection des données de ses clients et renforçant sa réputation en tant
qu'entreprise sécurisée et fiable.