Comparaison
ISO 27001 et RGPD : la moitié sécurité d'une loi sur la vie privée
ISO/IEC 27001:2022 · GDPR · données du 2026-10-27
Par Paul Gillet · Mis à jour le 2026-10-17
Le RGPD est une loi sur la protection de la vie privée ; ISO 27001 est une norme de sécurité. Les deux se rejoignent dans les articles qui imposent des obligations de sécurité : intégrité et confidentialité (article 5, paragraphe 1, point f), protection des données dès la conception (article 25), sous-traitants (article 28), sécurité du traitement (article 32), notification des violations (articles 33 à 34), analyses d'impact (article 35) et délégués à la protection des données (articles 37 à 39). ControlMapping ne met en correspondance que ces articles, et chaque lien RGPD relève d'un choix éditorial, car aucune correspondance officielle n'existe.
En partant d'ISO 27001 vers les articles de sécurité du RGPD, presque tout est couvert : un SMSI fournit des mesures de sécurité fondées sur les risques, une gestion des incidents qui peut alimenter la notification des violations, des contrôles fournisseurs pour les sous-traitants et des responsabilités documentées. L'exception concerne la position du délégué à la protection des données (article 38), que la norme ISO ne traite pas.
En partant du RGPD vers ISO 27001, la majeure partie de l'Annexe A est en correspondance ou faiblement liée. Toutefois, le RGPD n'exige pas de système de management ; les clauses du SMSI, la sécurité physique et quelques mesures techniques (terminaux, capacité, journalisation) apparaissent donc comme sans correspondance. Le RGPD impose par ailleurs de nombreuses obligations hors du périmètre ici, comme la base légale, la transparence et les droits des personnes concernées ; la norme ISO/IEC 27701 étend un SMSI à la gestion de la vie privée.
Points clés à retenir
- ISO 27001 constitue une preuve solide pour l'article 32 du RGPD, mais non une preuve de conformité au RGPD.
- Ajoutez à votre processus de gestion des incidents des procédures de notification des violations (72 heures auprès de l'autorité de contrôle).
- Pour la gestion de la vie privée, examinez la norme ISO/IEC 27701 en complément du SMSI.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir ISO 27001 → viser GDPR
13 exig. 12 mis en correspondance · · 1 sans correspondance Ouvrir dans la vue des écarts →Sur 13 exigences GDPR, 12 correspondent à un élément de ISO 27001, 0 sont seulement faiblement liées et 1 n'ont aucune correspondance dans nos données.
Le RGPD est une loi sur la vie privée : seuls ses articles liés à la sécurité sont mis en correspondance ici, et toutes les correspondances sont éditoriales.
Travaux probablement nouveaux : exigences GDPR sans correspondance avec ISO 27001 (1)
| GDPR | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | Aucune correspondance dans nos données | — | Aucune correspondance avec ISO 27001 dans nos données. |
Mis en correspondance (12)
| GDPR | Exigence | Correspondance | ISO 27001 | Preuves |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | Éditorial | A.5.14A.8.10A.8.11+3 | Même sujet : Protection des données (choix de la rédaction) |
| Art.24 | Responsibility of the controller | Éditorial | Clause 6.1.1Clause 6.1.3A.5.37+1 | Même sujet : Gestion des risques, Politique de gouvernance (choix de la rédaction) |
| Art.25 | Data protection by design and by default | Éditorial | A.8.25A.8.26A.8.28+5 | Même sujet : Développement sécurisé (choix de la rédaction) |
| Art.28 | Processor | Éditorial | A.5.19A.5.20A.5.21+2 | Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs (choix de la rédaction) |
| Art.29 | Processing under the authority of the controller or processor | Éditorial | A.6.1A.6.4A.8.16 | Même sujet : Menace interne (choix de la rédaction) |
| Art.30 | Records of processing activities | Éditorial | A.5.9A.5.11A.7.14 | Même sujet : Gestion des actifs (choix de la rédaction) |
| Art.32 | Security of processing | Éditorial | A.8.24A.5.16A.5.18+6 | Même sujet : Chiffrement, Contrôle d'accès (choix de la rédaction) |
| Art.33 | Notification of a personal data breach to the supervisory authority | Éditorial | A.5.5A.5.24A.5.25+2 | Même sujet : Notification, Réponse aux incidents (choix de la rédaction) |
| Art.34 | Communication of a personal data breach to the data subject | Éditorial | A.5.5A.5.26A.6.8+2 | Même sujet : Notification, Communication et rétablissement (choix de la rédaction) |
| Art.35 | Data protection impact assessment | Éditorial | Clause 6.1.2Clause 6.1.3 | Même sujet : Évaluation des risques (choix de la rédaction) |
| Art.37 | Designation of the data protection officer | Éditorial | A.5.2A.5.4 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| Art.39 | Tasks of the data protection officer | Éditorial | A.5.2A.5.4A.6.3+1 | Même sujet : Rôles et responsabilités, Sensibilisation et formation (choix de la rédaction) |
Avoir GDPR → viser ISO 27001
123 exig. 47 mis en correspondance · · 29 sans correspondance Ouvrir dans la vue des écarts →Sur 123 exigences ISO/IEC 27001:2022, 47 correspondent à un élément de GDPR, 47 sont seulement faiblement liées et 29 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec GDPR (29)
| ISO 27001 | Exigence | Correspondance | GDPR | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.5.35 | Independent review of information security | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.2 | Physical entry | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.3 | Securing offices, rooms and facilities | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.5 | Protecting against physical and environmental threats | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.6 | Working in secure areas | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.8 | Equipment siting and protection | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.11 | Supporting utilities | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.7.12 | Cabling security | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.8.6 | Capacity management | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| A.8.15 | Logging | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 4.3 | Determining the scope of the ISMS | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 4.4 | Information security management system | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 5.1 | Leadership and commitment | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 6.2 | Information security objectives and planning to achieve them | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 6.3 | Planning of changes | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 7.5.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 7.5.2 | Creating and updating | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 7.5.3 | Control of documented information | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 8.2 | Information security risk assessment | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 8.3 | Information security risk treatment | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 9.2.1 | General | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 9.2.2 | Internal audit programme | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 10.1 | Continual improvement | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
| Clause 10.2 | Nonconformity and corrective action | Aucune correspondance dans nos données | — | Aucune correspondance avec GDPR dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (47)
| ISO 27001 | Exigence | Correspondance | GDPR | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | Partage seulement les fonctions CSF ID.RA-03, ID.RA-05, ID.RA-06 : lien indicatif, pas une correspondance | |
| A.5.8 | Information security in project management | Art.30(1) | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Partage seulement les fonctions CSF PR.DS-01, ID.AM-08 : lien indicatif, pas une correspondance | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | Partage seulement les fonctions CSF ID.IM-04, RS.MA-01, RS.MA-02 : lien indicatif, pas une correspondance | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | Partage seulement les fonctions CSF RS.MA-01, RS.MA-02, RC.CO-03 : lien indicatif, pas une correspondance | |
| A.5.32 | Intellectual property rights | Art.24(2) | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | Partage seulement les fonctions CSF GV.RR-04, GV.RR-03 : lien indicatif, pas une correspondance | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | Partage seulement les fonctions CSF GV.PO-01, PR.AA-05, PR.PS-01 : lien indicatif, pas une correspondance | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | Partage seulement les fonctions CSF DE.CM-03 : lien indicatif, pas une correspondance | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | Partage seulement les fonctions CSF PR.DS-01, ID.AM-08 : lien indicatif, pas une correspondance | |
| A.7.13 | Equipment maintenance | Art.30(1) | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Partage seulement les fonctions CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02… : lien indicatif, pas une correspondance | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | Partage seulement les fonctions CSF PR.AA-01, PR.AA-05 : lien indicatif, pas une correspondance | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.9 | Configuration management | Art.28(1) | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03 : lien indicatif, pas une correspondance | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | Partage seulement les fonctions CSF PR.DS-02, PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.21 | Security of network services | Art.28(1) | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| A.8.23 | Web filtering | Art.28(1) | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance | |
| A.8.30 | Outsourced development | Art.5(2) | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | Partage seulement les fonctions CSF PR.PS-06 : lien indicatif, pas une correspondance | |
| A.8.32 | Change management | Art.5(2) | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | Partage seulement les fonctions CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10… : lien indicatif, pas une correspondance | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | Partage seulement les fonctions CSF GV.RR-03 : lien indicatif, pas une correspondance | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | Partage seulement les fonctions CSF GV.RR-01, GV.RR-02, GV.RR-03 : lien indicatif, pas une correspondance | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | Partage seulement les fonctions CSF GV.SC-01, GV.SC-03, RC.RP-04 : lien indicatif, pas une correspondance | |
| Clause 9.3.1 | General | Art.28(1) | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| Clause 9.3.3 | Management review results | Art.28(1) | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
Mis en correspondance (47)
| ISO 27001 | Exigence | Correspondance | GDPR | Preuves |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | Éditorial | Art.24(2) | Même sujet : Politique de gouvernance (choix de la rédaction) |
| A.5.2 | Information security roles and responsibilities | Éditorial | Art.37(1)Art.39(1) | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| A.5.4 | Management responsibilities | Éditorial | Art.37(1)Art.39(1) | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| A.5.5 | Contact with authorities | Éditorial | Art.33(1)Art.34(1) | Même sujet : Notification (choix de la rédaction) |
| A.5.9 | Inventory of information and other associated assets | Éditorial | Art.30(1) | Même sujet : Gestion des actifs (choix de la rédaction) |
| A.5.11 | Return of assets | Éditorial | Art.30(1) | Même sujet : Gestion des actifs (choix de la rédaction) |
| A.5.14 | Information transfer | Éditorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Même sujet : Protection des données (choix de la rédaction) |
| A.5.15 | Access control | Éditorial | Art.25(2)Art.32(1)(b) | Même sujet : Contrôle d'accès (choix de la rédaction) |
| A.5.16 | Identity management | Éditorial | Art.25(2)Art.32(1)(b) | Même sujet : Contrôle d'accès (choix de la rédaction) |
| A.5.18 | Access rights | Éditorial | Art.25(2)Art.32(1)(b) | Même sujet : Contrôle d'accès (choix de la rédaction) |
| A.5.19 | Information security in supplier relationships | Éditorial | Art.28(1)Art.28(3) | Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs (choix de la rédaction) |
| A.5.20 | Addressing information security within supplier agreements | Éditorial | Art.28(1)Art.28(3) | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| A.5.21 | Managing information security in the ICT supply chain | Éditorial | Art.28(1) | Même sujet : Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| A.5.22 | Monitoring, review and change management of supplier services | Éditorial | Art.28(1)Art.28(3) | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| A.5.23 | Information security for use of cloud services | Éditorial | Art.28(1) | Même sujet : Sécurité du cloud (choix de la rédaction) |
| A.5.24 | Information security incident management planning and preparation | Éditorial | Art.33(1)Art.33(5) | Même sujet : Réponse aux incidents (choix de la rédaction) |
| A.5.25 | Assessment and decision on information security events | Éditorial | Art.33(1)Art.33(5) | Même sujet : Réponse aux incidents (choix de la rédaction) |
| A.5.26 | Response to information security incidents | Éditorial | Art.33(1)Art.33(5)Art.34(1) | Même sujet : Réponse aux incidents, Communication et rétablissement (choix de la rédaction) |
| A.5.29 | Information security during disruption | Éditorial | Art.32(1)(b)Art.32(1)(c) | Même sujet : Continuité des activités, Planification de la reprise (choix de la rédaction) |
| A.5.30 | ICT readiness for business continuity | Éditorial | Art.32(1)(b)Art.32(1)(c) | Même sujet : Continuité des activités, Planification de la reprise, Reprise après sinistre (choix de la rédaction) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Éditorial | Art.5(2) | Même sujet : Conformité (choix de la rédaction) |
| A.5.36 | Compliance with policies, rules and standards for information security | Éditorial | Art.5(2) | Même sujet : Conformité (choix de la rédaction) |
| A.5.37 | Documented operating procedures | Éditorial | Art.24(2) | Même sujet : Politique de gouvernance (choix de la rédaction) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Éditorial | Art.29Art.32(4) | Même sujet : Menace interne (choix de la rédaction) |
| A.6.3 | Information security awareness, education and training | Éditorial | Art.39(1)(b) | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| A.6.4 | Disciplinary process | Éditorial | Art.29Art.32(4) | Même sujet : Menace interne (choix de la rédaction) |
| A.6.8 | Information security event reporting | Éditorial | Art.33(1)Art.34(1) | Même sujet : Notification (choix de la rédaction) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Éditorial | Art.30(1) | Même sujet : Gestion des actifs (choix de la rédaction) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | Éditorial | Art.25(2)Art.32(1)(b) | Même sujet : Contrôle d'accès (choix de la rédaction) |
| A.8.8 | Management of technical vulnerabilities | Éditorial | Art.32(1)(d) | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| A.8.10 | Information deletion | Éditorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Même sujet : Protection des données (choix de la rédaction) |
| A.8.11 | Data masking | Éditorial | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | Même sujet : Protection des données (choix de la rédaction) |
| A.8.13 | Information backup | Éditorial | Art.32(1)(c) | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| A.8.14 | Redundancy of information processing facilities | Éditorial | Art.32(1)(b)Art.32(1)(c) | Même sujet : Continuité des activités, Reprise après sinistre (choix de la rédaction) |
| A.8.16 | Monitoring activities | Éditorial | Art.29Art.32(4) | Même sujet : Menace interne (choix de la rédaction) |
| A.8.24 | Use of cryptography | Éditorial | Art.32(1)(a)Art.34(3)(a) | Même sujet : Chiffrement (choix de la rédaction) |
| A.8.25 | Secure development life cycle | Éditorial | Art.25(1) | Même sujet : Développement sécurisé (choix de la rédaction) |
| A.8.26 | Application security requirements | Éditorial | Art.25(1) | Même sujet : Développement sécurisé (choix de la rédaction) |
| A.8.28 | Secure coding | Éditorial | Art.25(1) | Même sujet : Développement sécurisé (choix de la rédaction) |
| A.8.29 | Security testing in development and acceptance | Éditorial | Art.25(1) | Même sujet : Développement sécurisé (choix de la rédaction) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | Éditorial | Art.24(2) | Même sujet : Politique de gouvernance (choix de la rédaction) |
| Clause 6.1.1 | General | Éditorial | Art.24(1)Art.32(2) | Même sujet : Gestion des risques (choix de la rédaction) |
| Clause 6.1.2 | Information security risk assessment | Éditorial | Art.35(1)Art.35(7) | Même sujet : Évaluation des risques (choix de la rédaction) |
| Clause 6.1.3 | Information security risk treatment | Éditorial | Art.24(1)Art.32(2)Art.35(1)+1 | Même sujet : Gestion des risques, Évaluation des risques (choix de la rédaction) |
| Clause 7.3 | Awareness | Éditorial | Art.39(1)(b) | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| Clause 7.4 | Communication | Éditorial | Art.34(1) | Même sujet : Communication et rétablissement (choix de la rédaction) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Éditorial | Art.5(2) | Même sujet : Conformité (choix de la rédaction) |
Par thème
Les deux couvrent (23) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesGestion des vulnérabilitésContrôle d'accèsChiffrementProtection des donnéesSauvegarde et restaurationDéveloppement sécuriséSécurité du cloudRéponse aux incidentsNotificationPlanification de la repriseContinuité des activitésCommunication et rétablissementReprise après sinistreMenace interneGestion des risques fournisseurs
Seulement ISO 27001 (27) :
Environnement métierClassification des donnéesRenseignement sur les menacesAuthentification multifacteurAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCCriminalistique numériqueCommunicationAtténuationEnseignements tirésSécurité des APISécurité physique
Questions
Une certification ISO 27001 vous rend-elle conforme au RGPD ?
Non. Elle soutient les obligations de sécurité, en particulier l'article 32, mais le RGPD couvre aussi le traitement licite, la transparence, les droits des personnes concernées et bien d'autres points.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.