Référentiel
ISO/IEC 27001:2022
De quoi il s'agit
La norme internationale applicable à un système de management de la sécurité de l'information (SMSI). Les clauses 4 à 10 constituent des exigences obligatoires de système de management ; l'annexe A énumère 93 mesures de référence, retenues à l'issue du traitement des risques et justifiées dans une Déclaration d'applicabilité.
À qui il s'adresse
Organisations qui ont besoin d'une preuve de sécurité reconnue à l'international : fréquente chez les éditeurs de logiciels et les prestataires de services qui vendent aux grandes entreprises et au secteur public, en particulier hors des États-Unis.
Comment l'évaluation est réalisée
Un organisme de certification accrédité réalise un audit de Stade 1 (documentation) et un audit de Stade 2 (mise en œuvre). Le certificat est valable trois ans, avec des audits de surveillance les deuxième et troisième années. Voir comment obtenir la certification.
Lire le guide : Comment obtenir la certification ISO 27001 →
123
Mesures de l'Annexe A et clauses du SMSI
123
Mis en correspondance avec un autre référentiel
100%
Sujets couverts (50/50)
Décomptes : clauses comptées à leur niveau le plus fin (6.1.1–6.1.3, et non 6.1).
Comparaisons
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Politique de gouvernance | 9 sur 13 |
| A.5.2 | Information security roles and responsibilities | Rôles et responsabilités | 9 sur 13 |
| A.5.3 | Segregation of duties | — | 3 sur 13 |
| A.5.4 | Management responsibilities | Rôles et responsabilités | 9 sur 13 |
| A.5.5 | Contact with authorities | Notification | 12 sur 13 |
| A.5.6 | Contact with special interest groups | Communication | 8 sur 13 |
| A.5.7 | Threat intelligence | Renseignement sur les menaces | 7 sur 13 |
| A.5.8 | Information security in project management | — | 1 sur 13 |
| A.5.9 | Inventory of information and other associated assets | Gestion des actifs | 13 sur 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 sur 13 |
| A.5.11 | Return of assets | Gestion des actifs | 13 sur 13 |
| A.5.12 | Classification of information | Classification des données | 9 sur 13 |
| A.5.13 | Labelling of information | Classification des données | 9 sur 13 |
| A.5.14 | Information transfer | Protection des données, Sécurité de la messagerie | 12 sur 13 |
| A.5.15 | Access control | Contrôle d'accès, Zero Trust | 11 sur 13 |
| A.5.16 | Identity management | Contrôle d'accès | 11 sur 13 |
| A.5.17 | Authentication information | — | 2 sur 13 |
| A.5.18 | Access rights | Contrôle d'accès | 11 sur 13 |
| A.5.19 | Information security in supplier relationships | Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs | 10 sur 13 |
| A.5.20 | Addressing information security within supplier agreements | Gestion des risques fournisseurs | 10 sur 13 |
| A.5.21 | Managing information security in the ICT supply chain | Risque lié à la chaîne d'approvisionnement | 9 sur 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Gestion des risques fournisseurs | 10 sur 13 |
| A.5.23 | Information security for use of cloud services | Sécurité du cloud | 11 sur 13 |
| A.5.24 | Information security incident management planning and preparation | Réponse aux incidents | 12 sur 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Réponse aux incidents | 12 sur 13 |
| A.5.26 | Response to information security incidents | Réponse aux incidents, Atténuation, Communication et rétablissement | 12 sur 13 |
| A.5.27 | Learning from information security incidents | Enseignements tirés | 9 sur 13 |
| A.5.28 | Collection of evidence | Criminalistique numérique | 7 sur 13 |
| A.5.29 | Information security during disruption | Planification de la reprise, Continuité des activités | 9 sur 13 |
| A.5.30 | ICT readiness for business continuity | Planification de la reprise, Continuité des activités, Reprise après sinistre | 10 sur 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Conformité | 10 sur 13 |
| A.5.32 | Intellectual property rights | — | 2 sur 13 |
| A.5.33 | Protection of records | — | 2 sur 13 |
| A.5.34 | Privacy and protection of PII | — | 2 sur 13 |
| A.5.35 | Independent review of information security | — | 3 sur 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Conformité | 10 sur 13 |
| A.5.37 | Documented operating procedures | Politique de gouvernance | 9 sur 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Menace interne | 9 sur 13 |
| A.6.2 | Terms and conditions of employment | — | 2 sur 13 |
| A.6.3 | Information security awareness, education and training | Sensibilisation et formation | 10 sur 13 |
| A.6.4 | Disciplinary process | Menace interne | 9 sur 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 sur 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 sur 13 |
| A.6.7 | Remote working | Sécurité mobile | 7 sur 13 |
| A.6.8 | Information security event reporting | Notification | 12 sur 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Sécurité physique | 8 sur 13 |
| A.7.2 | Physical entry | Sécurité physique | 8 sur 13 |
| A.7.3 | Securing offices, rooms and facilities | Sécurité physique | 8 sur 13 |
| A.7.4 | Physical security monitoring | Sécurité physique | 8 sur 13 |
| A.7.5 | Protecting against physical and environmental threats | Sécurité physique | 8 sur 13 |
| A.7.6 | Working in secure areas | Sécurité physique | 8 sur 13 |
| A.7.7 | Clear desk and clear screen | — | 2 sur 13 |
| A.7.8 | Equipment siting and protection | Sécurité physique | 8 sur 13 |
| A.7.9 | Security of assets off-premises | — | 1 sur 13 |
| A.7.10 | Storage media | — | 2 sur 13 |
| A.7.11 | Supporting utilities | Sécurité physique | 8 sur 13 |
| A.7.12 | Cabling security | Sécurité physique | 8 sur 13 |
| A.7.13 | Equipment maintenance | — | 2 sur 13 |
| A.7.14 | Secure disposal or re-use of equipment | Gestion des actifs | 13 sur 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Protection des terminaux, Sécurité mobile | 10 sur 13 |
| A.8.2 | Privileged access rights | Accès privilégiés | 10 sur 13 |
| A.8.3 | Information access restriction | Contrôle d'accès | 11 sur 13 |
| A.8.4 | Access to source code | — | 1 sur 13 |
| A.8.5 | Secure authentication | Authentification multifacteur, Zero Trust, Sécurité des API | 10 sur 13 |
| A.8.6 | Capacity management | — | 2 sur 13 |
| A.8.7 | Protection against malware | Protection des terminaux | 10 sur 13 |
| A.8.8 | Management of technical vulnerabilities | Gestion des vulnérabilités, Gestion des correctifs | 13 sur 13 |
| A.8.9 | Configuration management | Configuration sécurisée | 9 sur 13 |
| A.8.10 | Information deletion | Protection des données | 11 sur 13 |
| A.8.11 | Data masking | Protection des données | 11 sur 13 |
| A.8.12 | Data leakage prevention | DLP | 7 sur 13 |
| A.8.13 | Information backup | Sauvegarde et restauration | 11 sur 13 |
| A.8.14 | Redundancy of information processing facilities | Continuité des activités, Reprise après sinistre | 10 sur 13 |
| A.8.15 | Logging | Journalisation et audit | 10 sur 13 |
| A.8.16 | Monitoring activities | Surveillance continue, Détection d'intrusion, Détection d'anomalies, SIEM / SOC, Menace interne | 12 sur 13 |
| A.8.17 | Clock synchronization | Journalisation et audit | 10 sur 13 |
| A.8.18 | Use of privileged utility programs | Accès privilégiés | 10 sur 13 |
| A.8.19 | Installation of software on operational systems | Protection des terminaux | 10 sur 13 |
| A.8.20 | Networks security | Pare-feu / Segmentation réseau, Sécurité DNS, WAF | 9 sur 13 |
| A.8.21 | Security of network services | Pare-feu / Segmentation réseau, Sécurité DNS | 9 sur 13 |
| A.8.22 | Segregation of networks | Pare-feu / Segmentation réseau, Zero Trust | 9 sur 13 |
| A.8.23 | Web filtering | — | 1 sur 13 |
| A.8.24 | Use of cryptography | Chiffrement | 10 sur 13 |
| A.8.25 | Secure development life cycle | Développement sécurisé | 8 sur 13 |
| A.8.26 | Application security requirements | Développement sécurisé, Sécurité web, Sécurité des API | 8 sur 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 sur 13 |
| A.8.28 | Secure coding | Développement sécurisé | 8 sur 13 |
| A.8.29 | Security testing in development and acceptance | Développement sécurisé | 8 sur 13 |
| A.8.30 | Outsourced development | — | 2 sur 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 sur 13 |
| A.8.32 | Change management | — | 4 sur 13 |
| A.8.33 | Test information | — | 2 sur 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 sur 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Environnement métier | 5 sur 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Environnement métier | 5 sur 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 sur 13 |
| Clause 4.4 | Information security management system | — | 1 sur 13 |
| Clause 5.1 | Leadership and commitment | — | 2 sur 13 |
| Clause 5.2 | Policy | Politique de gouvernance | 9 sur 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 sur 13 |
| Clause 6.1.1 | General | Gestion des risques | 10 sur 13 |
| Clause 6.1.2 | Information security risk assessment | Évaluation des risques | 10 sur 13 |
| Clause 6.1.3 | Information security risk treatment | Gestion des risques, Évaluation des risques | 10 sur 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 sur 13 |
| Clause 6.3 | Planning of changes | — | 2 sur 13 |
| Clause 7.1 | Resources | — | 2 sur 13 |
| Clause 7.2 | Competence | — | 3 sur 13 |
| Clause 7.3 | Awareness | Sensibilisation et formation | 10 sur 13 |
| Clause 7.4 | Communication | Communication, Communication et rétablissement | 9 sur 13 |
| Clause 7.5.1 | General | — | 1 sur 13 |
| Clause 7.5.2 | Creating and updating | — | 1 sur 13 |
| Clause 7.5.3 | Control of documented information | — | 1 sur 13 |
| Clause 8.1 | Operational planning and control | — | 2 sur 13 |
| Clause 8.2 | Information security risk assessment | — | 4 sur 13 |
| Clause 8.3 | Information security risk treatment | — | 4 sur 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Conformité | 10 sur 13 |
| Clause 9.2.1 | General | — | 1 sur 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 sur 13 |
| Clause 9.3.1 | General | — | 1 sur 13 |
| Clause 9.3.2 | Management review inputs | — | 1 sur 13 |
| Clause 9.3.3 | Management review results | — | 1 sur 13 |
| Clause 10.1 | Continual improvement | Enseignements tirés | 9 sur 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 sur 13 |
Couverture du sujet
Thèmes avec des exigences ISO 27001 mappées (50) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésRenseignement sur les menacesContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudSécurité DNSWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementReprise après sinistreSécurité des APIMenace interneGestion des risques fournisseursSécurité physique