Que couvre l’ISO 27001 ?
La norme décrit un système de management de la sécurité de l’information. Une entreprise qui l’applique
- identifie et évalue les risques pour ses informations,
- définit des mesures, par exemple pour les accès, les sauvegardes et les urgences,
- vérifie et améliore régulièrement ces mesures
- et fait auditer le système par un organisme externe pour la certification.
Que signifient confidentialité, intégrité et disponibilité ?
La sécurité de l’information protège trois propriétés de l’information :
- Confidentialité : seules les personnes autorisées voient les données.
- Intégrité : les données sont complètes et ne sont pas modifiées à l’insu de quiconque.
- Disponibilité : systèmes et données sont accessibles lorsqu’on en a besoin.
Pourquoi est-ce important pour les PME ?
De nombreuses PME confient l’exploitation, l’hébergement ou le suivi de leur informatique à un partenaire. Une partie de leurs données et de leurs accès relève alors de sa responsabilité. Un système de management selon l’ISO 27001 montre que ce partenaire applique la sécurité de l’information de manière systématique.
ISO 27001 et protection des données : quelle différence ?
La loi suisse sur la protection des données règle la manière dont les données personnelles peuvent être traitées. Sa version révisée s’applique depuis le 1er septembre 2023. L’ISO 27001 est en revanche une norme volontaire pour la protection de toutes les informations d’une entreprise. Une certification ne remplace pas les obligations de protection des données, mais elle les soutient : gérer systématiquement les risques, les accès et les urgences couvre une part importante de la sécurité des données exigée.
Comment se déroule une certification ?
Un organisme de certification accrédité examine le système de management lors d’un audit. Le certificat est valable trois ans, avec des audits de surveillance annuels pendant cette période, puis une recertification. La version actuelle de la norme est l’ISO/IEC 27001:2022.
Quelles questions poser à un partenaire IT ?
- Sur quelle norme repose la sécurité de l’information ?
- Qui a accès à nos données, et comment est-ce réglé ?
- Où nos données sont-elles stockées ?
- Existe-t-il des procédures définies en cas d’urgence ?
- La restauration des sauvegardes est-elle testée régulièrement ?
Que peuvent faire les PME elles-mêmes ?
- Activer l’authentification multifacteur pour la messagerie, l’accès à distance et les applications importantes.
- Installer rapidement les mises à jour des appareils et des programmes.
- Conserver les sauvegardes séparément et tester la restauration.
- Vérifier régulièrement les autorisations, en particulier lors des départs.
- Sensibiliser les collaborateurs au phishing et aux tentatives de fraude.
- Consigner qui fait quoi en cas d’urgence et qui informer.
Qu’exige la loi sur la protection des données en cas d’incident ?
Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour les personnes concernées, elle doit être annoncée au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais. Cela suppose des procédures définies à l’avance : qui détecte l’incident, qui l’évalue et qui l’annonce ? L’ISO 27001 exige précisément ce type de procédures.
Comment détecter les attaques à temps ?
De nombreuses attaques commencent discrètement, souvent la nuit ou le week-end. Un Security Operations Center surveille les systèmes connectés 24h/24, évalue les alertes et informe les contacts convenus. En tant qu’Arctic Wolf Premium Partner, elvadata propose cette surveillance, adaptée à votre informatique. Plus d’informations sur la page Sécurité.
Comment elvadata l’applique-t-elle ?
Le système de management de la sécurité de l’information d’ELVADATA AG est construit selon les exigences de l’ISO 27001. Les accès sont réglés par des concepts clairs, les sauvegardes suivent un rythme convenu ensemble et la restauration est testée régulièrement. Une expertise CISO répond à vos questions.
L’article ISO 27001 : la sécurité de l’information avec méthode décrit comment nous appliquons nous-mêmes la sécurité de l’information. Pour discuter de votre situation, contactez-nous via Collaboration.