ISO/IEC 27001

L’ISO/IEC 27001 est la norme de sécurité de l’information la plus connue. De nombreux clients l’exigent de leurs prestataires – y compris de ceux qui enlèvent, effacent et détruisent du matériel mis hors service. Vous lirez ici ce que la norme régit, comment se déroule une certification et quelles exigences concernent la mise hors service du matériel informatique.

Que régit l’ISO/IEC 27001 ?

La norme émane de l’ISO et de l’IEC et existe actuellement dans la version ISO/IEC 27001:2022. Elle décrit comment une entreprise met en place un SMSI , l’exploite et l’améliore en continu. Le corps du texte contient des exigences relatives au contexte, au leadership, à la planification, au support, à l’exploitation, à l’évaluation et à l’amélioration. S’y ajoute l’annexe A, avec un catalogue de 93 mesures (controls) réparties en quatre thèmes : organisationnel, humain, physique et technologique.

La norme ne prescrit aucune technique particulière. L’entreprise décide, sur la base d’une appréciation des risques, des mesures qu’elle applique et le justifie dans la déclaration d’applicabilité. La norme sœur ISO/IEC 27002 donne des indications pour la mise en œuvre de chaque mesure.

L’ISO 27001 et la mise hors service du matériel informatique

Plusieurs mesures de l’annexe A concernent directement la fin de vie du matériel :

Mesure (annexe A, 2022)	Sommaire	Pratique lors de la mise hors service
5.9 Inventaire	Inventaire des informations et autres actifs associés	Liste d’appareils avec numéros de série
5.11 Restitution des actifs	Restitution lors du départ ou à la fin du contrat	Reprise des ordinateurs portables et téléphones lors de l’offboarding
7.10 Supports de stockage	Gestion des supports de stockage sur l’ensemble du cycle de vie	Collecte, transport et stockage sécurisés
7.14 Élimination sécurisée ou réutilisation du matériel	Contrôler les appareils avant leur élimination ou leur réutilisation, supprimer les données	Effacement ou destruction avant la revente ou le recyclage
8.10 Suppression d’informations	Supprimer les informations lorsqu’elles ne sont plus nécessaires	Procédés d’effacement documentés et preuves
5.19 à 5.22 Fournisseurs	Sécurité dans les relations avec les fournisseurs	Fixer et surveiller contractuellement les exigences applicables aux prestataires

Le guide montre quelles questions poser à un prestataire pour la mise hors service Choisir un prestataire ITAD.

Déroulement d’une certification ISO 27001

La certification peut être réalisée par un organisme de certification accrédité à cet effet, en Allemagne par la DAkkS (voir Accréditation). L’audit initial se déroule en deux étapes : examen de la documentation, puis examen de la mise en œuvre. Le certificat est valable trois ans. Dans les années intermédiaires ont lieu des audits de surveillance , puis une recertification. La validité d’un certificat et le périmètre qu’il couvre figurent dans le certificat lui-même : veillez au périmètre et à la date d’expiration.

Distinction avec les termes voisins

Le site BSI IT-Grundschutz est un modèle de démarche allemand comprenant des modules détaillés. Une certification « ISO 27001 sur la base de l’IT-Grundschutz » est délivrée par le BSI lui-même. TISAX est un procédé d’évaluation et d’échange de l’industrie automobile qui s’appuie sur l’ISO/IEC 27001. NIS2 est une loi, pas une norme : une certification peut aider à démontrer le respect des obligations légales, mais ne les remplace pas.

L’ISO/IEC 27001 chez Second IT

Second IT est certifiée ISO/IEC 27001, ainsi que ISO 9001, ISO 14001 et ISO 45001. S’y ajoutent le contrôle d’accès et la vidéosurveillance, l’engagement des collaborateurs au secret des données, des NDA et des procédures pour VS-NfD. En savoir plus sur le Secret des données et confidentialité chez Second IT.

Questions fréquentes sur l’ISO/IEC 27001

Quelle est la différence entre l’ISO 27001 et l’ISO 27002 ?

L’ISO/IEC 27001 contient les exigences certifiables applicables à un SMSI. L’ISO/IEC 27002 est un guide qui explicite plus en détail les mesures de l’annexe A. La certification ne se fait que selon l’ISO/IEC 27001.

Quelle est la durée de validité d’un certificat ISO 27001 ?

En règle générale trois ans. Une condition est la réussite des audits de surveillance dans les années intermédiaires. Une recertification suit ensuite.

L’ISO 27001 exige-t-elle un procédé d’effacement particulier ?

Non. La norme exige de supprimer les informations lorsqu’elles ne sont plus nécessaires et de contrôler les appareils avant leur élimination ou leur réutilisation. Le procédé approprié résulte de l’appréciation des risques. Pour la mise en œuvre, de nombreuses entreprises se réfèrent à des normes telles que NIST SP 800-88 ou à la DIN 66399 pour la destruction.

L’ISO 27001 est-elle obligatoire pour les entreprises ?

Non, la certification est volontaire. De nombreux clients l’exigent toutefois de leurs prestataires. NIS2 est une loi et non une norme. Une certification peut aider à démontrer le respect des obligations légales, mais ne les remplace pas.

Qu’est-ce que la déclaration d’applicabilité dans l’ISO 27001 ?

L’entreprise y consigne les mesures de l’annexe A qu’elle applique et pourquoi. La base en est l’appréciation des risques. La norme ne prescrit aucune technique particulière ; l’entreprise décide et justifie son choix.