ISO/IEC 27001 et sécurité du système d’information

Évaluer vos écarts et accompagner la sécurisation de votre organisation, des exigences du SMSI aux mesures techniques.

Identités et accès

Réseaux et segmentation

Serveurs et services

Structurer le management de la sécurité

ISO/IEC 27001 définit les exigences d’un système de management de la sécurité de l’information (SMSI). La démarche porte sur un périmètre d’organisation et sur la gestion des risques. Elle ne se limite ni à un outil ni à un audit technique et peut concerner les activités IT, industrielles et applicatives de ce périmètre.

Délimiter le périmètre

Identifier les activités, les informations, les parties prenantes et les responsabilités à prendre en compte.

Relier risques et mesures

Organiser l’analyse des risques et les décisions de traitement, puis documenter les mesures retenues.

Suivre les actions

Maintenir un plan d’actions, les responsabilités et les éléments permettant d’apprécier l’avancement.

Améliorer dans la durée

Réexaminer les résultats, les changements et les besoins de vérification pour faire évoluer le dispositif.

Analyse d’écart ISO/IEC 27001

Vous souhaitez savoir où vous en êtes avant de structurer votre SMSI ou de préparer une évaluation ? Nous réalisons une analyse d’écart sur un périmètre convenu avec vos équipes. Les entretiens, la documentation et les éléments de preuve disponibles permettent de comparer les pratiques observées aux exigences retenues et de définir les actions prioritaires.

Périmètre et gouvernance

Examiner les activités, les responsabilités, les politiques et l’organisation de la sécurité. Identifier les acteurs et les dépendances à intégrer au périmètre étudié.

Risques et décisions de traitement

Relire la manière dont les risques sont identifiés, appréciés et traités. Relier les décisions aux enjeux métier, aux actifs et aux mesures mises en place.

Mesures et éléments de preuve

Examiner les mesures retenues et leur justification au regard des risques. Distinguer ce qui est documenté, effectivement mis en œuvre ou restant à démontrer.

Suivi et amélioration

Évaluer la disponibilité des indicateurs, des revues et du suivi des actions. Repérer les écarts de fonctionnement autant que les documents manquants.

Le diagnostic peut commencer par une vue d’ensemble ou approfondir des sujets ciblés. Les vérifications techniques, les échantillons et les limites de l’analyse sont explicités dès le cadrage.

Un état des lieux pour décider et agir

Une synthèse des points forts, des écarts observés et des limites du diagnostic.
Un relevé des écarts avec les observations et les preuves disponibles.
Des recommandations hiérarchisées selon les risques, les dépendances et vos contraintes.
Une feuille de route précisant les actions, les responsables et les éléments à réunir pour vérifier les progrès.

Accompagnement à la sécurisation

Après l’analyse d’écart, nous pouvons accompagner vos équipes pour transformer les recommandations en mesures concrètes. L’intervention associe organisation, documentation et sécurisation technique, avec un suivi adapté à vos ressources. Elle peut porter sur quelques actions ciblées ou s’inscrire dans la durée.

Structurer les règles et les responsabilités

Contribuer à la PSSI, aux procédures, aux documents d’architecture et aux plans de continuité ou de reprise. Clarifier les responsabilités et les preuves à conserver.

Renforcer les protections techniques

Accompagner la sécurisation des accès, la segmentation des réseaux, le durcissement des configurations, les sauvegardes et la journalisation selon les actions retenues.

Piloter la remédiation

Organiser le plan d’actions avec vos équipes ou vos prestataires, répondre aux questions de mise en œuvre et suivre les corrections et les arbitrages.

Vérifier les mesures mises en place

Relire les éléments de preuve et réaliser les contrôles convenus. Des audits techniques, contre-tests ou tests d’intrusion peuvent compléter le suivi sur un périmètre défini.

Un diagnostic, une revue documentaire, un appui ponctuel ou un accompagnement régulier peuvent être combinés. Le périmètre, les livrables et les responsabilités de chacun sont définis avant l’intervention.

Notre analyse d’écart et notre accompagnement préparent votre démarche. Ils ne constituent pas un audit de certification et ne délivrent pas de certificat ISO/IEC 27001.

Découvrir l’accompagnement RSSI à temps partagé

Comprendre le périmètre de la démarche

Que couvre une analyse d’écart ISO/IEC 27001 ?

Sur le périmètre convenu, elle examine les pratiques, les documents et les éléments de preuve disponibles pour identifier les écarts et prioriser les actions. La profondeur des vérifications et les limites du diagnostic sont précisées au cadrage.

Pouvez-vous accompagner les corrections après le diagnostic ?

Oui. Nous pouvons aider vos équipes à organiser la remédiation, formaliser les documents et mettre en place les mesures de sécurisation retenues. Des vérifications complémentaires permettent de suivre les progrès selon la mission convenue.

ISO 27001 certifie-t-elle un produit ?

Non. Elle définit les exigences d’un système de management de la sécurité de l’information pour un périmètre d’organisation. La sécurité d’un produit et ses éventuelles évaluations relèvent d’autres démarches.

Un pentest suffit-il pour être conforme à ISO 27001 ?

Non. Un audit technique ou un pentest peut contribuer à l’évaluation des risques et à la vérification de mesures. Il ne remplace pas les responsabilités, les processus et les autres exigences du SMSI.

LOOTUS délivre-t-il une certification ISO 27001 ?

Non. Notre intervention porte sur l’analyse d’écart, l’accompagnement et les travaux techniques convenus. La certification est délivrée par un organisme certificateur distinct.