ISO 27001:2022 et tests techniques
- Évolution de la version 2022 : L'Annexe A renforce considérablement les contrôles techniques, notamment la gestion des vulnérabilités techniques (contrôle 8.8) et les tests de sécurité dans le développement (contrôle 8.29).
- Réfutation de la non-conformité majeure : L'absence de tests réguliers sur les systèmes exposés est l'une des causes principales de refus de certification lors de l'audit de phase 2.
- L'exemplarité de Suisse IT GmbH : Notre entreprise est elle-même certifiée ISO/IEC 27001:2022 par la Swiss Safety Center AG accréditée. Nous parlons le langage exact des auditeurs de certification.
1. Les contrôles de l'Annexe A exigeant des tests d'intrusion
Dans la révision ISO/IEC 27001:2022, plusieurs mesures de sécurité nécessitent explicitement la réalisation d'audits techniques périodiques :
- Contrôle 8.8 (Gestion des vulnérabilités techniques) : L'organisation doit obtenir des informations en temps opportun sur les vulnérabilités techniques des systèmes d'information, évaluer son exposition et prendre les mesures appropriées.
- Contrôle 8.25 (Cycle de vie du développement sécurisé) : Les exigences de sécurité doivent être intégrées et vérifiées dès la conception des applications.
- Contrôle 8.29 (Tests de sécurité en développement et acceptation) : Des tests de sécurité doivent être menés pendant le cycle de vie des systèmes avant leur mise en production.
| Exigence de l'auditeur de certification | Preuve attendue | Apport du dossier Suisse Guard |
|---|---|---|
| Évaluation indépendante des vulnérabilités | Rapport technique établi par un tiers qualifié et indépendant. | Dossier complet d'analyse des menaces avec méthodologie d'audit transparente. |
| Preuve d'action corrective et de remédiation | Attestation formelle de correction des failles détectées. | Procès-verbal de contre-test attestant la fermeture de toutes les failles critiques et élevées. |
| Reconnaissance de conformité formelle | Attestation de sécurité valide dans le temps. | Certificat de sécurité Suisse Guard avec numéro de registre unique vérifiable en ligne. |
