Audit de systèmes de management de la sécurité de l'information (ISO/CEI 27001 Lead Auditor)

Afin de garantir la sécurité des systèmes de l’information, les entreprises sont amenées à mettre en place un système de management de la sécurité de l’information conforme à la norme ISO 27001.

Pour contrôler la bonne mise en œuvre de cette conformité au sein des organisations, la certification "Audit de systèmes de management de la sécurité de l'information (ISO/CEI 27001 Lead Auditor)" permet aux professionnels évoluant dans le domaine de la sécurité de l’information ou ayant déjà réalisé des audits d’attester :

• qu’ils possèdent les connaissances et compétences complémentaires, nécessaires à la pratique de l'audit de systèmes de management de la sécurité de l'information conformes à la norme ISO/CEI 27001 « Technologies de l’information –Techniques de sécurité – Systèmes de management de la sécurité de l’information – Exigences», en tant que membre d'équipe d'audit ou seul
• et qu’ils possèdent le savoir-faire et les qualités personnelles nécessaires à la conduite d’un audit, définies dans la norme ISO/CEI 19011 « Lignes directrices pour l'audit des systèmes de management » et dans les guides associés (ISO, IAF, EA).

Les activités en lien avec cette certification sont :

• Concevoir un audit du Système de Management de la Sécurité de l’Information avec une approche holistique, qui permette une analyse ciblée et précise
• Réaliser un audit en mobilisant les parties prenantes et en explorant les preuves disponibles pour identifier des actions correctives
• Élaborer un rapport final qui priorise les actions à réaliser et favorise l’engagement des parties prenantes
• Apprécier la mise en œuvre et le niveau de réalisation des actions pour pérenniser les résultats obtenus

• C1. Caractériser les menaces et vulnérabilités qui pèsent sur le système d’information de l’organisation, en prenant en considération les aspects humains, organisationnels et technologiques pour cibler le périmètre d’audit selon ISO 27001
• C2. Déterminer les risques en analysant la documentation et les processus de l’organisation afin de définir les points de contrôles de l’audit selon ISO 27001
• C3. Composer une équipe d’audit pluridisciplinaire en fonction du périmètre et des points de contrôles définis afin de réaliser un audit conforme à la norme ISO 19011
• C4. Concevoir un plan d’audit en s’appuyant sur les outils et méthodes d’audit pertinents selon ISO 19011, ISO 27007 et 27008 afin de couvrir l’ensemble des activités du périmètre d’audit
• C5. Identifier et apprécier les non conformités en mettant en œuvre le plan d’audit et en utilisant les outils de communication et d’audit pertinents pour proposer des actions correctives en conformité avec la norme ISO 27001
• C6. Formaliser ses recommandations dans un rapport final en priorisant les actions à mener afin de favoriser l’engagement des parties prenantes
• C7. Établir un plan de suivi des actions en s’appuyant sur le rapport final afin de contrôler la mise en œuvre et le niveau de réalisation des actions