Contexte interne et externe
Il comprend l’activité de l’entreprise, son exposition aux menaces du secteur et des facteurs externes comme la réglementation applicable en matière de protection des données.
Parties intéressées et leurs exigences
Clients imposant des clauses de confidentialité, RGPD, autorités sectorielles, assureurs… il faut identifier celles qui ont des exigences pertinentes pour le système.
Périmètre du SMSI
Il définit les actifs, sites, systèmes et processus couverts par le système de management de la sécurité de l’information, avec les interfaces et dépendances vis-à-vis des tiers.
Ce que demande habituellement l’auditeur
- Document de contexte revu chaque année
- Liste des parties intéressées avec leurs exigences de sécurité
- Déclaration du périmètre du SMSI
- Inventaire des actifs informationnels avec leur propriétaire
Comment traiter le contexte dans Kimobox
- 1Documentez le contexte du SMSI comme un enregistrement du système à part entière.
- 2Enregistrez les parties intéressées et leurs exigences de sécurité dans une table versionnée.
- 3Construisez l’inventaire des actifs informationnels avec propriétaire et classification.
L’inventaire des actifs est relié aux processus qui les utilisent, et non tenu dans un tableau à part.
Comment construire la cartographie des processus dans Kimobox
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022