Modèles et enregistrements · ISO 27001 · Chapitre A.5.24 a A.5.28
Modèle de registre des incidents de sécurité ISO 27001
La chronologie de chaque événement de sécurité, depuis son signalement jusqu’à sa clôture et aux enseignements tirés, avec les preuves préservées.
En une phrase
Le registre des incidents de sécurité documente chaque événement signalé, la décision de le qualifier ou non d’incident, la réponse apportée, les preuves conservées et les enseignements tirés ; l’ISO/IEC 27001 ne le désigne pas comme enregistrement obligatoire, mais c’est la preuve qui permet de démontrer les mesures 5.24 à 5.28 et 6.8 de l’Annexe A.
- Où la norme l’exige
- ISO 27001 · Chapitre A.5.24 a A.5.28 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Bonne pratique Preuve des mesures 5.24 à 5.28 et 6.8 de l’Annexe A
- Qui le renseigne
- Chacun signale ; la sécurité gère Le responsable de la sécurité décide si l’événement est un incident et coordonne la réponse
- Quand
- Dès le signalement de l’événement La chronologie se complète pendant la réponse ; les enseignements, à la clôture
- Durée de conservation
- Fixée par l’organisme L’ISO/IEC 27001 ne fixe aucune durée : elle demande de décider de la conservation et de l’élimination des informations documentées (7.5.3). Couvrir le cycle de certification de trois ans permet de présenter l’historique au renouvellement.
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
L’Annexe A consacre cinq mesures au cycle de l’incident : préparer la gestion (5.24), évaluer les événements et décider s’il s’agit d’incidents (5.25), y répondre selon des procédures (5.26), tirer les enseignements (5.27), collecter et préserver les preuves (5.28). La mesure 6.8 demande un canal permettant au personnel de signaler les événements.
Aucune ne parle de « registre », mais aucune ne peut être démontrée sans lui. L’auditeur demande à voir des incidents concrets, avec leur chronologie, et à vérifier que les enseignements ont nourri l’appréciation des risques.
Lorsque l’incident touche des données personnelles, le même registre doit permettre de respecter le délai légal de notification à l’autorité de contrôle.
Structure
Les champs que doit comporter le modèle
- Numéro, date et heure du signalement, et auteur du signalement
- Description de l’événement et systèmes touchés
- Évaluation : est-ce un incident ? Classification et gravité
- Des données personnelles sont-elles touchées ? Décision sur la notification
- Chronologie de la réponse : confinement, éradication, rétablissement
- Preuves collectées et lieu de conservation
- Cause et enseignements tirés
- Actions qui en découlent et mise à jour de l’appréciation des risques
- Date de clôture
Exemple
Exemple : identifiants volés par hameçonnage
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Numéro et date | INC-2026-012 · 14 avril 2026, 09:40 |
| Signalé par | Une technicienne du support, après avoir saisi son mot de passe sur un faux site |
| Évaluation | Incident · gravité moyenne · aucun accès aux données clients d’après les journaux |
| Données personnelles | Non touchées · pas de notification · décision motivée dans le registre |
| Réponse | 09:55 blocage du compte · 10:20 revue des accès des dernières 48 h · 11:00 compte rétabli avec un nouveau second facteur |
| Preuves | Journaux du fournisseur d’identité exportés et conservés dans le dossier |
| Enseignement | Le second facteur par SMS n’a pas arrêté la tentative : il est remplacé par une clé physique pour le personnel du support |
| Risques | Le risque R-03 d’accès non autorisé est réévalué |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Seuls les incidents graves sont enregistrés : les événements écartés ne laissent aucune trace.
- Il n’est pas indiqué pourquoi un incident impliquant des données personnelles n’a pas été notifié.
- Les enseignements tirés ne changent rien à l’appréciation des risques.
- Les preuves sont conservées sur l’ordinateur portable de la personne qui a enquêté.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Chaque incident de sécurité est enregistré avec sa classification, sa chronologie et sa clôture avec preuve.
- 2S’il exige une action corrective, il est ouvert comme non-conformité avec cause racine obligatoire.
- 3La revue de direction arrive avec les incidents déjà préchargés.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Quelle différence entre événement et incident ?
Un événement est tout fait susceptible d’affecter la sécurité ; un incident est l’événement qui, après évaluation, compromet ou peut compromettre l’information ou le service qui en dépend. Les deux s’enregistrent : l’événement écarté prouve que la mesure 5.25 fonctionne.
Est-ce la même chose qu’une non-conformité ?
Non. L’incident est un fait de sécurité ; la non-conformité, le non-respect d’une exigence. Un incident peut révéler une non-conformité — une procédure non suivie — et l’on ouvre alors aussi son action corrective.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Modèle de rapport de non-conformité ISO 9001
Ce que doit contenir un rapport de non-conformité selon l’ISO 9001 (10.2) : description, correction, cause…
Fonctionnement
Le fonctionnement traduit l’appréciation des risques en mesures réelles : accès, chiffrement, sauvegardes et…
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle d’appréciation des risques de sécurité ISO 27001
Comment documenter l’appréciation des risques de sécurité exigée par l’ISO 27001 : critères d’acceptation…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022
- Règlement (UE) 2016/679, règlement général sur la protection des données EUR-Lex · 27 avril 2016