ISO/IEC 27002

Ce que la norme couvre

• Contrôles organisationnels (politiques, gouvernance, gestion des actifs).
• Contrôles humains (sensibilisation, responsabilités, gestion RH).
• Contrôles physiques (accès locaux, environnements, équipements).
• Contrôles techniques (identités, journalisation, chiffrement, réseaux).

Ce que la norme ne couvre pas seule

• Ce n'est pas une norme de certification autonome sans 27001.
• La norme ne fixe pas à elle seule les niveaux de risque acceptables.
• Elle doit être adaptée au contexte et aux menaces de l'organisation.

Livrables attendus en audit

• Matrice contrôle -> objectif -> propriétaire -> preuve.
• Bibliothèque de standards techniques et procédures opérationnelles.
• Plan de sensibilisation et gouvernance de contrôle.

Indicateurs utiles

• % de contrôles prioritaires déployés et testés.
• % de contrôles avec preuve fraîche et traçable.
• Nombre de déviations contrôle non traitées au-delà du délai cible.

Usage dans Varden Auditor

• Référence principale pour la profondeur des assessments techniques.
• Support à la calibration des recommandations en plans d'action.
• Cadre de vérification des preuves de conformité contrôle.

Normes liées