ISO/IEC 27001

Ce que la norme couvre

• Cadre de gouvernance, rôles et responsabilités de sécurité.
• Méthodologie d'appréciation et de traitement des risques.
• Statement of Applicability (SoA) et justification des contrôles retenus.
• Mesure de performance, audits internes et revue de direction.

Ce que la norme ne couvre pas seule

• Ne détaille pas tous les contrôles techniques dans le niveau de profondeur de 27002.
• Ne couvre pas seule les exigences spécifiques cloud (27017) ou fournisseurs (27036).
• Ne remplace pas les obligations réglementaires sectorielles (NIS2, DORA, RGPD).

Livrables attendus en audit

• Politique SMSI, périmètre et objectifs sécurité.
• Registre des risques, plan de traitement et SoA.
• Plan d'audit interne et compte rendu de revue de direction.
• Plan d'amélioration continue avec propriétaires et échéances.

Indicateurs utiles

• % de risques critiques avec plan de traitement validé.
• % de contrôles applicables effectivement implémentés.
• Taux de réalisation des audits internes prévus.
• Délai moyen de clôture des actions correctives.

Usage dans Varden Auditor

• Cadre principal des modules gouvernance, risques et sécurité technique.
• Base de la logique de scoring organisationnel et de priorisation des actions.
• Pivot de cohérence entre assessments et rapports exécutifs Varden Auditor.

Normes liées