ISO/IEC 27036

Ce que la norme couvre

• Classification des tiers selon criticité et exposition.
• Exigences de sécurité contractuelles et droit d'audit.
• Suivi de performance sécurité des fournisseurs critiques.
• Gestion de fin de contrat, sortie et réversibilité.

Ce que la norme ne couvre pas seule

• Ne remplace pas l'ensemble des contrôles techniques internes.
• Doit être combinée avec 27017 pour les usages cloud.
• Exige une gouvernance achats/juridique/sécurité bien coordonnée.

Livrables attendus en audit

• Politique tiers sécurité et segmentation des fournisseurs.
• Clauses contractuelles type sécurité et plan de contrôle fournisseur.
• Tableau de bord de suivi des risques et incidents tiers.

Indicateurs utiles

• % de fournisseurs critiques évalués sur la sécurité.
• % de contrats critiques avec clauses sécurité et notification incident.
• Nombre de risques tiers critiques non traités.

Usage dans Varden Auditor

• Pilier du module chaîne fournisseurs et dépendances.
• Appui au scoring du risque de concentration et lock-in.
• Référence pour planifier les audits tiers et revues contractuelles.

Normes liées