Audit de contrôle ISO 27001:2023 de classe 2 achevé avec succès
Le 6 mai, notre audit de contrôle ISO 27001:2023 de classe 2 s'est achevé. Aucune non-conformité en suspens, la certification reste en vigueur.
Ce que c'est, et pourquoi cela compte pour vous en tant que client.
En quoi consiste un audit de contrôle
Une certification ISO 27001 n'est pas un moment unique. Après la certification initiale suit chaque année un audit de contrôle (également appelé audit de surveillance) au cours duquel un auditeur externe vérifie que le système de management de la sécurité de l'information fonctionne toujours comme il se doit. Tous les trois ans suit une recertification complète. Un audit de contrôle n'est donc pas une formalité, mais la confirmation externe annuelle que la norme est respectée dans la pratique, pas seulement sur le papier.
Ce que recouvre ISO 27001:2023
ISO 27001 est la norme internationale de management de la sécurité de l'information. Elle n'évalue pas une mesure isolée, mais l'ensemble du système par lequel une organisation organise sa sécurité de l'information. Politiques, analyses de risques, contrôles techniques, processus autour des incidents, des fournisseurs, des accès, de la gestion des changements, et la manière dont tout cela est piloté et ajusté.
La version 2023 est l'édition actuelle et remplace la norme 2013 que l'on voit encore souvent sur les sites des fournisseurs. L'annexe A a été réorganisée et onze nouveaux contrôles ont été ajoutés. Les plus importants : la threat intelligence, la sécurité de l'information dans les environnements cloud, le data masking, le secure coding, la gestion de configuration et le monitoring des activités. Autant de domaines qui touchent directement au fonctionnement d'une plateforme SaaS pour les dommages corporels.
Ce que cela apporte concrètement à nos clients
Les assureurs et les mandataires doivent, au titre de DORA et du RGPD, pouvoir démontrer que leurs partenaires de chaîne ont leur sécurité de l'information en ordre. Jusqu'ici, cela se faisait avec des questionnaires, des trajets de due diligence et des justifications séparées par sujet. Avec ce certificat, et la confirmation externe annuelle que le fonctionnement reste conforme, ils disposent d'un seul document contrôlé en externe qui couvre l'essentiel de ces questions.
Pour leur équipe conformité, cela fait gagner du temps dans les vendor assessments. Pour leur DPO, cela fournit une justification pour les TOM dans l'accord de sous-traitance. Pour leur audit interne et le reporting DORA vers l'autorité de surveillance, c'est une brique qu'ils n'ont pas à produire eux-mêmes. Et pour les conversations que nous menons ensemble, cela signifie que nous n'avons plus à parler de checklists, mais de leurs processus et de leurs clients.
Comment cela s'articule avec notre manière de construire
Dans notre rétrospective de KubeCon, nous écrivions que beaucoup de systèmes sont 'built to fail' parce que la sécurité de l'information n'y est intégrée qu'à la fin. Un certificat qui n'existe que sur le papier ne résout pas ce problème. La valeur d'ISO 27001 réside dans la discipline que la norme impose dans la pratique quotidienne : dans les revues de code, dans la réponse aux incidents, dans notre gestion des droits d'accès, dans des choix parfois inconfortables vis-à-vis des clients et des partenaires.
Un audit de contrôle est précisément le mécanisme qui maintient cette honnêteté. Une fois par an, quelqu'un de l'extérieur vient vérifier que nous faisons ce que nous disons.
La suite
Le paysage des menaces évolue en permanence et la norme évolue avec lui. Notre feuille de route pour la période à venir comprend le développement de la threat detection, l'extension de l'écosystème de portails pour de nouveaux assureurs et la poursuite du développement de la couche d'intégration entre Axon, QIS et Azori. L'an prochain, le prochain audit de contrôle est au programme, l'année suivante la recertification.
Des questions sur le périmètre ou le numéro de certificat ? Contactez-nous.