Quels documents l’ISO 27001 exige-t-elle ?

• Périmètre du SMSI (clause 4.3).
• Politique de sécurité de l’information (clause 5.2).
• Processus d’appréciation des risques (clause 6.1.2).
• Processus de traitement des risques (clause 6.1.3).
• Déclaration d’applicabilité (clause 6.1.3 d).
• Objectifs de sécurité de l’information (clause 6.2).
• Documents nécessaires à la maîtrise des opérations (clause 8.1), dans la mesure nécessaire pour avoir confiance dans le déroulement prévu des processus.

• Preuves de compétence (clause 7.2).
• Résultats des appréciations des risques (clause 8.2).
• Résultats du traitement des risques (clause 8.3), avec le plan de traitement de la clause 6.1.3 e.
• Résultats de surveillance et de mesure (clause 9.1).
• Programme et résultats d’audit (clause 9.2).
• Résultats des revues de direction (clause 9.3).
• Non-conformités, actions menées et résultats des actions correctives (clause 10.2).

Les mesures de l’annexe A que vous déclarez applicables dans la déclaration d’applicabilité demandent souvent leurs propres documents, par exemple les politiques thématiques (5.1), l’inventaire des actifs (5.9), les règles d’utilisation correcte (5.10), la procédure de réponse aux incidents (5.26), les exigences légales et contractuelles (5.31) et les procédures d’exploitation documentées (5.37). La clause 7.5 impose aussi de maîtriser toute l’information documentée : version, approbation, disponibilité et conservation.

Dans Acuna GRC, politiques et procédures vivent dans Documents, avec un circuit d’approbation, des révisions numérotées et une date de revue annuelle. Les exigences marquées Non applicable portent une justification, les risques portent leurs plans de traitement et les objectifs ont leur propre registre. Les enregistrements prouvent que mesures de contrôle et tâches ont été exécutées, les audits sont planifiés en programmes, et les constats mènent à des actions correctives avec leur cause racine. Voir l’espace Operate et l’espace Assure.