{"id":91242,"date":"2020-08-10T13:42:09","date_gmt":"2020-08-10T11:42:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya"},"modified":"2020-08-10T13:42:09","modified_gmt":"2020-08-10T11:42:09","slug":"5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/5-stadij-neizbezhnosti-prinyatiya-iso-iec-27001-sertifikaczii-depressiya","title":{"rendered":"5 \u00e9tapes d'in\u00e9vitabilit\u00e9 de l'acceptation de la certification ISO\/IEC 27001. D\u00e9pression","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La quatri\u00e8me \u00e9tape de la r\u00e9ponse \u00e9motionnelle aux changements est la d\u00e9pression. Dans cet article, nous allons partager notre exp\u00e9rience concernant la phase la plus longue et d\u00e9sagr\u00e9able : les modifications des processus commerciaux de l'entreprise afin d'atteindre la conformit\u00e9 \u00e0 la norme ISO 27001.<\/p>\n

\"5
\n<\/p>\n

Attente<\/b><\/h2>\n

\nLa premi\u00e8re question que nous nous sommes pos\u00e9e apr\u00e8s avoir choisi l'organisme de certification et le consultant est de savoir combien de temps nous devrions r\u00e9ellement consacrer \u00e0 tous les changements n\u00e9cessaires ?<\/p>\n

Le plan de travail initial \u00e9tait \u00e9tabli de mani\u00e8re \u00e0 ce que nous devions terminer dans un d\u00e9lai de 3 mois.<\/p>\n

\"5
\n
\n<\/a><\/noindex>Tout semblait simple : il suffisait d'\u00e9crire quelques dizaines de politiques et d'ajuster l\u00e9g\u00e8rement nos processus internes ; ensuite, il fallait former nos coll\u00e8gues aux changements et attendre encore 3 mois (pour avoir des \u00ab enregistrements \u00bb, c'est-\u00e0-dire des preuves du fonctionnement des politiques). Il semblait que cela serait tout \u2013 et que le certificat serait dans notre poche.<\/p>\n

De plus, nous ne comptions pas r\u00e9diger les politiques \u00e0 partir de z\u00e9ro \u2013 nous avions un consultant qui, nous le pensions, devait nous fournir tous les \u00ab bons \u00bb mod\u00e8les.<\/p><\/blockquote>\n

\u00c0 la suite de ces raisonnements, nous avons pr\u00e9vu 3 jours pour pr\u00e9parer chaque politique. <\/p>\n

Les modifications techniques ne semblaient pas non plus effrayantes : il fallait configurer la collecte et le stockage des \u00e9v\u00e9nements, v\u00e9rifier si les sauvegardes \u00e9taient conformes \u00e0 la politique que nous avions r\u00e9dig\u00e9e, ajuster, l\u00e0 o\u00f9 c'\u00e9tait n\u00e9cessaire, les bureaux du SIRC et encore quelques petites choses.
\nL'\u00e9quipe responsable de la pr\u00e9paration de tout le n\u00e9cessaire pour la certification se composait de deux personnes. Nous avons pr\u00e9vu qu'elles s'occupent de la mise en \u0153uvre parall\u00e8lement \u00e0 leurs responsabilit\u00e9s principales, et que cela leur prenne au maximum 1,5 \u00e0 2 heures par jour.
\nEn r\u00e9sum\u00e9, on peut dire que notre vision de l'ampleur du travail \u00e0 venir \u00e9tait assez optimiste. <\/p>\n

R\u00e9alit\u00e9<\/b><\/h2>\n

\nEn r\u00e9alit\u00e9, tout \u00e9tait en fait bien diff\u00e9rent : les mod\u00e8les de politiques fournis par le consultant se sont av\u00e9r\u00e9s principalement inapplicables \u00e0 notre entreprise ; il y avait peu d'informations claires sur Internet concernant ce qui devait \u00eatre fait et comment. Comme vous pouvez l'imaginer, le plan \u00ab \u00e9crire une politique en 3 jours \u00bb s'est effondr\u00e9 avec fracas. Nous avons donc cess\u00e9 de respecter les d\u00e9lais presque d\u00e8s le d\u00e9but du projet, et le climat de travail a commenc\u00e9 \u00e0 lentement se d\u00e9t\u00e9riorer. <\/p>\n

\"5
\n
\nL'expertise de l'\u00e9quipe \u00e9tait catastrophiquement insuffisante - au point qu'il manquait m\u00eame ce qu'il fallait pour poser les bonnes questions au consultant (qui, il faut le dire, ne faisait pas preuve de beaucoup d'initiative). Les choses ont commenc\u00e9 \u00e0 avancer encore plus lentement, car trois mois apr\u00e8s le d\u00e9but de l'impl\u00e9mentation (c'est-\u00e0-dire \u00e0 un moment o\u00f9 tout aurait d\u00e9j\u00e0 d\u00fb \u00eatre pr\u00eat), un des deux participants cl\u00e9s a quitt\u00e9 l'\u00e9quipe. \u00c0 sa place, un nouveau responsable des services informatiques est arriv\u00e9, devant terminer rapidement le processus d'impl\u00e9mentation et doter le syst\u00e8me de gestion de la s\u00e9curit\u00e9 de l'information de tout le n\u00e9cessaire d'un point de vue technique. La t\u00e2che semblait difficile\u2026 Les responsables ont commenc\u00e9 \u00e0 sombrer dans la d\u00e9pression.<\/p>\n

De plus, l'aspect technique s'est \u00e9galement r\u00e9v\u00e9l\u00e9 avoir des \u00ab nuances \u00bb. Nous avons \u00e9t\u00e9 confront\u00e9s \u00e0 la t\u00e2che de modernisation globale des logiciels tant sur les postes de travail que sur l'\u00e9quipement serveur. Au cours de la configuration du syst\u00e8me de collecte des \u00e9v\u00e9nements (logs), il est apparu que nous manquions de ressources mat\u00e9rielles pour le bon fonctionnement du syst\u00e8me. De m\u00eame, le logiciel de sauvegarde n\u00e9cessitait \u00e9galement une mise \u00e0 jour.<\/p>\n

Spoiler : Au final, le SMSI a \u00e9t\u00e9 mis en \u0153uvre h\u00e9ro\u00efquement en 6 mois. Et personne n'est m\u00eame mort ! <\/p><\/blockquote>\n

<\/p>\n

Qu'est-ce qui a chang\u00e9 le plus ?<\/b><\/h2>\n

\nIl va sans dire qu'au cours de l'impl\u00e9mentation de la norme dans les processus de l'entreprise, un grand nombre de petits changements ont eu lieu. Pour vous, nous avons mis en avant les changements les plus significatifs :<\/p>\n