Glossaire de la gouvernance, du risque et de la conformité
Les 20 termes que vous rencontrerez dans un projet ISO 27001 ou NIS2, en une définition courte.
- Analyse de risques
- Démarche qui identifie les risques pesant sur l'information, estime leur gravité et leur vraisemblance, et sert de base au choix des mesures de sécurité.
- Audit interne
- Examen méthodique, mené par l'organisation elle-même, pour vérifier sur preuves que les mesures sont en place et efficaces. Il prépare l'audit de certification sans le remplacer. Audit interne dans CompliKey
- Constat d'audit
- Résultat de la comparaison entre ce que l'auditeur observe et ce qui est exigé. Un constat est qualifié : non-conformité, point sensible, opportunité d'amélioration ou point fort.
- Déclaration d'applicabilité (DdA, SoA)
- Document qui liste les mesures de sécurité retenues et exclues, avec la justification de chaque choix. C'est le document central d'un SMSI ISO 27001. La DdA et ISO 27001
- Entité essentielle
- Au sens de NIS2, organisation d'un secteur hautement critique, en général de grande taille, soumise aux exigences les plus élevées et à une supervision a priori. NIS2
- Entité importante
- Au sens de NIS2, organisation d'un secteur critique, en général de taille moyenne ou grande, soumise à des exigences proportionnées et à une supervision a posteriori. NIS2
- Exigence
- Ce qu'un référentiel demande : une obligation à respecter. Plusieurs exigences de référentiels différents peuvent être couvertes par une même mesure.
- Maturité
- Niveau de mise en œuvre d'une mesure. Dans CompliKey, il va de Inexistant à Optimisé pour le niveau déclaré ; l'audit interne le note de 0 à 4, sur preuves.
- Mesure de sécurité
- Disposition technique, organisationnelle ou humaine qui réduit un risque : par exemple la double authentification ou la revue des accès.
- Non-conformité majeure
- Écart qui remet en cause la capacité du système de management à atteindre ses objectifs, par exemple une exigence entièrement absente. Elle bloque une certification tant qu'elle n'est pas traitée.
- Non-conformité mineure
- Écart ponctuel qui ne remet pas en cause l'efficacité d'ensemble du système, mais doit être corrigé.
- Opportunité d'amélioration
- Piste d'amélioration relevée par l'auditeur, sans écart avec l'exigence.
- Périmètre
- Ensemble évalué séparément : une entité, un site, un produit ou un client. Chaque périmètre a ses mesures, son audit et sa déclaration d'applicabilité.
- Plan de traitement des risques
- Décisions prises pour chaque risque (réduire, transférer, éviter ou accepter) et actions qui en découlent, avec responsables et échéances.
- Point sensible
- Situation conforme aujourd'hui mais fragile, qui risque de devenir une non-conformité si rien n'est fait.
- Preuve
- Élément vérifiable qui démontre qu'une mesure est en place : document, configuration, ticket, rapport. Dans CompliKey, elle est référencée par lien et datée.
- Politique de sécurité des systèmes d'information (PSSI)
- Document approuvé par la direction qui fixe les objectifs et les règles de sécurité de l'organisation.
- Référentiel
- Ensemble structuré d'exigences ou de bonnes pratiques : norme (ISO 27001), réglementation (NIS2, RGPD, DORA) ou cadre national (CyFun, ReCyF). Tous les référentiels
- Remédiation
- Action qui corrige un écart constaté ; elle a un responsable, une échéance, et se clôt par un contrôle d'efficacité.
- Système de management de la sécurité de l'information (SMSI)
- Ensemble des politiques, processus et responsabilités qui pilotent la sécurité de l'information dans la durée, selon les exigences de l'ISO 27001. ISO 27001
Ces notions, appliquées à votre cas
Une démo de 45 minutes sur votre référentiel et vos périmètres, avec le fondateur.