ISO/IEC 27701 Management des informations relatives à la vie privée
L'extension vie privée de votre SMSI : obligations du responsable de traitement et du sous-traitant, correspondance avec le RGPD et la DPDP Act.
Auditeur Principal ISO/IEC 27001
Cinq jours pour passer de la lecture de la norme à la conduite de l'audit : définir le domaine d'application, échantillonner les preuves, rédiger des non-conformités qui tiennent, et animer une réunion de clôture où personne n'est d'accord avec vous.
Présentation du programme
ISO/IEC 27001 est la norme internationale relative au système de management de la sécurité de l'information. En auditer un est un métier à part entière : la norme dit ce qui doit exister, pas comment vérifier que cela existe réellement. Ce programme enseigne la seconde partie.
En cinq jours, vous parcourez un cycle d'audit complet au regard d'ISO/IEC 27001:2022 et de son Annexe A, en vous appuyant sur les lignes directrices d'ISO 19011 et sur les exigences de certification d'ISO/IEC 17021-1. Vous planifierez un audit à partir d'un domaine d'application réel, construirez une liste de vérification qui ne ressemble pas à un questionnaire, mènerez un entretien avec un audité difficile, échantillonnerez des preuves, classerez vos constats et les défendrez.
Pourquoi suivre cette formation
La plupart des participants arrivent capables de citer l'article 6.1.2 et incapables de dire si l'appréciation du risque posée devant eux est authentique ou reconstituée la semaine précédant l'audit. C'est cet écart qui fait passer les audits sans accroc, et qui laisse une organisation se faire compromettre malgré un certificat valide.
- Animée par des praticiens ayant une expérience réelle de l'audit et de la mise en œuvre
- Environ la moitié du temps en atelier : documents, entretiens, constats, rapports
- Petits groupes, pour que chacun rédige des constats et se les fasse corriger
- Fondée sur l'édition 2022 : 93 mesures de l'Annexe A, quatre thèmes, le tableau des attributs
Objectifs pédagogiques
À l'issue du programme, vous serez en mesure de :
- Expliquer l'intention de chaque article, du 4 au 10, et les preuves qui y répondent
- Juger si le domaine d'application, la DdA et le plan de traitement du risque sont cohérents entre eux
- Planifier un audit d'étape 1 et d'étape 2, constituer une équipe d'audit et définir un échantillon défendable
- Mener des entretiens qui produisent des preuves plutôt que des approbations
- Rédiger une non-conformité en distinguant clairement l'exigence, la preuve et l'énoncé de la non-conformité
- Distinguer majeure et mineure de façon cohérente, et justifier votre décision
- Évaluer l'analyse des causes et les actions correctives, et décider quand solder un constat
Public concerné
- Auditeurs internes évoluant vers un rôle d'auditeur principal
- Responsables sécurité de l'information et GRC
- Consultants qui accompagnent la mise en œuvre d'un SMSI
- Responsables IT et ingénierie garants des mesures de sécurité
- Toute personne se préparant à rejoindre l'équipe d'audit d'un organisme de certification
Prérequis
Aucune condition d'accès formelle, mais le rythme suppose que vous arriviez avec :
- Une compréhension opérationnelle des notions de sécurité de l'information
- Une familiarité avec la structure des normes ISO de systèmes de management
- Idéalement, une première exposition à ISO/IEC 27001 au niveau fondation ou implémenteur
En cas de doute, indiquez-nous votre parcours dans le formulaire de contact et nous vous donnerons une réponse franche.
Déroulé de la formation
Jour 1 : la norme, pour de bon
Anatomie d'un système de management, articles 4 à 10, thèmes et attributs de l'Annexe A, et la manière dont la Déclaration d'applicabilité est censée être établie.
Jour 2 : risque, mesures de sécurité et preuves
Appréciation et traitement du risque en pratique ; ce que recouvrent les « informations documentées » ; lire une DdA au regard d'un plan de traitement du risque et en repérer les coutures.
Jour 3 : planifier l'audit
Principes d'ISO 19011, programme d'audit et plan d'audit, étapes 1 et 2, rôles dans l'équipe, échantillonnage, conception de la liste de vérification. Premier atelier complet.
Jour 4 : réaliser l'audit
Réunion d'ouverture, technique d'entretien, pistes de preuve, discipline de prise de notes, rédaction et classement des non-conformités, gestion des objections. Mises en situation tout au long de la journée.
Jour 5 : restitution, clôture et évaluation
Réunion de clôture, rapport d'audit, revue des actions correctives, suivi et décisions de clôture. Évaluation écrite et retour individuel.
Prochaines sessions
| Dates | Modalité | Horaires | Statut |
|---|---|---|---|
| À annoncer | En ligne, en direct | Heure de l'Inde, en semaine | Inscriptions ouvertes |
| À annoncer | En ligne, en direct | Heure de l'Inde, le week-end | Liste d'attente |
| À annoncer | Pune, en présentiel | Heure de l'Inde, en semaine | Liste d'attente |
Les dates sont confirmées dès qu'une session atteint son effectif minimal. Inscrivez-vous sur la liste d'attente et vous serez prévenu en premier.
Informations sur la certification
Les participants qui terminent le programme et réussissent l'évaluation écrite reçoivent une attestation de réussite ZULTIV précisant la norme, le programme couvert et le nombre d'heures. Ceux qui assistent sans passer l'évaluation reçoivent une attestation de présence.
Merci de lire ceci attentivement : ZULTIV est un organisme de formation et d'audit. Nous ne sommes pas un organisme de certification accrédité, nous ne délivrons pas de certificats ISO aux organisations et nous n'attribuons pas de titres personnels pour le compte d'un propriétaire de schéma. Si vous avez besoin d'un titre d'auditeur principal délivré par un tiers, indiquez-le dans le formulaire et nous vous expliquerons quels organismes d'examen le délivrent et à quoi ressemble le parcours, y compris lorsque la réponse honnête est que vous n'en avez pas besoin.
Votre formateur
Animée par un auditeur principal en exercice
Chaque programme Auditeur Principal ZULTIV est animé par une personne qui audite pour vivre, et non par un formateur à plein temps qui déroule un jeu de diapositives. Les exemples sont donc actuels, les anecdotes de première main, et la réponse à « qu'est-ce que vous feriez concrètement ici ? » est une vraie réponse.
Le profil complet et les qualifications du formateur sont communiqués aux participants confirmés avant la session, et disponibles sur demande.
Questions fréquentes
Les deux premiers jours posent la norme et le cadre d'audit ; les jours trois à cinq sont majoritairement des ateliers. Vous planifierez personnellement un audit, conduirez des séquences d'entretien, rédigerez des constats et animerez une réunion de clôture.
C'est une vraie évaluation, pas une formalité : elle est fondée sur des scénarios et vous demande de rédiger et de classer des constats plutôt que de restituer des numéros d'articles. Les participants qui prennent part aux ateliers tout au long de la semaine la réussissent en général sans difficulté.
ISO/IEC 27001 est protégée par le droit d'auteur et doit être achetée auprès de l'ISO ou d'un organisme national de normalisation : nous ne pouvons pas la distribuer. Nous recommandons d'avoir votre propre exemplaire, et nous vous indiquons précisément quelle édition et quels documents complémentaires valent l'investissement.
Prévenez-nous le plus tôt possible. Selon la journée concernée, nous organiserons une séance de rattrapage avant le module suivant ou nous vous transférerons sur la session suivante sans frais supplémentaires. Les journées d'atelier sont difficiles à rattraper isolément.
Oui, et c'est généralement la meilleure option au-delà de huit personnes environ, car nous pouvons reconstruire les ateliers autour de votre propre domaine d'application, de votre DdA et de vos mesures de sécurité. Voir Formation intra-entreprise.
Se renseigner
Poser une question sur ce programme
Dites-nous d'où vous partez. Nous reviendrons vers vous avec les dates, les tarifs et une réponse franche sur la pertinence de cette formation pour vous.
À voir aussi
Les programmes suivis en complément de celui-ci
Auditeur Principal ISO/IEC 42001
Auditer un système de management de l'IA, la norme sur laquelle les conseils d'administration ont commencé à poser des questions en 2024.
Audit interne ISO/IEC 27001
Vous préférez que nous menions l'audit plutôt que de vous l'apprendre ? C'est notre volet assurance.