La revue de direction est l’une des rares exigences d’ISO 27001 qui ne peut pas être déléguée. Elle est aussi celle qui se transforme le plus vite en formalité : une réunion annuelle, une présentation d’indicateurs, un compte rendu classé. La norme est pourtant précise sur ce qu’elle doit contenir, ...
Les qualifications délivrées par l’ANSSI reviennent régulièrement dans les cahiers des charges, souvent sans que l’acheteur sache exactement ce qu’elles garantissent — ni si elles sont réellement nécessaires à son besoin. Voici ce que recouvrent les principales, et comment décider. Ce que la qualification couvre — et ce qu’elle ne ...
La durée de conservation est le champ le plus souvent vide des registres de traitement, et l’un des manquements les plus fréquemment relevés en contrôle. La raison est simple : écrire une durée est facile, la faire appliquer ne l’est pas. Une politique qui annonce trois ans alors qu’aucune purge ...
La question du transfert hors Union européenne se pose beaucoup plus souvent qu’on ne le croit, et elle est rarement instruite correctement. Elle ne concerne pas seulement l’hébergement. Un support technique assuré depuis un pays tiers, une équipe d’administration délocalisée, une sauvegarde répliquée ailleurs, un assistant conversationnel dont le traitement ...
Deux politiques d’IA circulent dans les entreprises. La première tient en une phrase : « l’usage des outils d’IA générative est interdit ». La seconde fait quarante pages de principes éthiques sans une seule règle applicable. Les deux produisent le même résultat : les usages continuent, hors de tout contrôle. ...
L’analyse d’impact relative à la protection des données est l’une des obligations du RGPD les plus mal calibrées en pratique. Certaines organisations en produisent pour tout, y compris des traitements banals, et se noient dans un formalisme sans valeur. D’autres n’en produisent aucune, y compris sur des traitements qui l’exigeaient ...
La revue des habilitations est exigée par à peu près tous les référentiels : ISO 27001, les contrôles sectoriels, les questionnaires d’assurance, les audits de certification. Elle est donc réalisée à peu près partout. Et elle ne retire à peu près rien. Le schéma est constant : un fichier de ...
L’audit interne est exigé par la clause 9.2 d’ISO/IEC 27001:2022. C’est aussi l’exigence la plus souvent traitée comme une formalité — un document produit la veille de l’audit de certification, sans qu’aucun audit n’ait réellement eu lieu. Or c’est le seul mécanisme qui vous dit, avant l’organisme de certification, où ...
La mesure 5.27 d’ISO/IEC 27002:2022 — tirer des enseignements des incidents — est l’une des plus faciles à déclarer et des plus rarement appliquées sérieusement. Un incident traité sans analyse se reproduira, souvent à l’identique. Où s’arrête l’analyse détermine ce que le rapport peut changerTechniqueLe correctif absent, le droit excessif, ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.