ISO/CEI 27006

Données clés
Status	Publiée
Version	4 (2024)
Organisation	Organisation internationale de normalisation
Comité	ISO/IEC JTC 1/SC 27
Série	Famille ISO/CEI 27000
Domaine	Management de la sécurité de l'information
Site internet	https://www.iso.org/fr/standard/82908.html

L'ISO/CEI 27006 est une norme internationale concernant la sécurité de l'information. Elle a été publiée conjointement en 2007, puis révisée en 2011, 2015 et 2024, par l'organisation internationale de normalisation (ISO) et la Commission Électrotechnique Internationale (CEI). Son titre en français est Sécurité de l'information, cybersécurité et protection de la vie privée — Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management de la sécurité de l'information^[1]. Elle fait partie de la série ISO/CEI 27000 et fait l'objet d'une certification.

Description

L'ISO/CEI 27006 fournit les exigences et les recommandations que doivent respecter les organismes de certification lorsqu'ils réalisent des audits de systèmes de management de la sécurité de l'information (SMSI) avec le but de vérifier la conformité à l'ISO/CEI 27001. Un organisme doit respecter ces exigences s'il souhaite obtenir l'accréditation lui permettant de délivrer des certificats ISO/CEI 27001. L'ISO/CEI 27006 permet de s'assurer de la compétences des auditeurs^[2].

Structure de la norme

En plus des sections introductives et informatives, il y a 7 chapitres principaux dans le document de l'ISO/CEI 27006^[3]:

Principes
Exigences générales
1. Domaine juridique et contractuel
2. Gestion de l'impartialité
3. Responsabilité et situation financière
Exigences structurelles
Exigences relatives aux ressources
1. Compétence du personnel
2. Personnel intervenant dans les activités de certification
3. Intervention d'auditeurs et d'experts techniques externes individuels
4. Enregistrements relatifs au personnel
5. Externalisation
Exigences relatives aux informations
1. Informations publiques
2. Documents de certification
3. Référence à la certification et utilisation des marques
4. Confidentialité
5. Échange d'informations entre l'organisme de certification et ses clients
Exigences relatives aux processus
1. Activités préalables à la certification
2. Planification des audits
3. Certification initiale
4. Réalisation des audits
5. Décision de certification
6. Maintien de la certification
7. Appels
8. Plaintes
9. Enregistrements relatifs au client
Exigences relatives au système de management des organismes de certification
1. Options
2. Option A: Exigences générales relatives au système de management
3. Option B: Exigences relatives au système de management conformément à l'ISO

Il y a ensuite 5 annexes :

Annexe A : Connaissances et savoir-faire requis pour l'audit et la certification d'un SMSI
Annexe B : Autres considérations relatives aux compétences
Annexe C : Temps d'audit
Annexe D : Méthodes de calcul du temps d'audit
Annexe E : Recommandations pour la revue des mesures mises en œuvre de l'Annexe A de l'ISO/CEI 27001/2022

Références

↑ « ISO/IEC 27006-1:2024 », sur ISO (consulté le 26 février 2025)
↑ « ISO/IEC 27006, ISMS certification guide »
↑ « Sommaire et parties informatives de l'ISO/CEI 27006 »

Lien externe

ISO/CEI 27006:2015

[1] « ISO/IEC 27006-1:2024 », sur ISO (consulté le 26 février 2025)

[2] « ISO/IEC 27006, ISMS certification guide »

[3] « Sommaire et parties informatives de l'ISO/CEI 27006 »

[1]