ISO/IEC 27007:2020 — Auditing information security management systems
Auditer un système de management de la sécurité de l'information n'appelle pas une autre méthode que l'ISO 19011, mais une attention particulière : ce que l'auditeur doit lire dans une déclaration d'applicabilité, comment il apprécie une appréciation des risques, ce qu'il vérifie derrière une mesure déclarée appliquée. L'ISO/CEI 27007 apporte cette couche. Ce sont des lignes directrices, d'où une auto-évaluation portant sur le pilotage du programme d'audit, la conduite des audits et la compétence des auditeurs. Elle s'adresse aux responsables de programme d'audit interne comme aux organismes de certification, et complète les grilles qui examinent le système lui-même — celle des articles 4 à 10 et celle des mesures de l'Annexe A. Ici, on ne juge pas l'organisme audité : on juge la façon dont on l'audite.
- control points
- 34
- anchored clauses
- 14
- Clauses covered
- 4
Clauses covered
| Audit principles | 1 | 4 |
| Managing an audit programme | 5 | 5.2 · 5.3 · 5.4 · 5.5 · 5.6-5.7 |
| Conducting an audit | 5 | 6.2 · 6.3 · 6.4 · 6.5 · 6.6-6.7 |
| Auditor competence and evaluation | 3 | 7.2 · 7.3-7.4 · 7.5-7.6 |
Scale
This template is used inside the platform: every finding becomes a corrective action tracked through to its evidence — something a printed grid cannot do.
Use this template14-day trial, no credit card. The template opens in your workspace.
How this grid is built
Every control point is written in our own words, then tied to the standard's clause number. The normative text is never reproduced: the standard itself remains to be purchased from the body that publishes it. Grids are reviewed at every new edition of a standard.
Published by NormePulse — HEMC, management consulting firmUpdated