Clause 9 – Évaluation des performances

9.1 Surveillance, mesure, analyse et évaluation

Info

Il faut prouver que le SMSI fonctionne et s’améliore.

L’organisation doit :

• Définir des indicateurs de performance
• Surveiller l’atteinte des objectifs de sécurité
• Mesurer l’efficacité des mesures mises en œuvre

Exemples d’indicateurs :

• Nombre d’incidents détectés
• Taux de conformité des sauvegardes
• Résultats de tests d’intrusion

9.2 Audit interne

Quote

Les audits internes permettent de détecter les écarts avant qu’ils ne deviennent critiques.

L’organisation doit :

• Planifier des audits périodiques
• Définir des critères d’audit
• S’assurer de l’impartialité des auditeurs
• Documenter les constats et plans d’action

9.3 Revue de direction

Warning

Elle est obligatoire et doit être documentée.

Contenu minimal :

• Résultats d’audits
• Retour d’expérience
• Suivi des objectifs
• Événements majeurs SSI
• Opportunités d’amélioration

Fréquence : au moins annuelle