ISO/IEC 27001 Foundation

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. D1 Principes et concepts fondamentaux du SMSI

   Quelle relation existe-t-il entre ISO/IEC 27001 et ISO/IEC 27002 ?

   1. ISO/IEC 27002 remplace ISO/IEC 27001 pour les organismes qui, après leur premier audit de certification, ont atteint une maturité suffisante
   2. ISO/IEC 27001 contient les exigences certifiables, tandis qu'ISO/IEC 27002 fournit des recommandations sur la mise en œuvre des mesures de sécurité
   3. ISO/IEC 27002 contient les exigences auditables, et ISO/IEC 27001 se limite à rassembler le vocabulaire commun de la famille
   4. Les deux normes contiennent des exigences certifiables, et un organisme doit déclarer sa conformité aux deux à la fois

2. D2 Système de management de la sécurité de l'information

   Un organisme fixe comme objectif de sécurité de l'information "améliorer la sécurité des systèmes", sans plus de précision, et ne désigne ni responsable ni échéance. Quelle exigence d'ISO/IEC 27001 cet organisme ne satisfait-il pas ?

   1. Aucune exigence n'est enfreinte, car la norme n'impose aucune condition sur la façon dont les objectifs de sécurité sont formulés ni sur leur suivi dans le temps
   2. Celle de la clause 5.2, car les objectifs, leurs indicateurs, leurs ressources, leurs responsables et leurs échéances doivent obligatoirement figurer, de manière détaillée, dans le texte même de la politique de sécurité de l'information
   3. Celle de la clause 9.1, car les objectifs ne peuvent être établis qu'après avoir mesuré et évalué la performance de sécurité de l'information de l'année précédente
   4. Celle de la clause 6.2, qui exige des objectifs mesurables et cohérents avec la politique, avec des ressources, un responsable et une échéance

3. D1 Principes et concepts fondamentaux du SMSI

   Comment un système de management fondé sur ISO/IEC 27001 aide-t-il un organisme à répondre à ses obligations légales ?

   1. En remplaçant la réglementation applicable par les exigences de la norme, considérées comme équivalentes aux fins de la conformité légale
   2. En transférant la responsabilité de la conformité légale, dans son intégralité, à l'organisme qui délivre le certificat, lequel répondrait alors devant les autorités, les clients et les tiers concernés
   3. En exemptant l'organisme de ses obligations sectorielles tant que le certificat reste en vigueur et sans réserve
   4. En obligeant à identifier les exigences légales et contractuelles applicables et à définir l'approche retenue pour les respecter, avec un suivi

4. D2 Système de management de la sécurité de l'information

   Le comité de direction d'une entreprise consigne dans son analyse du contexte l'évolution du secteur, les changements réglementaires et l'arrivée de nouveaux concurrents, mais omet sa propre structure organisationnelle, ses ressources et sa culture. Que faut-il penser de cette analyse ?

   1. Elle est correcte, car la clause 4.1 vise exclusivement les enjeux que l'organisme ne peut pas maîtriser, comme le marché ou la réglementation
   2. Elle est correcte, car les enjeux internes sont traités plus loin, lors de la détermination des exigences des parties intéressées
   3. Elle est incomplète, car la clause 4.1 exige de déterminer les enjeux externes mais aussi les enjeux internes
   4. Elle est incomplète, mais seulement si l'organisme a l'intention de se faire certifier par une tierce partie ; dans le cas contraire, l'analyse de l'environnement externe suffit

5. D1 Principes et concepts fondamentaux du SMSI

   Selon la définition commune aux normes de systèmes de management, qu'est-ce qu'un système de management ?

   1. Un ensemble d'éléments corrélés ou en interaction d'un organisme, utilisés pour établir des politiques et des objectifs, ainsi que des processus destinés à atteindre ces objectifs
   2. L'ensemble des applications informatiques, y compris celles de gestion documentaire, avec lesquelles un organisme administre ses enregistrements et automatise ses flux de travail, ainsi que ses circuits d'approbation
   3. L'organigramme de l'organisme, accompagné de la description des postes de travail et des lignes de rattachement hiérarchique de chaque service
   4. L'ensemble des documents approuvés par la direction, dans lequel sont consignées les instructions de travail que le personnel doit suivre

6. D2 Système de management de la sécurité de l'information

   Lors de la mise en place d'un système de management, le responsable de la sécurité établit la liste des parties intéressées en n'y incluant que les clients. Que doit-il encore prendre en compte selon ISO/IEC 27001 ?

   1. Rien, dès lors que les clients ont formalisé leurs exigences de sécurité dans les contrats signés et leurs annexes
   2. Les autres parties intéressées pertinentes, ainsi que leurs exigences applicables
   3. Les fournisseurs ayant accès aux systèmes, les autres parties intéressées étant couvertes par l'analyse des risques
   4. Les autorités compétentes et leurs exigences légales, les autres parties intéressées relevant d'une prise en compte volontaire

7. D1 Principes et concepts fondamentaux du SMSI

   Comment la norme ISO/IEC 27001:2022 est-elle structurée ?

   1. En dix clauses d'exigences, toutes auditables, suivies de trois annexes informatives contenant des exemples de mise en œuvre et des listes de vérification
   2. En quatre clauses introductives et six chapitres de mesures techniques, sans aucune exigence relative au système de management
   3. En clauses 1 à 3 de nature introductive, clauses 4 à 10 contenant les exigences du système de management, et une annexe A avec les mesures de sécurité de référence
   4. En une partie d'exigences et une partie de recommandations, toutes deux d'application obligatoire pour obtenir la certification puis conserver le certificat lors des audits de surveillance

8. D2 Système de management de la sécurité de l'information

   Lors d'un audit, on constate que la direction a approuvé la politique de sécurité de l'information mais n'a pas affecté de ressources, n'a pas communiqué sur l'importance du système et ne participe pas à la revue de direction. Quelle conclusion s'impose ?

   1. Il y a non-conformité à la clause 5.1, car le leadership et l'engagement exigent un ensemble d'actions qui vont bien au-delà de l'approbation de la politique
   2. Il n'y a pas de non-conformité, car l'approbation de la politique est la seule action que la norme exige de la direction
   3. Il y a non-conformité à la clause 7.5, car le problème est que la politique n'est pas correctement documentée et diffusée
   4. Il n'y a pas de non-conformité, dès lors qu'il existe un responsable de la sécurité de l'information doté d'une autorité expressément déléguée par écrit par la direction

9. D1 Principes et concepts fondamentaux du SMSI

   Au sein de la famille de normes ISO/IEC 27000, quelle norme rassemble les termes et définitions ainsi que la vue d'ensemble de la série ?

   1. ISO/IEC 27003, qui développe les recommandations pour la mise en place du système de management
   2. ISO/IEC 27005, qui porte sur les recommandations relatives à la gestion des risques de sécurité de l'information
   3. ISO/IEC 27000, qui offre la vue d'ensemble de la famille et le vocabulaire commun à toutes ses normes
   4. ISO/IEC 27004, qui traite de la surveillance, du mesurage, de l'analyse et de l'évaluation

10. D2 Système de management de la sécurité de l'information

    Un organisme dispose d'une politique générale de sécurité de l'information et souhaite compléter son corpus normatif interne. Quelle structure de politiques correspond à la pratique reflétée par ISO/IEC 27001 ?

    1. Une politique générale de haut niveau, appuyée par des politiques spécifiques de haut niveau et par des politiques thématiques développant des sujets concrets
    2. Une politique unique, car multiplier les documents normatifs nuit à leur compréhension, à leur diffusion et à leur maîtrise effective par l'ensemble du personnel
    3. Une politique pour chaque mesure de l'annexe A que l'organisme a déclarée applicable, telle qu'elle figure dans sa déclaration d'applicabilité
    4. Une politique par service, rédigée et approuvée de façon autonome par le responsable de chaque domaine

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.