ISO/IEC 27001 Lead Implementer

Dix questions d'exemple de l'examen

Une par domaine de compétence, telles qu'elles apparaissent dans le simulateur.

1. D1 Principes et concepts fondamentaux du SMSI

   L'équipe SMSI d'un courtier en assurances utilise déjà l'ISO/IEC 27000 comme référence pour les termes employés dans l'ISO/IEC 27001, comme le prévoit l'article 3 de l'ISO/IEC 27001. L'équipe a maintenant besoin de lignes directrices détaillées, allant au-delà des exigences de l'article 6.1.2, pour fixer les critères de risque, identifier les propriétaires des risques, et analyser et évaluer les risques. Quel document doit-elle consulter ?

   1. L'ISO/IEC 27000, la référence pour les termes critères de risque, propriétaire du risque et évaluation du risque de l'article 6.1.2
   2. L'ISO/IEC 27003, qui donne des lignes directrices détaillées au-delà de l'article 6.1.2 sur les critères de risque, les propriétaires des risques et l'évaluation du risque
   3. L'ISO/IEC 27005, qui donne des lignes directrices sur la gestion des risques de sécurité de l'information
   4. L'ISO/IEC 27002, qui fournit l'ensemble de référence des mesures de sécurité et des recommandations pour mettre en œuvre chacune d'elles

2. D3 Planification de la mise en œuvre d'un SMSI

   Lors d'un atelier sur les risques de son processus de paie, l'équipe d'un distributeur a listé des sources de risque, des événements potentiels, leurs causes et leurs conséquences possibles. Aucune valeur de vraisemblance ni de conséquence n'a encore été attribuée, et les critères de risque ont été approuvés le mois dernier. L'animateur prépare maintenant la prochaine séance de l'équipe. Que doit faire l'équipe lors de cette séance ?

   1. Attribuer des valeurs de vraisemblance et de conséquence à chaque risque listé, afin de fixer un niveau pour chacun d'eux
   2. Comparer chaque risque listé aux critères approuvés, et classer ceux qui dépassent le seuil d'acceptation
   3. Choisir des options de traitement pour les risques de paie dont les conséquences listées semblent les plus graves à l'équipe
   4. Revoir les critères approuvés au regard des risques listés, et les réviser là où les conséquences semblent plus fortes que prévu

3. D4 Mise en œuvre d'un SMSI

   Dans une société de livraison de colis, chaque demande d'accès à la base de données clients est enregistrée dans l'outil de tickets avec l'approbateur, la date et le motif. Pourtant, une revue montre que la moitié des demandeurs ont envoyé leur demande par courriel au mauvais responsable, car la procédure de demande d'accès a été rédigée mais jamais publiée : elle se trouve dans le dossier personnel du responsable de la sécurité. Quelle finalité des informations documentées l'entreprise n'a-t-elle pas atteinte ?

   1. Maintenir la stabilité du SMSI lors des changements de personnes à des postes clés, en consignant les décisions prises et leurs résultats
   2. Définir l'orientation fixée par la direction, en énonçant ses intentions concernant l'accès aux informations des clients
   3. Communiquer le comportement attendu, en faisant connaître aux personnes concernées les règles qu'elles doivent suivre
   4. Maîtriser les documents d'origine externe, en tenant à jour les recommandations du fournisseur pour la base de données clients

4. D5 Surveillance et mesurage du SMSI

   L'audit interne du SMSI d'un cabinet de recrutement a relevé quatre non-conformités dans le traitement des dossiers de candidats. Le rapport a déjà été présenté à la responsable des services aux candidats. Elle est propriétaire du processus, reçoit ses résultats d'audit, a accepté les quatre constatations et dispose du budget et du personnel pour y donner suite. Pour gagner du temps, elle demande à l'auditrice interne principale, qui connaît bien le processus, d'effectuer les corrections avant le prochain audit du même processus. Que doit faire la responsable des services aux candidats à la place ?

   1. Laisser l'auditrice interne principale les corriger, puisqu'elle connaît le processus et que son prochain audit pourra confirmer les corrections
   2. Les transmettre à l'organisme de certification, qui décide des actions et en assure le suivi lors du prochain audit de surveillance
   3. Les signaler à la direction concernée, qui décide des actions, affecte les ressources et fixe les échéances
   4. Les confier à sa propre équipe de processus, qui les corrige et en analyse les causes

5. D6 Amélioration continue du SMSI

   Une société de services de paie conduit une analyse 8D après qu'un script de rétention défectueux a supprimé trois semaines d'enregistrements du journal d'audit. L'équipe a été constituée, le problème a été décrit en termes mesurables, et le script a été désactivé dès le premier jour, sans suppression depuis. Des essais ont confirmé que le script avait été modifié sans relecture par un pair. Le rapport quotidien de volume des journaux montrait la baisse dès la première nuit, mais personne ne sait encore expliquer pourquoi les suppressions sont passées inaperçues pendant trois semaines. Le chef d'équipe veut passer à la suite. Que doit faire l'équipe ensuite ?

   1. Rester en D4 : mener d'autres essais pour confirmer que la modification non relue du script a causé les suppressions
   2. Rester en D4 : analyser pourquoi le rapport quotidien n'a amené personne à remarquer les suppressions
   3. Passer en D5 : choisir l'action corrective définitive pour la modification du script confirmée par les essais
   4. Revenir en D3 : vérifier que le confinement provisoire tient toujours pendant l'analyse des causes restantes

6. D2 Exigences relatives au SMSI

   Étude de cas 2 - Mirecourt Dental Group (5 questions) Mirecourt Dental Group exploite 14 cabinets dentaires dans l'est de la France, avec environ 320 salariés et un siège central à Nancy qui héberge le système partagé de dossiers patients et d'imagerie. La directrice générale, la Dr Claire Vasseur, a approuvé un projet ISO/IEC 27001, et le chef de projet, Julien Roche, réalise l'analyse d'écart avec une consultante, Sophie Marchal. La semaine dernière, Julien a mené un unique entretien collectif avec les 14 responsables de cabinet ; la directrice régionale des opérations y a assisté, a répondu elle-même à la plupart des questions, et chaque responsable s'est ensuite rangé à son avis. Les premières constatations de Sophie sont les suivantes. Les postes d'imagerie des salles de soins se trouvent sur le même réseau à plat que les PC de l'accueil utilisés pour naviguer sur internet. Vingt anciens postes d'imagerie seront donnés à une école dentaire en juin. Le nouveau portail de réservation en ligne conserve un acompte par carte pour chaque rendez-vous, et le contrat du prestataire de paiement exige que les données de carte stockées soient illisibles sans les clés et que les clés soient protégées tout au long de leur cycle de vie. La politique du personnel interdit le télétravail, et le système de dossiers patients est présenté comme accessible uniquement depuis l'intérieur des cabinets. Julien doit présenter le rapport d'analyse d'écart à la Dr Vasseur dans six semaines. Question 2 sur 5 : Quelle catégorie de services de sécurité répondrait le plus directement à la constatation de Sophie sur les postes d'imagerie et les PC de l'accueil ?

   1. Les services d'intégrité, qui vérifient que les fichiers d'imagerie ne sont pas corrompus et les corrigent si besoin
   2. Les services de maîtrise des frontières, qui isolent la zone d'imagerie de la zone d'accueil par des points d'entrée maîtrisés
   3. Les services d'audit et de surveillance, qui collectent et analysent les événements journalisés par les PC de l'accueil et les postes
   4. Les services de contrôle d'accès, qui attribuent à chaque utilisateur une identité unique et une authentification commune au groupe

7. D7 Préparation de l'audit de certification du SMSI

   L'audit d'étape 1 de la certification d'un producteur alimentaire s'est clôturé la semaine dernière, et les deux points de préoccupation qu'il a soulevés sur le plan de traitement du risque ont été résolus. L'audit d'étape 2 commence dans trois semaines. Le PDG demande au responsable de la mise en œuvre sur quoi l'équipe SMSI doit concentrer ses efforts d'ici là. Que doit conseiller le responsable de la mise en œuvre ?

   1. Réviser le plan de traitement du risque pour y consigner comment les deux points de préoccupation ont été résolus, et faire approuver la nouvelle version par la direction
   2. Tenir de nouveau la revue de direction au cours des trois semaines qui restent, puisque l'étape 2 exige une revue de direction tenue après l'étape 1
   3. Demander à l'organisme de certification de reporter l'étape 2 jusqu'à ce que le SMSI ait une année complète de fonctionnement
   4. Rendre consultables les enregistrements du fonctionnement du SMSI, dont les résultats de l'audit interne et de la revue de direction

8. D1 Principes et concepts fondamentaux du SMSI

   Un assureur santé chiffre ses dossiers de remboursements médicaux avant de les copier vers un nuage privé. Pour faciliter les restaurations, la clé de déchiffrement est conservée dans un fichier texte à l'intérieur du même dossier dans le nuage que les fichiers chiffrés. Quelle propriété de sécurité le chiffrement favorise-t-il principalement, et quelle propriété la façon de conserver la clé de déchiffrement met-elle principalement en danger ?

   1. Le chiffrement favorise la confidentialité, et la façon de conserver la clé de déchiffrement met en danger la disponibilité
   2. Le chiffrement favorise l'intégrité, et la façon de conserver la clé de déchiffrement met en danger la confidentialité
   3. Le chiffrement favorise la disponibilité, et la façon de conserver la clé de déchiffrement met en danger l'intégrité
   4. Le chiffrement favorise la confidentialité, et la façon de conserver la clé de déchiffrement met en danger la confidentialité

9. D3 Planification de la mise en œuvre d'un SMSI

   Étude de cas 1 - Halvorsen Freight (5 questions) Halvorsen Freight est un opérateur logistique de 900 salariés répartis sur trois dépôts, à Bergen, Oslo et Trondheim, avec un petit siège à Oslo. L'entreprise est certifiée ISO 9001 et ISO 14001, chaque système étant piloté par son propre coordinateur, avec un jeu documentaire distinct et un calendrier d'audits internes distinct. En mars, la PDG, Ingrid Halvorsen, a demandé au responsable informatique, Tomas Berg, de préparer un projet ISO/IEC 27001 après que deux grands clients de la distribution ont fait de la certification une condition du renouvellement de leurs contrats dans dix-huit mois. Tomas prévoit de commencer par une analyse d'écart qui compare les pratiques actuelles aux 93 mesures de l'Annexe A uniquement. Un consultant externe, Rune Solberg, a déclaré au comité de pilotage que chaque recommandation de l'ISO/IEC 27002 devra être appliquée à la lettre. Tomas a rédigé une liste de ressources couvrant les personnes, les systèmes TIC, les installations, les informations, le transport et le budget. Il n'y a pas fait figurer les transporteurs sous-traitants, qui acheminent environ 40 % du fret et se connectent à la plateforme de suivi de Halvorsen. La directrice financière, Mette Dahl, refuse de débloquer le moindre budget tant qu'elle n'aura pas reçu une étude d'opportunité pour le projet. Question 1 sur 5 : Mette Dahl demande ce que l'étude d'opportunité doit contenir avant qu'elle ne débloque un budget. Quel contenu Tomas doit-il privilégier ?

   1. L'étendue du projet, les jalons sur les dix-huit mois, et les rôles des membres de l'équipe projet
   2. Les bénéfices attendus sur une période donnée, le coût de la solution retenue face aux alternatives, et ses principaux risques
   3. Les résultats de l'analyse d'écart, les mesures de sécurité à mettre en œuvre dans chaque dépôt, et le calendrier de l'audit de certification
   4. Le programme d'audit interne, l'ordre du jour de la première revue de direction, et le devis obtenu de l'organisme de certification

10. D4 Mise en œuvre d'un SMSI

    Le plan de traitement du risque approuvé par les propriétaires des risques d'une banque régionale prévoit trente mesures de sécurité à déployer sur dix-huit mois par une équipe sécurité de trois personnes. Au cinquième mois, l'équipe a déployé les mesures correspondant aux risques les plus élevés qui ne dépendaient pas d'une nouvelle plateforme de gestion des identités. Le fournisseur annonce maintenant que la plateforme arrivera au douzième mois au lieu du sixième. Que doit faire le responsable de la mise en œuvre ?

    1. Poursuivre avec les mesures de moindre risque qui ne dépendent pas de la plateforme, et faire apparaître la nouvelle date dans le rapport d'avancement mensuel
    2. Signaler le retard aux propriétaires des risques, qui décident du sort des risques élevés qui attendent désormais six mois de plus leur traitement
    3. Mettre en place des mesures provisoires pour les risques élevés qui attendent la plateforme, et revoir les dates du plan à la prochaine revue
    4. Demander au fournisseur une livraison partielle anticipée de la plateforme, et décaler au douzième mois dans le plan les mesures qui en dépendent

Répondez à ces mêmes dix questions dans le simulateur et voyez l'explication de chaque option, y compris des mauvaises. Il s'ouvre sans inscription →

À propos de l'examen officiel : le format, la durée et le nombre de questions sont fixés par l'organisme qui certifie et peuvent évoluer ; confirmez-les dans sa documentation avant de vous présenter. Ce matériel entraîne la norme, pas l'examen d'un organisme particulier : il sert donc aussi si vous vous certifiez ailleurs.