ISO 27001 et la gestion des risques - Herve Schauer Consultants
ISO 27001 et la gestion des risques - Herve Schauer Consultants
ISO 27001 et la gestion des risques - Herve Schauer Consultants
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
HERVÉ SCHAUER CONSULTANTSCabin<strong>et</strong> de <strong>Consultants</strong> en Sécurité Informatique depuis 1989Spécialisé sur Unix, Windows, TCP/IP <strong>et</strong> Intern<strong>et</strong><strong>ISO</strong> <strong>27001</strong><strong>et</strong> <strong>la</strong> <strong>gestion</strong> <strong>des</strong> <strong>risques</strong>Conférence N<strong>et</strong>focusLyon, 10 avril 2008Hervé <strong>Schauer</strong>
Processus<strong>ISO</strong> <strong>27001</strong>P<strong>la</strong>nActMatérialisé parDoCheckPolitique (4.3.1.a) <strong>et</strong> périmètre (4.3.1.b)Appréciation <strong>des</strong> <strong>risques</strong> (4.3.1.e)P<strong>la</strong>n de traitement <strong>des</strong> <strong>risques</strong> (4.3.1.f)Déc<strong>la</strong>ration d'applicabilité (4.3.1.i)Procédures (4.3.1.g)3 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
RecommandationsNe pas faire une appréciation <strong>des</strong> <strong>risques</strong> une fois pour toute<strong>et</strong> ne plus y toucherNe pas chercher à faire une appréciation exhaustiveNe pas travailler 3 mois sur une appréciation <strong>des</strong> <strong>risques</strong>Ne pas réinventer <strong>la</strong> roueNe pas perdre de tempsNe pas tomber dans le travers de nombre d'entreprises1/35 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
RecommandationsFaire sa <strong>gestion</strong> du risque soi-même2/3Ou se faire accompagner pour <strong>la</strong> mise en p<strong>la</strong>ce <strong>et</strong> devenirautonome aprèsFaire vivre sa <strong>gestion</strong> du risqueL'entreprise changeLes gens gens changentLes objectifs changentLes <strong>risques</strong> changentLes <strong>risques</strong> SI évoluent quotidiennement6 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Recommandations3/3Créer un processus de <strong>gestion</strong> du risque qui vit :P<strong>la</strong>nAct Identifier l'existant <strong>et</strong> l'adapterDoCheck Construire une méthode simple que l'on fera évoluer dansle temps Communiquer avec <strong>la</strong> direction <strong>et</strong> les équipesrégulièrement7 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
<strong>ISO</strong> 27005Guide de mise en oeuvre de <strong>la</strong> partie appréciation <strong>des</strong> <strong>risques</strong><strong>et</strong> traitement <strong>des</strong> <strong>risques</strong> de l'<strong>ISO</strong> <strong>27001</strong><strong>ISO</strong> <strong>27001</strong> de 4.2.1 c) à 4.2.1 f) 4), plus 4.2.3.d) <strong>et</strong> 5.1.f)soit 1 page + quelques lignes<strong>ISO</strong> <strong>27001</strong> 4.2.1 c) 4.2.1 f) <strong>ISO</strong> 27005<strong>ISO</strong> 2700556 pages24 pages normatives, chap 1 à 1232 pages d'annexes A à F8 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
<strong>ISO</strong> 27005Norme consensus entre les acteurs du marchéNoyau commun accepté par tousPeut être complétéeGuide complétant <strong>ISO</strong> <strong>27001</strong>Conforme à l'<strong>ISO</strong> <strong>27001</strong>Métho<strong>des</strong> d'appréciation <strong>des</strong> <strong>risques</strong> existantesSe qualifieront de "conforme à <strong>la</strong> norme <strong>ISO</strong> 27005"Continueront à évoluer <strong>et</strong> innoverContribueront à l'amélioration de <strong>la</strong> norme <strong>ISO</strong> 27005Compléteront <strong>la</strong> norme pour ceux qui en ont le besoin9 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Vocabu<strong>la</strong>ire (3)Analyse de risque / Appréciation du risqueRisque de sécurité de l'information (information security risk )(3.2)Actif (ass<strong>et</strong>) (B)Menace (threat) (C)Vulnérabilité (vulnerability) (D)Impact / ConséquenceTableau d'appréciation <strong>des</strong> <strong>risques</strong>Comparatif10 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
<strong>ISO</strong> <strong>27001</strong>Analyse de risque/Appréciation du risqueRisk Analysis (IS<strong>27001</strong> 3.11) Analyse du risqueRisk Estimation (3.4) Estimation du risqueRisk Evaluation (3.5) Evaluation du risqueRisk Assessment (IS<strong>27001</strong> 3.12) Appréciation du risqueLangage couramment employé dans le microcosme de <strong>la</strong> SSIAnalyse de risque Risk AssessmentUsage impossible à garder sans confusionsPas d'autre traduction possible que Risk Analysis Analyse du risqueConfusion avec Risk AssessmentDonc : Risk Assessment Appréciation du risqueComme dans tous les autres métiers qui gèrent <strong>des</strong> <strong>risques</strong>11 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
12 / 40Risque (de(sécurité de l'information)Risque de sécurité de l'information(Information security risk) (3.2) :Possibilité (potential) qu'une menaceva exploiter une vulnérabilité d'unactif <strong>et</strong> ainsi causer un préjudice àl'organisationMesuré par combinaison deProbabilité d'occurence ouvraisemb<strong>la</strong>nce ou potentialité del'évènementImpact (3.1) ou conséquence oupréjudiceImpact plutôt SIConséquence plutôt processusmétier, organismeConséquenceou PréjudiceMenaceexploiteCopyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction InterditeVulnérabilitéImpactcibleActif1/3possède
Risque2/3Risque généralement caractérisé par :Source ou origineEmployé malveil<strong>la</strong>nt, employé non sensibilisé, ...MenaceDivulgation d'information confidentielle, coupure d'électricité, ...Probabilité d'occurence ou vraisemb<strong>la</strong>nce ou potentialitéDurée <strong>et</strong> lieu d'occurrence, probabilité d'occurrenceVulnérabilité ayant permis ce risqueErreur de conception, erreur humaine, ...Impact, conséquence ou préjudiceIndisponibilité du service, perte de marché ou d'image, ...Mesure de sécurité ou protection ou contre-mesure pour s'en protégerContrôle d'accès, politique de sécurité, sensibilisation du personnel, ...13 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Risque3/3Exemple dans un tableau d'appréciation <strong>des</strong> <strong>risques</strong> :┌────────┬────────┬───────────┬─────────────┬────────┬────────────────┐│ Actif │ Menace │Probabilité│Vulnérabilité │ Impact │Niveau de risque││ │ │d'Occurence │ │ │ │├────────┼────────┼───────────┼─────────────┼────────┼────────────────┤│ │ │ │ │ │ │└────────┴────────┴───────────┴─────────────┴────────┴────────────────┘14 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
ActifBien, patrimoine informationnelIdentification, valorisation, dépendances (B) :Actifs primordiaux (principaux, primaires) (primary ass<strong>et</strong>s) :Processus <strong>et</strong> activités métierInformationActifs de soutien (en support, secondaires) (supporting ass<strong>et</strong>s) :Cadre organisationnelSitePersonnelRéseauLogicielMatériel15 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Menace (C)Menaces (Threat) (CD27000:3.3.6)Source potentielle d'incidentpouvant entraîner <strong>des</strong> changementsindésirables sur :un actifMenacesun ensemble d'actifsl'organisationC<strong>la</strong>ssées par :1/4MenacecibleActifexploitepossèdeVulnérabilitéOrigineTypeSource, motivation, actionImpact16 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Menace (C)2/4Origines <strong>des</strong> menaces (C)Accidentelle (accidental) : AAction humaine qui endommage accidentellement un actifDélibérée (deliberate) : DAction délibérée sur un actifEnvironnementale (environmental) : ETout incident sur un actif qui ne vient pas d'une action humaine17 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Menace (C)3/4Types de menaces (C)Dommage physique (A, D, E)Feu, dégât <strong>des</strong> eaux, pollution, poussière, gelEvènement naturel (E)Séisme, éruption volcanique, inondation (d'origine naturelle)Perte de service essentielEau (A, D), air conditionné (A, D), électricité (A, D, E), télécommunicationPerturbations dues aux radiations (A, D, E)Compromission de l'informationInterceptions de toutes natures (D)Vol d'équipement, de supports, d'équipements (D)Divulgation d'information, données peu fiables (A, D)Détection de position (D)18 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Menace (C)4/4Type de menaces (C)Pannes techniquesMauvais fonctionnement d'un équipement ou d'un logiciel (A)Saturation (A, D)Actions non-autoriséesCopies de logiciels non-autorisés (A), usage de contrefaçons (A, D),corruption de données (D)Compromission de fonctionErreur d'utilisation, abus ou contrefaçon de droits, répudiation19 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
20 / 40Vulnérabilité (D)Vulnérabilité : propriétéintrinsèque de l'actifMenaces peuvent exploiter lesvulnérabilités (D)Exemples vulnérabilité menaceZone inondable inondationSpécifications incomplète pour lesdéveloppeurs mauvaisfonctionnement du logicielManque <strong>des</strong> rôles <strong>et</strong> responsabilités ensécurité de l'information dans <strong>la</strong><strong>des</strong>cription de poste erreurd'utilisationConséquenceou PréjudiceMenaceexploiteVulnérabilitéImpactCopyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction InterditecibleActifpossède
Impact/ConséquenceImpact d'un risque exprimé(<strong>27001</strong> 4.2.1.d.4)par :Atteinte à un critère de risque, ouperte d'un critère de risqueExemples :Atteinte à l'intégritéPerte de disponibilitéMenaceexploitecibleActifpossèdeConséquence d'un risque (oupréjudice) exprimée par :Du françaisVulnérabilitéImpactExemple :Atteinte à l'image de marquePerte de chiffre d'affairesConséquence21 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Tableau d'appréciation <strong>des</strong> <strong>risques</strong>Exemple dans un tableau d'appréciation <strong>des</strong> <strong>risques</strong> :Rapport (report) d'appréciation <strong>des</strong> <strong>risques</strong>Tableau (table) d'appréciation <strong>des</strong> <strong>risques</strong>(IS<strong>27001</strong> 4.3.1.e)(IS27005 E.2)┌─────────┬────────┬─────────┬─────────────┬────────┬────────────────┐│ Actif │ Menace │Prob.Occ.│Vulnérabilité │ Impact │Niveau de risque│├─────────┼────────┼─────────┼─────────────┼────────┼────────────────┤│ │ │ │ │ │ ││ │ │ ├─────────────┼────────┼────────────────┤│ │ │ │ │ │ ││ │ │ ├─────────────┼────────┼────────────────┤│ │ │ │ │ │ ││├────────┼─────────┼─────────────┼────────┼────────────────┤│ │ │ │ │ │ ││ │ │ ├─────────────┼────────┼────────────────┤│ │ │ │ │ │ │└─────────┴────────┴─────────┴─────────────┴────────┴────────────────┘22 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
ComparatifAttention aux vocabu<strong>la</strong>ires antérieursInspiré en partie d'un travail initial de Nico<strong>la</strong>s Mayer du Centre de Pecherche Public Henri Tudor23 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risqueDéfinition d'un processusContinu <strong>et</strong> qui s'améliore, donc PDCAProcessus de <strong>gestion</strong> de risque de<strong>la</strong> sécurité de l'information(information security risk managementprocess)Processus applicableA toute l'organisationA un sous ensembleP<strong>la</strong>nDoActCheckService, site géographique, <strong>et</strong>c.A tout système d'informationA une mesure de sécurité ou un traitement existant ou p<strong>la</strong>nifié24 / 40Exemple : continuité d'activitéCopyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risque●Identifier les <strong>risques</strong>P<strong>la</strong>n●Quantifier chaque risque par rapport● aux conséquences que sa matérialisationpourrait avoir sur le business● à sa vraisemb<strong>la</strong>nce (likelihood)●Identifier les actions appropriées pour réduireles <strong>risques</strong> identifiés à un niveau acceptable●Implémenter les actions Dopour réduire les <strong>risques</strong>●Eduquer <strong>la</strong> direction <strong>et</strong> lepersonnel sur les <strong>risques</strong> <strong>et</strong> lesactions prises pour les atténuer●Rectifier le traitement du risque à<strong>la</strong> lumière <strong>des</strong> évènements <strong>et</strong> <strong>des</strong>changements de circonstances●Améliorer le processus de<strong>gestion</strong> du risqueAct25 / 40Surveiller <strong>et</strong> réexaminerles résultats, l'efficacité <strong>et</strong>l'efficience du processusCheckCopyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risque (6) p6Décomposé en deux activités {séquentielles <strong>et</strong> itérativesApproche itérativeAméliore <strong>la</strong> finesse de l'analyse àchaque itérationGarantie une appréciation <strong>des</strong><strong>risques</strong> élevésMinimise le temps <strong>et</strong> l'effortconsenti dans l'identification <strong>des</strong>mesures de sécuritéAppréciation <strong>des</strong> <strong>risques</strong>satisfaisante ?Risques acceptables ?dans <strong>ISO</strong> <strong>27001</strong> l'activité appréciation du <strong>risques</strong>'appelle processus d'appréciation du risque (8.1)Appréciation du risque(risk assessment)Appréciationsatisfaisante ?ouinonTraitement du risque(risk treatment)Risques résiduelsà un niveauacceptable ?non26 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risqueApproche itérative ou cycliquePerm<strong>et</strong> d'avancer avec <strong>des</strong>Interlocuteurs absents ouincapables de savoir ou quirefusent de répondreLivrables incompl<strong>et</strong>sIncapacité du management de seprononcer sur l'approbation <strong>des</strong><strong>risques</strong> résiduels sans connaîtred'abord les coûts associésFacilite <strong>la</strong> <strong>gestion</strong> <strong>des</strong>susceptibilités <strong>et</strong> <strong>des</strong> aspectspolitiques entreInterviewésActifs <strong>et</strong> processus métierAppréciation du risque(risk assessment)Appréciationsatisfaisante ?ouinonTraitement du risque(risk treatment)Facilite les liens entre les<strong>risques</strong> <strong>et</strong> les impacts sur lesprocessus métier27 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risqueAppréciation du risque (8)Analyse <strong>des</strong> <strong>risques</strong>Mise en évidence <strong>des</strong> composantes <strong>des</strong> <strong>risques</strong>Estimation de leur importanceEvaluation <strong>des</strong> <strong>risques</strong>Analyse d'ensemble <strong>et</strong> prise de décision sur les <strong>risques</strong>Traitement du risque (9)Sélection <strong>des</strong> objectifs <strong>et</strong> mesures de sécurité pour réduire le risqueRefus, transfert ou prise du risqueAcceptation du risque (10)Approbation par <strong>la</strong> direction <strong>des</strong> choix effectués lors du traitement durisqueCommunication du risque (11)28 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risque (6) p8-9 n° 1Est-ce quel'appréciation <strong>des</strong><strong>risques</strong> donne assezd'éléments pourdéterminer les actionsnécessaires à <strong>la</strong>réduction <strong>des</strong> <strong>risques</strong> àun niveau acceptable ? n° 2Est-ce que le p<strong>la</strong>n d<strong>et</strong>raitement <strong>des</strong> <strong>risques</strong>réduit le risque à unrisque résiduel qui seraacceptable par <strong>la</strong>direction générale ?Communication du risqueEtablissement du contexteAppréciation du risqueAnalyse de risqueIdentification du risqueEstimation du risqueEvaluation du risqueAppréciationsatisfaisante ?Risqueacceptable ? ouiTraitement du risqueouinonAcceptation du risqueSurveil<strong>la</strong>nce <strong>et</strong> réexamen du risque29 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Processus de <strong>gestion</strong> du risque (6) p7Etablissement du contexteAppréciation du risqueAnalyse de risqueIdentification du risqueP<strong>la</strong>nDoImplémentation du p<strong>la</strong>nde traitement du risqueEstimation du risqueEvaluation du risqueE<strong>la</strong>boration du p<strong>la</strong>nde traitement du risqueActAméliorer le processusde <strong>gestion</strong> de risque30 / 40Surveil<strong>la</strong>nce <strong>et</strong> réexamen du risqueCheckCopyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Appréciation du risqueCommunication du risqueEtablissement du contexteAppréciation du risqueAnalyse de risqueIdentification du risqueEstimation du risqueEvaluation du risqueAppréciationsatisfaisante ?Risqueacceptable ? ouiTraitement du risquenonouiAcceptation du risqueSurveil<strong>la</strong>nce <strong>et</strong> réexamen du risque31 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Appréciation du risqueAppréciation du risque (8.1) :Déterminer <strong>la</strong> valeur <strong>des</strong> actifsIdentifier les menaces <strong>et</strong> lesvulnérabilitésIdentifier les mesures <strong>des</strong>écurité existantes <strong>et</strong> leurseff<strong>et</strong>s sur le risque identifiéQuantifier les conséquencespotentiellesPrioritiser <strong>et</strong> ordonnancer les<strong>risques</strong> par rapport aux critèrespréa<strong>la</strong>blement établisAppréciation du risqueAnalyse de risqueIdentification du risqueEstimation du risqueEvaluation du risqueAppréciationsatisfaisante ?Itérations de l'appréciation (8.1)Haut-niveauDe plus en plus en profondeur32 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Traitement <strong>et</strong> acceptation du risqueCommunication du risqueEtablissement du contexteAppréciation du risqueAnalyse de risqueIdentification du risqueEstimation du risqueEvaluation du risqueAppréciationsatisfaisante ?Risqueacceptable ? ouiTraitement du risqueouinonAcceptation du risqueSurveil<strong>la</strong>nce <strong>et</strong> réexamen du risque33 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Traitement durisque (9.1) :Refus ouévitementTraitement <strong>et</strong> acceptation du risqueAppréciation <strong>des</strong> <strong>risques</strong>RésultatsListe <strong>des</strong> <strong>risques</strong> prioritisésChoix <strong>des</strong> options d<strong>et</strong>raitement <strong>des</strong> <strong>risques</strong>TransfertRéduction(IS<strong>27001</strong> 4.2.1.f)(9.4) (9.3)(9.5)(9.2)Prise(R<strong>et</strong>ention)Acceptation durisque (10) :<strong>risques</strong> résiduels<strong>risques</strong>acceptables ?nonoui34 / 40P<strong>la</strong>n de traitement <strong>des</strong> <strong>risques</strong> acceptéCopyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Acceptation (10)Acceptation du risqueDu p<strong>la</strong>n de traitement <strong>des</strong> <strong>risques</strong>De l'appréciation du risque résiduelPar <strong>la</strong> direction généraleSoit le p<strong>la</strong>n de traitement du risque estréussiSoit <strong>la</strong> direction générale accepte lerisque en toute connaissance de causeManque de budg<strong>et</strong>Contraintes de tempsBien que le risque soit au-delà <strong>des</strong> critèresd'acceptation <strong>des</strong> <strong>risques</strong>Enregistrement formelTraitement du risqueRisqueacceptable ?ouiAcceptation du risque(IS<strong>27001</strong> 4.2.1.h)35 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
<strong>ISO</strong>27005<strong>ISO</strong> 27005 est une méthode en elle-mêmeAutres métho<strong>des</strong> servent comme outil au cas par casMéthode de calcul dans l'estimation du risqueQuestionnaires pour conduire les entr<strong>et</strong>iens<strong>et</strong>c36 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Rappels <strong>des</strong> recommandationsIdentifier les objectifsMise en conformité <strong>ISO</strong> <strong>27001</strong>, établissement de p<strong>la</strong>n de reprise,démarche sécurité, ...Adhésion de <strong>la</strong> direction ?Identifier le périmètreIdentifier les éléments existantsRisques opérationnels ? Risques métiers ?Méthode ?Risk manager ?Mener <strong>des</strong> interviewsSavoir où on va37 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
RappelsAdapter l'existantConstruire <strong>la</strong> méthode <strong>et</strong> établir les critères progressivementChoisir <strong>des</strong> formules simplesNR = Max(C,I,D)*PNR = Max(C,I,D)*P*Difficulté d'exploitation...Conduire <strong>des</strong> entr<strong>et</strong>iensIdentifier <strong>et</strong> évaluer les actifsIdentifier les menaces <strong>et</strong> vulnérabilitésIdentifier les mesures de sécurité existantesIdentifier les mesures de sécurité potentielles38 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
ConclusionConstruisez une <strong>gestion</strong> de <strong>risques</strong>PragmatiqueVivante<strong>et</strong> MaitriséeQuestions ?<strong>Herve</strong>.<strong>Schauer</strong>@hsc.fr www.hsc.fr<strong>ISO</strong> <strong>27001</strong> a son club !Paris, Toulouse, Rennes, Nantes, ...En proj<strong>et</strong> : Lyon, Nice, ..Mutualisation ITIL/itSMFwww.club<strong>27001</strong>.fr39 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
40 / 40Copyright Hervé <strong>Schauer</strong> <strong>Consultants</strong> 2008 - Reproduction Interdite
Change language