ISO 27001 - Quizz

Une organisation constate que malgré l'implémentation de mesures de sécurité coûteuses, des incidents continuent de se produire. Quelle est la cause la plus probable selon l'approche ISO 27001 ?

• Les mesures techniques implémentées ne correspondent pas aux technologies actuelles de l'organisation
• Le budget alloué n'a pas permis de couvrir l'ensemble des domaines critiques identifiés
• L'analyse initiale des risques n'a pas identifié les menaces et vulnérabilités pertinentes
• Les employés n'ont pas été suffisamment formés aux procédures de sécurité établies

Quelle est la différence fondamentale entre une menace et une vulnérabilité dans le contexte du SMSI ?

• La menace représente ce qui peut exploiter une faiblesse, la vulnérabilité est cette faiblesse
• La menace provient de l'intérieur de l'organisation, la vulnérabilité vient de l'extérieur
• La menace concerne les aspects techniques, la vulnérabilité les aspects organisationnels
• La menace est quantifiable objectivement, la vulnérabilité reste subjective et contextuelle

Lors de l'établissement du contexte (clause 4), pourquoi l'ISO 27001:2022 a-t-elle intégré les considérations climatiques ?

• Pour répondre aux exigences réglementaires environnementales et aux normes de durabilité
• Pour optimiser la consommation énergétique des centres de données et réduire les coûts
• Pour démontrer l'alignement de l'organisation sur les objectifs de développement durable
• Les événements climatiques peuvent affecter la disponibilité et l'intégrité des infrastructures

Un RSSI présente à la direction un risque avec un impact catastrophique mais une probabilité très faible. La direction décide de l'accepter. Cette décision est-elle conforme à l'ISO 27001 ?

• Non, l'ISO 27001 requiert le traitement systématique des risques à impact catastrophique identifiés
• Oui, si l'acceptation respecte les critères d'acceptation des risques définis et documentés
• Non, la décision d'accepter des risques majeurs relève exclusivement du RSSI selon la norme
• Oui, sous réserve qu'une police d'assurance couvre ce risque de manière substantielle

Dans quelle situation la Déclaration d'Applicabilité (SoA) doit-elle être mise à jour ?

• Lors de chaque renouvellement triennal du certificat ISO 27001 de l'organisation considérée
• Systématiquement après chaque audit interne ou externe, même sans non-conformité identifiée
• Lorsque le contexte organisationnel, l'évaluation des risques ou les mesures évoluent significativement
• Automatiquement selon le calendrier de revue documentaire établi par l'organisation

Quelle est la relation logique entre les clauses 6.1.2 (appréciation des risques) et 6.1.3 (traitement des risques) ?

• L'appréciation identifie et évalue les risques, le traitement définit les options de gestion
• Les deux clauses peuvent être mises en œuvre indépendamment selon les besoins organisationnels
• Le traitement des risques doit précéder leur appréciation pour définir les critères d'évaluation
• L'appréciation des risques s'applique aux risques non couverts par des mesures existantes

Une entreprise externalise son service de paie. Selon l'ISO 27001, quelle approche de traitement du risque cela représente-t-il principalement ?

• Évitement du risque en éliminant complètement l'activité génératrice de vulnérabilités identifiées
• Réduction du risque par la mise en place de contrôles techniques et organisationnels appropriés
• Acceptation du risque après évaluation de son niveau résiduel et de son impact potentiel
• Partage du risque en transférant une partie de la responsabilité au prestataire externe

Pourquoi l'ISO 27001 exige-t-elle que les objectifs de sécurité soient "mesurables" (clause 6.2) ?

• Pour justifier les investissements en sécurité auprès des parties prenantes et actionnaires
• Pour permettre l'évaluation objective de leur atteinte et supporter l'amélioration continue
• Pour faciliter les benchmarks et comparaisons avec d'autres organisations du secteur
• Pour satisfaire les exigences documentaires des auditeurs de certification et surveillance

Durant la phase opérationnelle du SMSI (clause 8), une organisation découvre qu'un processus critique n'est pas documenté. Quelle approche est conforme à l'ISO 27001 ?

• Documenter immédiatement le processus tel qu'il est exécuté actuellement sans analyse préalable
• Évaluer si le processus nécessite une documentation selon les critères de risque et d'efficacité
• Suspendre le processus jusqu'à ce qu'une documentation complète soit établie et approuvée
• Déléguer la documentation aux opérationnels qui exécutent quotidiennement le processus

Dans le cycle PDCA appliqué au SMSI, à quelle phase correspond principalement la clause 9 (Évaluation des performances) ?

• Plan - Phase de planification des objectifs et de définition des indicateurs clés
• Do - Phase de mise en œuvre des processus de surveillance et de mesure établis
• Check - Phase de vérification de l'efficacité et de la conformité du système
• Act - Phase d'actions correctives basées sur les résultats et d'amélioration