CyFun · CyberFundamentals

Comment se déroule une évaluation CyFun?

Le parcours dépend du niveau d’assurance. L’organisation prépare son autoévaluation; un organisme indépendant d’évaluation de la conformité examine les preuves. L’autoévaluation oriente le travail, mais ne démontre pas à elle seule la conformité.

Le processus de certification Essential

1. Définir la portée et se préparer

   Déterminez les systèmes, services, sites et activités concernés. Complétez l’autoévaluation CyFun applicable et rassemblez les preuves justifiant chaque score de maturité déclaré.

2. Étape 1 — évaluer la préparation

   L’auditeur examine la cohérence et la justification des scores, les mesures de gestion documentées et les preuves disponibles. Les constats déterminent la préparation, les priorités et le plan de l’étape 2.

3. Étape 2 — évaluer la mise en œuvre

   L’auditeur examine le fonctionnement réel des mesures, notamment les mesures clés et les mesures de gestion. Les enregistrements, entretiens et preuves opérationnelles doivent étayer l’autoévaluation; les politiques seules ne suffisent pas.

4. Traiter les constats et obtenir une décision

   Les seuils de maturité requis doivent être atteints. Les non-conformités majeures doivent être résolues et closes; les plans d’action relatifs aux non-conformités mineures doivent être approuvés, ou les constats clos, avant une décision positive. Un score suffisant ne garantit pas la certification.

5. Maintenir la certification

   Tenez l’autoévaluation à jour. La surveillance examine les changements, la maturité, les mesures clés, toutes les mesures de gestion prévues et l’utilisation des certificats et marques. Elle se déroule dans les locaux du client. La recertification examine l’efficacité continue et l’amélioration, avec un audit sur site.

Quelles preuves préparer?

Préparez des enregistrements montrant comment les mesures sont définies et fonctionnent. Par exemple :

• Une autoévaluation datée, avec gestion des versions et preuves à l’appui des scores déclarés.
• La portée, les actifs et services, les évaluations des risques, les politiques approuvées, les objectifs et les responsabilités.
• Les audits internes, revues de direction, actions correctives et preuves d’amélioration continue.
• Les revues des accès, dossiers d’incidents, tests de continuité et de reprise, et gestion des risques fournisseurs.

ISO 27001 dès maintenant. Un parcours défini vers CyFun.

Les audits de certification ISO/IEC 27001 accrédités par le CCN de Complade sont disponibles dès maintenant pour les demandes internationales. Un SMSI mis en œuvre peut fournir des preuves utiles de gouvernance, de gestion des risques, d’audit interne et de revue de direction pour une future évaluation CyFun. Les mesures et exigences de maturité CyFun applicables restent à traiter.

Le programme belge prévoit également un parcours fondé sur un certificat ISO/IEC 27001 accrédité, avec une portée et une déclaration d’applicabilité appropriées. Le CCB détermine l’admissibilité et l’acceptation selon les règles applicables. Un certificat ISO ne donne pas automatiquement un certificat ou label CyFun; l’accréditation ISO 27001 de Complade ne constitue pas en elle-même une autorisation d’évaluer CyFun.

La certification et le label belge sont distincts

Après l’évaluation de conformité requise, les organisations admissibles demandent le label CyFun au CCB via Safeonweb@work. Le CCB examine l’admissibilité et délivre le label et son code QR. Complade ne délivre pas le label du CCB.

L’offre de certification de Complade