WisecL'auditeur vous demandera des preuves. Gardez celles de chaque build.
Pour vos mesures de l'annexe A qui touchent le développement, que montrez-vous à l'auditeur ?
ISO/IEC 27001:2022 se certifie sur l'efficacité d'un système de management. Pour les mesures de l'annexe A qui portent sur la chaîne logicielle, Wisec enregistre et signe à chaque build les preuves qu'un auditeur peut consulter.
Des enregistrements, sur la durée.
Ce que vous avez décidé.
Votre déclaration d'applicabilité dit quelles mesures s'appliquent et comment.
Ce qui s'est passé.
L'auditeur échantillonne des preuves datées : c'est là que se perdent les traces d'une CI.
Ce que ça a donné.
Des indicateurs suivis dans le temps, pas une photo du jour de l'audit.
Les mesures de l'annexe A, et leurs preuves.
Le rapport ISO 27001 relie ces mesures aux preuves enregistrées sur la période, et ajoute le chiffre de posture et les relevés mensuels signés.
| Référence | Ce qui est attendu | La preuve que Wisec produit |
|---|---|---|
| A.8.8 | Gestion des vulnérabilités techniques. | Les CVE détectées à chaque build, les décisions dans un VEX signé, la part corrigée dans vos délais. |
| A.5.21 | Sécurité de l'information dans la chaîne d'approvisionnement TIC. | Un SBOM signé par build, la provenance SLSA, la détection des dépendances suspectes. |
| A.8.25 | Cycle de vie de développement sécurisé. | Les scanners intégrés au pipeline, les politiques appliquées par le gate. |
| A.8.32 | Gestion des changements. | Chaque build notarisé et chaîné au précédent, avec son commit, son auteur et la liste des contributeurs approuvés. |
| A.5.28 | Collecte de preuves. | Des preuves signées, ancrées sur IPFS, conservées trois ans en stockage non modifiable et horodatées dans Rekor. |
Une cartographie de preuves, pas une déclaration de conformité. Wisec ne remplace ni votre système de management, ni votre appréciation des risques, ni votre déclaration d'applicabilité, et ne délivre aucune certification : seul un organisme accrédité la délivre. Il fournit des preuves pour quelques mesures de l'annexe A.
Un PDF à remettre, avec son périmètre.
Couvert, partiel, à traiter.
Calculé sur la part des builds de la période qui portent la preuve : au moins 90 %, au moins 50 %, ou moins.
Imprimé sur le rapport.
Tous les projets par défaut, ou ceux que vous choisissez. Un rapport sans périmètre déclaré n'est pas exploitable en audit.
Vos dates.
Le rapport porte sur la période choisie, et dit à quelle date il a été produit.
Disponible avec les offres Business et Pro. Le rapport ISO 27001 se génère depuis la page Compliance, avec la posture de la période.
Référence : ISO/IEC 27001:2022, annexe A. Les intitulés des mesures sont résumés ; seule la norme fait foi.