Compétence (ISO 27001)

Définition

La compétence, exigence posée par la clause 7.2 de la norme ISO 27001, impose à l'organisation de déterminer la compétence nécessaire des personnes effectuant, sous son contrôle, un travail ayant une incidence sur la performance de la sécurité de l'information, de s'assurer que ces personnes sont compétentes sur la base d'une formation initiale appropriée, d'une formation professionnelle continue ou d'une expérience adaptée, et de conserver des informations documentées appropriées comme preuve de cette compétence. Cette exigence dépasse le seul cas des professionnels dédiés à la sécurité de l'information, comme le responsable de la sécurité des systèmes d'information ou les administrateurs systèmes, pour s'étendre à toute personne dont l'activité peut influencer, positivement ou négativement, la sécurité de l'information de l'organisation, ce qui peut inclure des développeurs, des gestionnaires de projet ou des responsables des ressources humaines intervenant dans le processus de recrutement et de départ des collaborateurs. Lorsqu'un écart de compétence est identifié, l'organisation doit entreprendre des actions pour l'acquérir, par exemple via une formation ciblée, un mentorat interne ou le recrutement de nouvelles compétences, et évaluer l'efficacité des actions entreprises. Cette exigence se distingue de la sensibilisation générale imposée par la clause suivante, en ce qu'elle vise des compétences techniques ou managériales spécifiques et vérifiables plutôt qu'une simple culture générale partagée par l'ensemble du personnel.