Informations documentées (ISO 27001)

Définition

Les informations documentées, notion transversale de la norme ISO 27001 précisée par la clause 7.5, désignent l'ensemble des documents et enregistrements que l'organisation doit créer, tenir à jour et conserver pour démontrer le fonctionnement effectif de son système de management de la sécurité de l'information, en remplacement de la terminologie plus ancienne distinguant documents et enregistrements utilisée par les précédentes versions de la norme. Cette catégorie recouvre à la fois les informations documentées exigées explicitement par la norme, comme le domaine d'application du système, la politique de sécurité de l'information, les résultats de l'appréciation des risques ou la déclaration d'applicabilité, et celles que l'organisation détermine elle-même comme nécessaires à l'efficacité de son système de management, comme des procédures opérationnelles détaillées propres à son contexte. La norme fixe des exigences précises sur la gestion de ces informations documentées : identification et description appropriées, format et support adaptés, revue et approbation avant diffusion, et maîtrise garantissant leur disponibilité, leur protection contre une perte de confidentialité ou d'intégrité, ainsi que la maîtrise des modifications et la conservation appropriée. Lors des audits de certification, l'absence de traçabilité suffisante sur ces informations documentées, notamment l'incapacité à retrouver un enregistrement attestant qu'une activité prévue a effectivement été réalisée, constitue l'une des non-conformités les plus fréquemment relevées.