Définition et but

Le but de l'ISO/IEC 30111 est d'établir des lignes directrices pour les processus de gestion des vulnérabilités. Elle aide les organisations à gérer les vulnérabilités de manière cohérente et efficace, en s'assurant qu'elles sont évaluées, priorisées et atténuées ou corrigées rapidement, réduisant ainsi le risque pour les utilisateurs de produits ou de services.

Organisme de régulation

La norme est développée et maintenue par l'Organisation Internationale de Normalisation (ISO) en collaboration avec la Commission Électrotechnique Internationale (CEI).

Dernière mise à jour

L'ISO/IEC 30111 a été publiée pour la première fois en 2013. Elle a été retirée et remplacée par l'ISO/IEC 30111:2019.

S'applique à

L'ISO/IEC 30111 est applicable à toute organisation qui développe, maintient ou supporte des produits ou des services en ligne. Cela inclut les développeurs de logiciels, les fournisseurs de services informatiques et les fabricants de technologies de divers secteurs.

Contrôles et exigences

La norme fournit des directives sur plusieurs aspects de la gestion des vulnérabilités, notamment :

• Réception des rapports : Comment accepter et gérer les rapports de vulnérabilités potentielles entrants.
• Investigation : Étapes pour vérifier, reproduire et évaluer l'impact des vulnérabilités signalées.
• Résolution des problèmes : Développer et mettre en œuvre des solutions pour traiter les vulnérabilités vérifiées.
• Publication et communication : Processus de publication des correctifs ou des mises à jour et de communication avec les parties prenantes, y compris les clients et le public.
• Boucle de rétroaction : Mécanismes pour tirer des enseignements des vulnérabilités afin d'améliorer les produits et les processus.

Veuillez vous référer à la documentation officielle de l'ISO/IEC 39111:2019 pour plus de détails sur les contrôles et les exigences.

Type d'audit, fréquence et durée

Les audits pour la conformité à l'ISO/IEC 30111 impliquent généralement un examen des procédures de gestion des vulnérabilités, de la documentation et des dossiers d'une organisation afin de s'assurer qu'ils sont conformes aux exigences de la norme. La fréquence de ces audits peut être basée sur la stratégie de gestion des risques de l'organisation, la nature des produits ou services qu'elle offre, ou dans le cadre des vérifications de conformité régulières.

La durée dépend de la taille de l'organisation, de la complexité de ses produits ou services et de la profondeur de l'audit.