ISO/IEC 27001

Utilisation de la cryptographie : règles d'usage et de gestion des clés, effectivement appliquées.

Protocoles et suites négociés hôte par hôte, confidentialité persistante, validité et chaîne des certificats, autorisations d’émission.

Gestion des vulnérabilités techniques : obtenir l'information, évaluer l'exposition, prendre les mesures.

Versions annoncées par les services publics, croisées avec les vulnérabilités publiées, et suivi de la disparition effective de l'exposition après correction.

Sécurité des réseaux et des services réseau : gestion et contrôle des services offerts.

Services et ports effectivement joignables depuis Internet, comparés à ce qui est censé l'être — l'écart est presque toujours du côté de l'inattendu.

Sécurité de l'information dans les relations avec les fournisseurs, et suivi de ces relations dans le temps.

Notation continue du portefeuille de fournisseurs, avec historique daté par tiers — la trace de suivi que l'auditeur réclame et que les questionnaires annuels ne fournissent pas.

Renseignement sur les menaces : collecte et analyse d’informations relatives aux menaces pesant sur l’organisme.

Certificats émis sur vos domaines dans les journaux de transparence, domaines sosies déposés et dotés d'un serveur de messagerie actif, identifiants apparus dans des fuites publiques.

Activités de surveillance : les réseaux, systèmes et applications sont surveillés pour détecter les comportements anormaux.

Scan nocturne et alerte au franchissement de seuil, avec la trace horodatée que la surveillance a effectivement eu lieu.