Pouvez-vous encore obtenir la certification ISO 27001 cette année ? Une chronologie planifiée à l’envers

Chaque année, vers la fin août ou début septembre, une fois que tout le monde est rentré des fêtes de fin d’année, la même conversation démarre. Un PDG ou un CTO d'une entreprise SaaS entre en contact avec une version de la même question : nous avons dit à un client que nous aurions ISO 27001 d’ici la fin de l’année, nous sommes à mi-chemin, est-ce encore réaliste ?

C'est une question légitime à laquelle il est difficile de répondre de l'intérieur, car le calendrier de certification ISO 27001 ne dépend pas de la quantité de travail qu'il vous reste. Il est piloté par les calendriers des autres. La disponibilité de l'organisme de certification, le calendrier des vacances de son auditeur et la file d'attente d'examen auprès de l'organisme de certification une fois votre audit terminé sont tous indépendants de votre volonté, et tous se resserrent au quatrième trimestre.

Cet article est un calendrier planifié à rebours. Il fonctionne à partir d'un objectif de décembre jusqu'aux décisions que vous devez prendre maintenant, et il vous indique où se trouvent les arrêts définitifs. Le public est le fondateur, le CTO ou le responsable de la conformité d'une entreprise SaaS d'environ 20 à 100 personnes qui est déjà en activité : vous avez votre registre d'actifs, vous avez effectué votre évaluation des risques, vous utilisez peut-être déjà un outil GRC qui montre une exhaustivité de 30 à 50 %, et vous êtes quelque part au milieu du traitement des risques. Rien ici ne suppose que vous partez de zéro, bien qu'il y ait une section à la fin pour les entreprises qui le font. Ces délais supposent un environnement de production unique et une portée de complexité gérable. Les groupes multi-entités, une infrastructure sur site importante ou plusieurs environnements de production ne seront pas compressés de cette façon.

Réponse rapide

La contrainte impérative est de réserver votre organisme de certification, et la date limite pratique pour cela est début septembre, car les journées d'audit passent vite. Si votre audit est réservé, une étape 2 fin novembre est réalisable. S’il n’est pas réservé d’ici fin septembre, vous vous tournerez presque certainement vers le premier trimestre. De plus, vous n’aurez probablement pas besoin du certificat en main au 31 décembre. Vous avez besoin de preuves que vous avez réussi, et c'est une chose différente et beaucoup plus réalisable.

Tout d’abord, déterminez ce que signifie réellement « certifié d’ici décembre »

C’est là que la plupart de ces conversations devraient commencer, et cela ne se produit presque jamais.

Il existe deux étapes distinctes, et les gens les confondent constamment :

• Réussite de l'audit de phase 2. L'auditeur complète l'évaluation et vous recommande une certification.
• Détenir le certificat. L'organisme de certification termine son examen technique interne et publie le document.

L’écart entre ces deux est entièrement hors de votre contrôle. Les petits organismes de certification peuvent produire un certificat en deux jours à une semaine. Les plus gros prennent généralement de deux à huit semaines. Vous ne pouvez pas l'accélérer, vous ne pouvez pas l'intensifier, et il ne se soucie pas du délai de votre client.

Voici la partie qui compte : une fois que vous avez passé l’étape 2, vous pouvez demander à votre organisme de certification de vous émettre une lettre de confirmation. Il indique que vous avez réussi l'audit de certification et que votre certificat est en attente de délivrance. Différents organismes de certification formulent cela différemment, ce qui mérite de se demander lors de l'engagement initial ce qu'ils fournissent et ce qu'ils disent.

D'après notre expérience, cette lettre satisfait la grande majorité des exigences des clients et des partenaires. La personne de l’autre côté de la conversation sur les achats veut avoir l’assurance que vous avez été évalué et réussi de manière indépendante. Une lettre de l'organisme de certification confirmant exactement que, sur son papier à en-tête, fait l'affaire.

Le véritable objectif n’est donc pas un certificat au 31 décembre. L’objectif passe l’étape 2 d’ici la fin novembre, le certificat arrivant dès qu’il arrive.

Ce simple recadrage fait souvent la différence entre un plan qui fonctionne et un plan qui ne fonctionne pas.

La vraie date limite est une date de réservation, pas une date d'audit

Voici ce dont personne ne tient compte : les organismes de certification manquent de capacité pour le quatrième trimestre avant le début du quatrième trimestre.

Le quatrième trimestre est la période la plus chargée du calendrier d’audit. Les entreprises avec des échéances en décembre, les entreprises soumises à des cycles de surveillance annuels et les entreprises dont l'anniversaire de certification tombe au quatrième trimestre sont toutes en compétition pour le même nombre limité de jours d'audit. À la mi-octobre, les créneaux horaires ont pratiquement disparu.

Si vous souhaitez passer l'étape 2 dans la seconde quinzaine de novembre, vous devez réserver votre organisme de certification début septembre. Ne perdez pas de temps en découverte, en cadrage des appels ou en comparaison de devis. Réservé, avec dates confirmées.

C’est pourquoi, lorsque nous organisons une conférence téléphonique de lancement, l’une des questions non négociables est la date prévue de l’audit externe. Outre deux autres éléments tout aussi importants, y a-t-il des versions de produits majeures à venir qui occuperont votre équipe d'ingénierie, et quelles vacances prennent vos personnes clés ? Ces trois questions décident si une date cible est un plan ou un souhait, et elles sont posées au début d'un engagement, pas en octobre.

L’autre étape difficile est la fin de l’année civile elle-même. Entre le 10 et le 15 décembre environ, le secteur de l'audit s'arrête effectivement. Les auditeurs prennent congé, les réviseurs des organismes de certification prennent congé et votre dossier reste dans la file d'attente jusqu'en janvier.

Pouvez-vous auditer plus tard ? Techniquement, oui. Nous avons organisé une étape 2 le 15 décembre. Nous en avons organisé un le 24 décembre, qui dans la plupart des pays d'Europe est le jour de Noël, sauf le nom. Personne n’a apprécié. Cela fonctionne, mais vous demandez à votre équipe et à votre auditeur de consacrer leurs vacances à votre certification, et vous n'avez aucune marge en cas de problème. Ne construisez pas de plan autour de cela.

Le calendrier planifié à l’envers

Retour d'une étape 2 la dernière semaine de novembre, pour le profil décrit ci-dessus :

• Organisme de certification du livre — Début septembre. Propriétaire : vous.
• Revue de direction #1 — Milieu à fin octobre, 30 à 45 minutes. Propriétaire : votre équipe de direction.
• Audit interne — Fin octobre à début novembre, 5 à 10 jours ouvrables. Propriétaire : auditeur interne ou externalisé.
• Audit de phase 1 — Deuxième ou troisième semaine de novembre, 1 à 2 jours. Propriétaire : organisme certificateur.
• Revue de direction #2 — Entre l'étape 1 et l'étape 2, 30 minutes. Propriétaire : votre équipe de direction.
• Audit de phase 2 — Dernière semaine de novembre, 2 à 4 jours. Propriétaire : organisme certificateur.
• Certificat délivré — Décembre à février, 2 jours à 8 semaines. Propriétaire : organisme certificateur.

L'hypothèse la plus susceptible de briser ce plan C'est l'écart entre l'étape 1 et l'étape 2. La plupart des organismes de certification travaillant avec des entreprises de cette taille laissent un court intervalle, souvent environ une semaine. Certains nécessitent beaucoup plus de temps, en particulier si l'étape 1 fait apparaître quelque chose qu'ils souhaitent résoudre avant de continuer. Confirmez l'écart avec votre organisme de certification avant de construire un calendrier autour de celui-ci, car un intervalle de quatre semaines au lieu d'un intervalle d'une semaine déplace votre étape 2 dans la zone morte.

‍

La revue de direction qui ordonne la plupart des entreprises se trompe

Vous devriez faire deux revues de direction, pas une. Cela fait trébucher plus d'entreprises que tout autre détail de planification, et c'est tout à fait évitable. Voici pourquoi.

La revue de direction n°1 précède l’audit interne. La clause 9.3 exige une revue de direction, et votre auditeur interne recherchera des preuves que cela s'est produit. Si vous dites à l'auditeur interne que la revue de direction est prévue pour plus tard, il la signalera comme une non-conformité majeure dans le rapport d'audit interne. Ce rapport est envoyé à votre organisme de certification. Vous avez alors créé une non-conformité majeure documentée dans votre propre SMSI, avant même l’arrivée de l’auditeur externe, sans autre raison que le séquençage. Vous devez effectuer toutes les démarches formelles du plan d'actions correctives sur la constatation de l'auditeur interne, identifier la cause profonde, le plan de remédiation, etc. Vous pouvez éviter tout cela en effectuant une rapide séance de revue de direction avant l’audit interne.

La revue de direction n°2 intervient après l'audit interne, et l'intervalle naturel est l'écart entre l'étape 1 et l'étape 2. La clause 9.3.2 répertorie les résultats de l'audit comme une contribution requise à la revue de direction, de sorte que la première revue ne peut pas les couvrir. Cette deuxième revue couvre les résultats de l'audit interne, les constatations de l'étape 1 et les éventuelles actions correctives en cours. Il démontre que le processus de revue de direction fonctionne réellement comme un cycle plutôt que comme une case à cocher unique, ce que recherche l'auditeur externe.

Cela met également à profit la semaine sabbatique. Sinon, c’est le temps mort dans un calendrier qui n’en a pas de disponible.

Êtes-vous réellement prêt ? Cinq chèques

Avant d'aller plus loin, exécutez ceci sur votre propre SMSI. Cela prend environ dix minutes, et c'est la même barre que nous utilisons pour une évaluation de préparation à la certification :

• Tous les documents obligatoires existent et sont à jour
• La déclaration d'applicabilité est complète et approuvée, avec une justification appropriée pour les inclusions et les exclusions.
• Aucun risque critique "non démarré"
• Une revue de direction a eu lieu
• Un audit interne est planifié ou réalisé

Si vous échouez à deux ou plusieurs de ces objectifs fin septembre, la date de décembre sera sérieusement en difficulté. Si votre audit interne n'est pas encore programmé, réservez-le cette semaine. C’est le seul élément de cette liste qui dépend fortement de la disponibilité de quelqu’un d’autre. Voir notre Service d'audit interne ISO 27001 si vous en avez besoin, exécutez-le indépendamment.

Qu'est-ce qui tue réellement le rendez-vous

Au cours des engagements que nous avons menés dans un délai de fin d’année compressé, quatre facteurs sont à l’origine des dégâts. Classés selon la fréquence à laquelle nous les voyons réellement :

1. L’évaluation des risques n’est pas terminée. Tout en aval en dépend. Votre déclaration d’applicabilité, votre plan de traitement des risques, vos priorités de mise en œuvre des contrôles, tout cela découle de l’évaluation des risques. Une évaluation des risques incomplète en octobre n’est pas un retard ; c'est un bloqueur, et c'est un échec au niveau de la clause selon la clause 6.1.2. Voir notre service d'évaluation des risques.

2. Les actions de traitement des risques ne sont pas terminées. Il s’agit de l’état le plus courant pour une entreprise qui est véritablement en cours de mise en œuvre. Vous savez quels sont vos risques, vous savez ce que vous avez accepté de faire à leur sujet, et un nombre important de ces actions sont encore ouvertes. Chaque action ouverte concernant un risque élevé ou critique est une question sur laquelle l'auditeur posera des questions.

3. Dette technique dans l'environnement de production. Les contrôles que vous devez mettre en œuvre entrent en collision avec l’environnement dont vous disposez réellement. Une journalisation qui n’a jamais été centralisée. Accès accordé il y a trois ans et n’a jamais été réexaminé. Une instance EC2 que personne ne veut toucher. Rien de tout cela n’est inhabituel et rien de tout cela n’est résolu rapidement lorsque votre équipe d’ingénierie expédie également le produit.

4. La gestion des points de terminaison et des appareils n'est pas déployée. Celui-ci est systématiquement sous-estimé, et il est encore pire dans les équipes distribuées. A.8.1 exige que les terminaux des utilisateurs soient protégés, et au sein d'une main-d'œuvre répartie sur des machines personnelles, le MDM est le seul moyen pratique de le prouver. Le déploiement de cela est un problème de gestion du changement plutôt que technique. Cela touche chaque employé, cela génère des réticences et cela ne peut pas être fait en une semaine. Si vous n’avez pas déployé MDM et que vous visez une phase 2 de novembre, commencez maintenant. Et non, l'agent d'une plate-forme GRC surveillant la configuration manuelle des appareils et renvoyant une case à cocher verte n'est pas équivalent à un MDM correctement implémenté appliquant les paramètres de sécurité et permettant l'effacement et le verrouillage à distance. C’est l’opinion professionnelle de quelqu’un qui a été témoin de trop d’incidents causés par une sécurité faible des appareils.

Les non-conformités et la distinction qui compte

Il existe une différence entre les non-conformités majeures et mineures qui mérite d'être précise, car elle détermine ce qui menace réellement votre rendez-vous.

Les non-conformités majeures sont généralement des échecs de clauses. Il s’agit d’échecs par rapport aux exigences obligatoires des articles 4 à 10. En pratique, ceux qui apparaissent ressemblent à ceci :

• Aucune évaluation des risques (Clause 6.1.2)
• Pas d'audit interne (Clause 9.2)
• Pas de revue de direction (Clause 9.3)
• Aucun objectif de sécurité de l'information ni KPI (Clause 6.2)
• Échec général de mise en œuvre et d’exploitation du SMSI

Il existe une exception qui mérite d'être connue. Individuellement, une lacune de l’Annexe A est généralement mineure. Mais un auditeur peut regrouper plusieurs défaillances liées de l’Annexe A en une seule défaillance majeure où le modèle montre qu’une zone entière de l’ensemble de contrôles n’est pas mise en œuvre. Aucune pratique de codage sécurisée, aucune restriction d'accès au code source et aucun principe d'ingénierie de sécurité ne seront rédigés en tant que trois mineurs. Il s'agira d'un projet majeur couvrant les contrôles du développement logiciel.

Les non-conformités mineures sont pour la plupart des lacunes dans la mise en œuvre de l’Annexe A. Le contrôle existe mais n'est pas correctement mis en œuvre. L'exemple classique : vous avez déployé la gestion des appareils, mais il n'y a pas d'EDR ou d'antivirus sur les points finaux. Le contrôle est là, la mise en œuvre est incomplète.

Vous ne devriez pas avoir de non-conformités à l’étape 2. Des problèmes mineurs peuvent être soulevés et le sont effectivement, mais l'audit interne et l'audit de première étape existent précisément pour faire ressortir les problèmes pendant qu'il est encore temps de les résoudre. Si une non-conformité majeure apparaît à l’étape 2, quelque chose a échoué en amont. L’audit interne ne l’a pas fait, l’étape 1 l’a manqué ou le travail de mise en œuvre n’a pas été effectué.

Si une majeure atteint l'étape 2, le processus consiste en un plan d'actions correctives soumis à l'organisme de certification pour examen. Chaque organisme de certification l’exige. La manière dont ils l’examinent et la durée de cet examen varient considérablement d’un pays à l’autre. D'après notre expérience, il s'agit d'un examen documentaire plutôt que d'une visite de retour, du moins pour les types de spécialisations qui font surface à ce stade.

Le problème de décembre n’est pas le travail de remédiation. Vous pouvez généralement clôturer un plan d’actions correctives assez rapidement. Le problème est que la personne de l’organisme de certification qui doit l’examiner et l’accepter est peut-être déjà en congé annuel. Votre dossier attend jusqu'en janvier et votre rendez-vous est annulé pour des raisons qui n'ont rien à voir avec votre niveau de sécurité.

L’échec le plus grave se produit plus tôt. Un organisme de certification peut terminer l'étape 1, trouver des spécialisations au niveau des clauses, conclure que le SMSI n'est pas réellement mis en œuvre et refuser de recommander de passer à l'étape 2. Nous avons vu cela se produire. Il termine l’année à la mi-novembre sans rien récupérable, car il ne reste plus de capacité à réserver.

C’est l’argument qui justifie de traiter l’étape 1 comme une porte d’entrée plutôt que comme une formalité. C'est également un argument en faveur d'une vérification interne appropriée, en lui laissant suffisamment de temps pour agir en fonction de ses conclusions.

Et si on repartait de zéro en septembre ?

Réponse courte : possible, avec une mise en garde que la plupart des entreprises n’accepteront pas.

Pour une entreprise de petite taille, avec une dette technique limitée, un environnement cloud propre et une pile technologique moderne, une mise en œuvre complète entre début septembre et fin novembre, l'étape 2 est réalisable. Nous l'avons fait. Le travail est compressible car la séquence est bien comprise et la plupart des efforts peuvent se dérouler en parallèle avec le bon support.

La mise en garde est tout le problème : cela oblige l’entreprise à véritablement donner la priorité à la mise en œuvre de la norme ISO 27001 par rapport à d’autres travaux. Ne l'adaptez pas à d'autres travaux. Donnez-lui la priorité. Cela signifie que la feuille de route du produit échoue, que les engagements de livraison aux clients sont renégociés et que les projets internes qui intéressent votre équipe attendent jusqu'en janvier.

La plupart des entreprises ne sont pas disposées à effectuer ce commerce, et c’est une décision commerciale raisonnable. Mais c’est la raison honnête pour laquelle les délais de départ échouent. Il n’est presque jamais arrivé que le calendrier soit impossible. C’est que l’organisation n’était pas prête à accorder à la mise en œuvre la priorité qu’elle exigeait, ce qui est un tout autre problème.

Si vous l'envisagez, soyez honnête avec vous-même sur cette question avant de signer une lettre de mission, pas au cours de la troisième semaine.

Quand s'arrêter et planifier le premier trimestre

Il existe deux déclencheurs pour lesquels la bonne réponse est de déplacer la cible.

Votre évaluation des risques est toujours ouverte en octobre. Tout en aval en dépend, et il ne reste plus assez de piste pour achever l'évaluation des risques, exécuter les actions de traitement, mener un audit interne significatif et organiser deux revues de direction avant une étape 1 en novembre.

Vous avez des priorités concurrentes et aucun propriétaire dédié. Un calendrier de certification compressé est une décision de ressources et non une décision de conformité. Si personne dans votre organisation n'en fait une responsabilité principale et que cela entre en concurrence avec la sortie d'un produit et le travail d'un client, décembre n'est pas un plan. C'est un espoir avec une date attachée.

Passer au premier trimestre n’est pas un échec. Une étape 2 propre en février est un résultat nettement meilleur qu'une étape 2 précipitée en novembre qui produit une non-conformité majeure, un plan d'action corrective qui reste dans la file d'attente des vacances et un certificat qui arrive de toute façon en mars. Dans tous les cas, vous obtenez le même certificat, et une voie implique considérablement moins de dégâts pour votre équipe.

Si vous le déplacez, informez-en votre client le plus tôt possible et dites-lui précisément. "Notre audit de phase 2 est prévu pour le 12 février et nous partagerons la confirmation de l'organisme de certification la même semaine" est une conversation sensiblement différente de celle de manquer en silence un vague engagement de fin d'année.

Résumé

• Votre véritable objectif est de réussir l'étape 2 et de ne pas détenir le certificat. La délivrance du certificat prend de deux jours à huit semaines, selon l'organisme de certification et est hors de votre contrôle. Une lettre de confirmation de l'organisme de certification après une étape 2 réussie satisfait la plupart des exigences des clients.
• Le délai contraignant est la date de réservation. Réservez votre organisme certificateur début septembre. La capacité d’audit du quatrième trimestre a largement disparu en octobre.
• L'industrie s'arrête vers le 10 au 15 décembre. Les audits ont lieu plus tard. Ne planifiez pas pour eux.
• Vous avez besoin de deux revues de direction. Un avant l’audit interne, sinon vous obtiendrez une non-conformité majeure sur votre propre rapport d’audit interne. Un après, idéalement entre l’étape 1 et l’étape 2.
• Les problèmes majeurs sont des échecs de clause, les mineurs sont des lacunes dans la mise en œuvre de l'Annexe A. Les anciens certificats d'arrêt. Les deux doivent être pris en compte par l’audit interne et l’étape 1, et non par l’étape 2.
• Les quatre choses qui tuent les rendez-vous : évaluation des risques incomplète, traitement des risques incomplet, dette technique en production et gestion des appareils non déployés.
• Les délais compressés constituent un engagement en matière de ressources. Ils fonctionnent lorsque l’entreprise donne véritablement la priorité à la mise en œuvre. Ils échouent quand il est intégré à tout le reste.

‍

Questions fréquemment posées

Jusqu'à quelle heure peut-on réserver un audit ISO 27001 pour une échéance de décembre ?

Début septembre, pour une étape 2 dans la seconde quinzaine de novembre. Les organismes de certification attribuent leurs auditeurs pour le quatrième trimestre quelques jours avant le début du quatrième trimestre, et à la mi-octobre, les créneaux sont en grande partie épuisés. La réservation signifie des dates confirmées dans un accord signé, et non une liste restreinte ou un devis en cours d'examen.

Combien de temps après l'audit de niveau 2 arrive-t-il le certificat ISO 27001 ?

Entre deux jours et huit semaines. Les petits organismes de certification délivrent souvent leurs certificats dans un délai d'une semaine. Les plus grandes effectuent un examen technique interne qui prend habituellement de deux à huit semaines. Le calendrier dépend entièrement de l’organisme de certification et ne peut être ni augmenté ni accéléré.

Pouvez-vous informer un client que vous êtes certifié ISO 27001 avant la délivrance du certificat ?

Non certifié, non, mais vous pouvez prouver que vous avez réussi. Après une étape 2 réussie, la plupart des organismes de certification émettent une lettre de confirmation indiquant que l'audit est terminé et que le certificat est en attente. D'après notre expérience, cela satisfait la plupart des exigences en matière d'approvisionnement. Vérifiez le libellé du contrat si l’engagement est une condition suspensive datée plutôt qu’une attente commerciale.

Quelle est la différence entre une non-conformité majeure et mineure à la norme ISO 27001 ?

Dans la pratique, les majors échouent par rapport aux exigences obligatoires des clauses 4 à 10 : pas d'évaluation des risques, pas d'audit interne, pas de revue de direction. Les lacunes mineures sont généralement des lacunes dans la mise en œuvre de l'Annexe A, où le contrôle existe mais est incomplet. Cependant, il est facile d'obtenir une mineure pour les problèmes avec des points plus petits sur les clauses, par exemple vous avez défini la méthodologie d'évaluation des risques, mais vous n'avez pas explicitement indiqué les critères d'acceptation du risque (c'est-à-dire l'appétit pour le risque). Vous avez mis en œuvre la majorité de la clause mais vous avez manqué une sous-exigence, souvent gérée comme une NC mineure par les OC. Un auditeur peut également regrouper plusieurs défaillances liées de l’Annexe A en une seule défaillance majeure lorsqu’une zone entière de l’ensemble de contrôle est manquante.

Avez-vous besoin de deux revues de direction avant la certification ISO 27001 ?

Vous en avez besoin d’un avant l’audit interne et d’un après. La clause 9.3.2 répertorie les résultats de l'audit comme une contribution requise à la revue de direction, de sorte qu'une revue effectuée avant l'audit interne ne peut pas les couvrir. Un examen effectué seulement après laisse à l'auditeur interne aucune preuve qu'un examen de direction a eu lieu. L'écart entre l'étape 1 et l'étape 2 est le créneau naturel pour la seconde, où vous pouvez examiner formellement les résultats de l'audit interne et de l'étape 1 et les enregistrer lors de la réunion de revue de direction du SMSI pour satisfaire à l'exigence C9.3.2.

Pouvez-vous mettre en œuvre la norme ISO 27001 à partir de zéro en trois mois ?

Oui, pour une petite entreprise disposant d’un environnement cloud propre et d’une dette technique limitée. La contrainte n’est pas le calendrier, c’est la priorité. Une mise en œuvre compressée nécessite que la feuille de route du produit glisse et que les projets internes attendent la nouvelle année. La plupart des entreprises ne sont pas disposées à effectuer ce commerce, ce qui est la véritable raison pour laquelle les délais de départ échouent.

‍

Où aller à partir d'ici

Si vous êtes en cours de mise en œuvre et que vous essayez de déterminer si votre date de fin d’année est toujours réelle, une courte conversation suffit généralement pour vous le dire. Nous avons accompagné plus d'une centaine d'entreprises dans ce processus et pouvons généralement vous donner une réponse claire sur votre situation, ce qui est réalisable et où se situent les étapes difficiles pour votre situation spécifique. Si vous voulez cette réponse avant de vous engager à un rendez-vous avec un client, réserver un appel de cadrage avec nos experts. Vous pouvez également nous parler de combiner ISO 27001 avec audit interne, l'évaluation des risques, ou un complet Programme vCISO pour la gestion continue du programme. De plus, pour des plongées approfondies similaires, suivez-nous sur LinkedIn.

‍

À propos de l'auteur :

Clarify Consult Partner travaille dans le domaine de la sécurité depuis plus de 23 ans, dont une décennie et demie dans le secteur des entreprises au sein de sociétés telles que Vodafone, AXA, Royal Bank of Scotland et Bank of Tokyo. Depuis 2019, lui et l'équipe Clarify Consult Partner ont aidé plus de 150 entreprises SaaS à répondre aux besoins en matière de sécurité, de confidentialité et de conformité, notamment aux exigences ISO 27001, SOC 2, RGPD et ISO 42001. Clarify Consult Partner est certifié ISO/IEC 27001 et membre de la Cloud Security Alliance, de l'ISACA, de l'IAPP et de l'ISC2.

‍