Chaque contrôle, cartographié avec honnêteté.

Politique de l’organisationCC1.1 Engagement de conduite · CC1.2 Supervision du conseil · CC1.3 Lignes hiérarchiques · CC2.1 Information fiable sur les contrôles · CC2.2 Information du personnel sur ses tâches · CC2.3 Échanges avec les tiers · CC3.1 Objectifs de risque · CC3.2 Évaluation des risques · CC3.3 Examen du risque de fraude · CC3.4 Examen de l’impact des changements · CC5.1 Contrôles de réduction des risques · CC5.2 Choix des contrôles technologiques · CC5.3 Politiques déployées · CC9.1 Réduction du risque de perturbation · P1.1 Avis de confidentialité · P2.1 Choix de consentement · P3.1 Collecte licite · P3.2 Consentement explicite sensible · P4.1 Limites de finalité annoncée · P6.1 Consentement avant partage · P6.2 Registre des partages · P6.3 Registre des partages non autorisés

Processus opérationnelsCC4.1 Revues continues des contrôles · CC4.2 Signalement des faiblesses · CC6.8 Blocage des logiciels indésirables · CC7.3 Évaluation des événements · CC7.4 Étapes de réponse aux incidents · CC7.5 Retour d’expérience après incident · A1.1 Suivi de la capacité · A1.3 Tests de restauration · PI1.1 Objectifs de traitement définis · PI1.4 Revue de la livraison des sorties · PI1.5 Intégrité des éléments stockés · P5.1 Réponses aux demandes d’accès · P5.2 Traitement des rectifications · P6.7 Comptabilité des partages · P7.1 Exactitude des données personnelles · P8.1 Traitement des réclamations

Sécurité physiqueCC6.4 Limites d’accès physique · CC6.5 Élimination des données des actifs

Contrats et fournisseursCC9.2 Gestion du risque fournisseur · P6.4 Engagements des fournisseurs · P6.5 Incidents signalés par fournisseurs

Personnes et RHCC1.4 Recrutement de personnel compétent · CC1.5 Responsabilité des tâches

Procédure réglementaireP6.6 Notifications de violation

Toevan apporte une preuve d’appui pour 2 d’entre eux.

Politique de l’organisationA.5.1 Ensemble de politiques écrites · A.5.2 Responsables des rôles de sécurité · A.5.4 Soutien de la direction · A.5.5 Contacts avec les autorités · A.5.6 Contacts avec les groupes d’experts · A.5.8 Étapes de sécurité des projets · A.5.9 Inventaire des actifs · A.5.10 Règles d’usage des actifs · A.5.11 Restitution des actifs · A.5.12 Classement par sensibilité · A.5.13 Marquage de sensibilité · A.5.14 Règles de transfert de données · A.5.23 Règles d’usage du cloud · A.5.37 Procédures d’exploitation écrites · A.6.7 Garanties du travail à distance

Processus opérationnelsA.5.7 Veille sur les attaquants · A.5.24 Préparation aux incidents · A.5.25 Classement des événements par gravité · A.5.26 Étapes de réponse aux incidents · A.5.27 Retour d’expérience sur incidents · A.5.28 Collecte de preuves d’incident · A.5.29 Plans de sécurité en cas de panne · A.5.30 Préparation à la reprise · A.6.8 Signalement par le personnel · A.8.1 Protection des terminaux utilisateur · A.8.6 Planification de la capacité · A.8.7 Défense antimalware · A.8.14 Capacité de réserve · A.8.16 Suivi des comportements inhabituels · A.8.17 Alignement des horloges · A.8.18 Limites des programmes utilitaires · A.8.19 Approbation des logiciels en production · A.8.21 Règles des services réseau · A.8.23 Filtrage du trafic web

Sécurité physiqueA.7.1 Périmètres de site sécurisés · A.7.2 Contrôles d’entrée du site · A.7.3 Locaux verrouillés · A.7.4 Surveillance des locaux · A.7.5 Protection incendie et inondation · A.7.6 Règles des zones sécurisées · A.7.7 Bureaux dégagés · A.7.8 Emplacement des équipements · A.7.9 Protection des actifs hors site · A.7.10 Soin des supports de stockage · A.7.11 Secours en cas de coupure · A.7.12 Protection du câblage · A.7.13 Maintenance des équipements · A.7.14 Effacement sûr des équipements

Contrats et fournisseursA.5.19 Exigences de sécurité fournisseur · A.5.20 Clauses des accords fournisseurs · A.5.21 Contrôles de la chaîne fournisseurs · A.5.22 Revue des services fournisseurs · A.8.30 Supervision des développeurs externes

Personnes et RHA.6.1 Vérification des antécédents · A.6.2 Obligations de sécurité écrites · A.6.3 Sensibilisation à la sécurité · A.6.4 Conséquences des manquements · A.6.5 Obligations après le départ · A.6.6 Engagements de confidentialité

Procédure réglementaireA.5.31 Suivi des obligations légales · A.5.32 Registre des droits logiciels · A.5.33 Conservation des enregistrements · A.5.34 Obligations de confidentialité

Évaluation externeA.5.35 Revue indépendante · A.5.36 Revue du respect des politiques · A.8.34 Garanties pendant les audits

Politique de l’organisationReq.1.1 Politique réseau · Req.1.5 Politique de pontage des terminaux · Req.2.1 Politique de durcissement · Req.3.1 Politique de protection des données · Req.4.1 Politique de transit · Req.5.1 Politique antimalware · Req.6.1 Politique de développement · Req.7.1 Politique d’accès · Req.8.1 Politique de connexion · Req.9.1 Politique physique · Req.10.1 Politique de journalisation · Req.11.1 Politique de test · Req.12.1 Programme de politique de sécurité · Req.12.2 Règles d’usage acceptable · Req.12.3 Analyse de risque ciblée · Req.12.4 Suivi de la conformité · Req.12.5 Définition du périmètre

Processus opérationnelsReq.2.3 Revue du sans-fil · Req.3.7 Processus de cycle de vie des clés · Req.5.2 Défense antimalware des terminaux · Req.5.3 Suivi des mises à jour antimalware · Req.5.4 Défenses contre l’hameçonnage · Req.10.4 Revue régulière des journaux · Req.10.6 Synchronisation des horloges · Req.10.7 Processus de détection des défaillances · Req.11.2 Revue des accès sans fil non autorisés · Req.11.5 Processus de détection d’intrusion · Req.12.10 Plan de réponse aux incidents

Sécurité physiqueReq.9.2 Contrôles d’entrée des locaux · Req.9.3 Registre des visiteurs · Req.9.4 Règles de manipulation des supports · Req.9.5 Revue de l’altération des terminaux

Contrats et fournisseursReq.12.8 Contrats avec les prestataires · Req.12.9 Assistance des prestataires

Personnes et RHReq.12.6 Formation de sensibilisation · Req.12.7 Vérification du personnel

Évaluation externeReq.11.4 Tests d’intrusion

Toevan apporte une preuve d’appui pour 4 d’entre eux.

Politique de l’organisationAC-1 Politique et procédures · AT-1 Politique et procédures · AU-1 Politique et procédures · CA-1 Politique et procédures · CM-1 Politique et procédures · CP-1 Politique et procédures · IA-1 Politique et procédures · IR-1 Politique et procédures · MA-1 Politique et procédures · MP-1 Politique et procédures · PE-1 Politique et procédures · PL-1 Politique et procédures · PL-2 Plans de sécurité et de confidentialité du système · PL-4 Règles de conduite · PL-8 Architectures de sécurité et de confidentialité · PL-10 Choix de la référence · PL-11 Adaptation de la référence · PS-1 Politique et procédures · RA-1 Politique et procédures · RA-2 Catégorisation de sécurité · RA-3 Évaluation des risques · RA-7 Réponse aux risques · RA-9 Analyse de criticité · SA-1 Politique et procédures · SA-2 Allocation des ressources · SA-3 Cycle de vie du développement système · SA-5 Documentation du système · SA-8 Principes d’ingénierie de sécurité et de confidentialité · SA-15 Processus, normes et outils de développement · SA-22 Composants système non pris en charge · SC-1 Politique et procédures · SI-1 Politique et procédures · SR-1 Politique et procédures

Processus opérationnelsAC-8 Notification d’usage du système · AC-14 Actions permises sans identification ni authentification · AC-18 Accès sans fil · AC-19 Contrôle d’accès des appareils mobiles · AC-20 Usage de systèmes externes · AC-21 Partage d’informations · AC-22 Contenu accessible publiquement · AU-4 Capacité de stockage des journaux d’audit · AU-5 Réponse aux défaillances de journalisation · AU-6 Revue, analyse et rapport des enregistrements d’audit · AU-7 Réduction des enregistrements et génération de rapports · CM-4 Analyses d’impact · CM-8 Inventaire des composants du système · CM-9 Plan de gestion de configuration · CM-10 Restrictions d’usage des logiciels · CM-11 Logiciels installés par l’utilisateur · CM-12 Localisation de l’information · CP-2 Plan de continuité · CP-3 Formation à la continuité · CP-4 Test du plan de continuité · CP-6 Site de stockage alternatif · CP-7 Site de traitement alternatif · CP-8 Services de télécommunications · CP-10 Restauration et reconstitution du système · IA-3 Identification et authentification des appareils · IA-7 Authentification des modules cryptographiques · IA-11 Réauthentification · IA-12 Vérification d’identité · IR-2 Formation à la réponse aux incidents · IR-3 Test de la réponse aux incidents · IR-4 Traitement des incidents · IR-5 Suivi des incidents · IR-6 Signalement des incidents · IR-7 Assistance à la réponse aux incidents · IR-8 Plan de réponse aux incidents · SC-2 Séparation des fonctions système et utilisateur · SC-4 Information dans les ressources partagées · SC-5 Protection contre le déni de service · SC-10 Déconnexion du réseau · SC-15 Appareils et applications collaboratifs · SC-17 Certificats d’infrastructure à clé publique · SC-18 Code mobile · SC-20 Résolution de noms sécurisée (source faisant autorité) · SC-21 Résolution de noms sécurisée (résolveur récursif ou cache) · SC-22 Architecture et provisionnement de la résolution de noms · SC-39 Isolation des processus · SI-3 Protection contre le code malveillant · SI-4 Surveillance du système · SI-5 Alertes, avis et directives de sécurité · SI-8 Protection contre le spam · SI-16 Protection de la mémoire

Sécurité physiqueMA-2 Maintenance contrôlée · MA-3 Outils de maintenance · MA-4 Maintenance à distance · MA-5 Personnel de maintenance · MA-6 Maintenance en temps voulu · MP-2 Accès aux supports · MP-3 Marquage des supports · MP-4 Stockage des supports · MP-5 Transport des supports · MP-6 Assainissement des supports · MP-7 Usage des supports · PE-2 Autorisations d’accès physique · PE-3 Contrôle d’accès physique · PE-4 Contrôle d’accès aux transmissions · PE-5 Contrôle d’accès aux périphériques de sortie · PE-6 Surveillance de l’accès physique · PE-8 Registres d’accès des visiteurs · PE-9 Équipements électriques et câblage · PE-10 Arrêt d’urgence · PE-11 Alimentation de secours · PE-12 Éclairage de secours · PE-13 Protection incendie · PE-14 Contrôles environnementaux · PE-15 Protection contre les dégâts des eaux · PE-16 Livraison et retrait · PE-17 Site de travail alternatif

Contrats et fournisseursSA-4 Processus d’acquisition · SA-9 Services de systèmes externes · SR-2 Plan de gestion du risque de chaîne d’approvisionnement · SR-3 Contrôles et processus de la chaîne d’approvisionnement · SR-5 Stratégies, outils et méthodes d’acquisition · SR-6 Évaluations et revues des fournisseurs · SR-8 Accords de notification · SR-10 Inspection des systèmes ou composants · SR-12 Mise au rebut des composants

Personnes et RHAT-2 Formation et sensibilisation · AT-3 Formation par rôle · AT-4 Registres de formation · PS-2 Désignation du risque par poste · PS-3 Vérification du personnel · PS-4 Départ du personnel · PS-5 Mutation du personnel · PS-6 Accords d’accès · PS-7 Sécurité du personnel externe · PS-8 Sanctions du personnel · PS-9 Descriptions de poste

Évaluation externeCA-2 Évaluations des contrôles · CA-3 Échange d’informations · CA-5 Plan d’action et jalons · CA-6 Autorisation · CA-7 Surveillance continue · CA-9 Connexions internes du système

Toevan apporte une preuve d’appui pour 2 d’entre eux.

Politique de l’organisation164.308(a)(2) Responsabilité de sécurité attribuée · 164.310(b) Usage des postes de travail · 164.316(a) Politiques et procédures · 164.316(b)(1) Documentation écrite · 164.506 Utilisations et divulgations pour les soins, le paiement ou les opérations de santé · 164.508 Utilisations et divulgations soumises à autorisation · 164.509 Utilisations et divulgations soumises à attestation · 164.510 Utilisations et divulgations exigeant de laisser la personne accepter ou s’opposer · 164.512 Utilisations et divulgations sans autorisation ni possibilité d’accepter ou de s’opposer · 164.520 Avis sur les pratiques de confidentialité des informations de santé protégées · 164.522 Droit de demander la protection de la confidentialité des informations de santé protégées · 164.528 Relevé des divulgations des informations de santé protégées · 164.530 Exigences administratives

Processus opérationnels164.308(a)(1) Processus de gestion de la sécurité · 164.308(a)(6) Procédures d’incident de sécurité · 164.308(a)(7) Plan de contingence · 164.524 Accès des personnes à leurs informations de santé protégées · 164.526 Rectification des informations de santé protégées

Sécurité physique164.310(a)(1) Contrôles d’accès aux installations · 164.310(c) Sécurité des postes de travail · 164.310(d)(1) Contrôles des appareils et supports

Contrats et fournisseurs164.308(b)(1) Contrats avec les associés et autres arrangements · 164.314(a)(1) Contrats avec les associés ou autres arrangements · 164.314(b)(1) Exigences pour les régimes de santé collectifs · 164.504 Utilisations et divulgations : exigences organisationnelles

Personnes et RH164.308(a)(3) Sécurité du personnel · 164.308(a)(5) Sensibilisation et formation à la sécurité

Procédure réglementaire164.404 Notification aux personnes · 164.406 Notification aux médias · 164.408 Notification au Secretary · 164.410 Notification par un associé · 164.412 Report à la demande des autorités · 164.414 Exigences administratives et charge de la preuve

Évaluation externe164.308(a)(8) Évaluation

Toevan apporte une preuve d’appui pour 1 d’entre eux.

Politique de l’organisationArt.6 Licéité du traitement · Art.7 Conditions applicables au consentement · Art.8 Conditions applicables au consentement des enfants pour les services de la société de l’information · Art.9 Traitement de catégories particulières de données personnelles · Art.10 Traitement des données relatives aux condamnations pénales et aux infractions · Art.11 Traitement ne nécessitant pas l’identification · Art.24 Responsabilité du responsable du traitement · Art.26 Responsables conjoints du traitement · Art.27 Représentants des responsables ou sous-traitants non établis dans l’Union · Art.29 Traitement sous l’autorité du responsable ou du sous-traitant · Art.30 Registre des activités de traitement · Art.31 Coopération avec l’autorité de contrôle · Art.35 Analyse d’impact relative à la protection des données · Art.36 Consultation préalable · Art.37 Désignation du délégué à la protection des données · Art.38 Fonction du délégué à la protection des données · Art.39 Missions du délégué à la protection des données

Processus opérationnelsArt.12 Transparence des informations, de la communication et des modalités d’exercice des droits de la personne concernée · Art.13 Informations à fournir lorsque les données sont collectées auprès de la personne concernée · Art.14 Informations à fournir lorsque les données n’ont pas été collectées auprès de la personne concernée · Art.15 Droit d’accès de la personne concernée · Art.16 Droit de rectification · Art.17 Droit à l’effacement (« droit à l’oubli ») · Art.18 Droit à la limitation du traitement · Art.19 Obligation de notification en cas de rectification, d’effacement ou de limitation du traitement · Art.20 Droit à la portabilité des données · Art.21 Droit d’opposition · Art.22 Décision individuelle automatisée, y compris le profilage

Contrats et fournisseursArt.28 Sous-traitant

Procédure réglementaireArt.33 Notification d’une violation de données à l’autorité de contrôle · Art.34 Communication d’une violation de données à la personne concernée · Art.44 Principe général applicable aux transferts · Art.45 Transferts fondés sur une décision d’adéquation · Art.46 Transferts moyennant des garanties appropriées · Art.47 Règles d’entreprise contraignantes · Art.48 Transferts ou divulgations non autorisés par le droit de l’Union · Art.49 Dérogations pour des situations particulières

Toevan apporte une preuve d’appui pour 1 d’entre eux.

Politique de l’organisationArt.5 Gouvernance et organisation · Art.6 Cadre de gestion du risque lié aux TIC · Art.16 Cadre simplifié de gestion du risque lié aux TIC · Art.24 Exigences générales pour les tests de résilience opérationnelle numérique · Art.28 Principes généraux · Art.29 Évaluation préliminaire du risque de concentration TIC au niveau de l’entité

Processus opérationnelsArt.11 Réponse et rétablissement · Art.13 Apprentissage et évolution · Art.14 Communication · Art.17 Processus de gestion des incidents liés aux TIC · Art.18 Classification des incidents liés aux TIC et des cybermenaces

Contrats et fournisseursArt.30 Principales dispositions contractuelles

Procédure réglementaireArt.15 Harmonisation accrue des outils, méthodes, processus et politiques de gestion du risque TIC · Art.19 Signalement des incidents majeurs liés aux TIC et notification volontaire des cybermenaces importantes · Art.20 Harmonisation du contenu et des modèles de signalement · Art.21 Centralisation du signalement des incidents majeurs liés aux TIC · Art.22 Retour de la supervision · Art.23 Incidents opérationnels ou de sécurité liés aux paiements concernant les établissements de crédit, de paiement, les prestataires de services d’information sur les comptes et les établissements de monnaie électronique · Art.45 Dispositifs de partage d’informations sur les cybermenaces

Évaluation externeArt.26 Tests avancés des outils, systèmes et processus TIC fondés sur le TLPT · Art.27 Exigences applicables aux testeurs pour la réalisation du TLPT