ISO 27001,
sans le tableur.

Construire un SMSI ISO 27001 qui fonctionne au quotidien

Une préparation sérieuse commence par une question opérationnelle : quelles informations devez-vous protéger pour continuer à servir vos clients ? La réponse détermine le périmètre, les responsabilités et les preuves nécessaires. Le dossier d’audit vient ensuite. Il doit rendre visible un fonctionnement réel, pas masquer des pratiques fragiles derrière des politiques bien rédigées.

Ce guide détaille les décisions à prendre pour mettre en œuvre ISO/IEC 27001:2022 et entretenir un système de management de la sécurité de l’information, ou SMSI, après l’obtention du certificat.

Quelles organisations peuvent engager la démarche ?

La norme s’adresse aux organisations de toute taille et de tout secteur : éditeur logiciel, industriel, prestataire, association ou organisme public. Elle ne réserve pas la certification aux entreprises technologiques. Les informations papier, les échanges humains et les locaux peuvent compter autant que les applications.

La démarche est généralement volontaire, même lorsqu’un contrat ou un appel d’offres en fait une condition commerciale. Distinguez cette attente des obligations légales applicables à votre activité. Un certificat ne remplace ni le RGPD ni les exigences sectorielles.

Le périmètre mérite une attention particulière. Un service peut être certifié sans que toute l’entreprise le soit. Décrivez les sites, activités, équipes et interfaces concernés. Une fonction externalisée reste une dépendance à maîtriser ; la retirer du dessin ne supprime pas le risque.

Les exigences qui structurent le travail

Les clauses 4 à 10 portent sur le contexte, le leadership, la planification, les ressources, les opérations, l’évaluation et l’amélioration. Elles constituent le système de management. Les mesures techniques ne suffisent donc pas si personne ne valide les objectifs ou ne suit les écarts.

Votre socle doit notamment comprendre :

• une politique approuvée et des responsabilités connues ;
• une méthode d’appréciation des risques reproductible ;
• un plan de traitement avec responsables et décisions documentées ;
• des objectifs mesurables et des ressources adaptées ;
• des informations documentées maîtrisées ;
• un audit interne, une revue de direction et des actions correctives.

L’Annexe A sert de référence pour vérifier que des mesures nécessaires n’ont pas été oubliées. Elle ne constitue pas une liste à appliquer aveuglément. Sélectionnez les mesures selon les risques et les exigences pertinentes, puis justifiez leur inclusion ou leur exclusion dans la déclaration d’applicabilité, ou SoA. Indiquez également leur état de mise en œuvre.

L’amendement de 2024 demande de déterminer si le changement climatique constitue un enjeu pertinent pour l’organisation. Consignez cette appréciation dans l’analyse du contexte, sans transformer automatiquement le SMSI en programme environnemental. Les besoins des parties intéressées restent à examiner.

Calendrier et cycle de certification

La norme n’impose pas une durée universelle de préparation. La taille du périmètre, les pratiques existantes et la disponibilité des responsables déterminent le calendrier. Planifiez à partir des travaux à accomplir et du temps nécessaire pour produire des traces d’exploitation.

L’audit initial comprend deux étapes : une première appréciation du SMSI et de la préparation, puis une évaluation de sa mise en œuvre et de son efficacité. Réservez du temps pour traiter les non-conformités relevées. Une échéance commerciale ne doit pas conduire à présenter une mesure non déployée comme opérationnelle.

Le cycle habituel comprend une certification sur trois ans, des audits de surveillance annuels et un renouvellement avant l’expiration. Confirmez le programme avec l’organisme choisi. Entre les audits, les changements d’activité, d’architecture et de fournisseurs doivent alimenter le SMSI.

Sanctions et enjeux : ce que le certificat engage

ISO 27001 ne prévoit pas d’amende réglementaire propre à la norme. En revanche, une non-conformité non traitée peut compromettre la délivrance ou le maintien du certificat, jusqu’à sa suspension ou son retrait selon les règles de certification.

Les enjeux sont aussi contractuels : exigences clients non satisfaites, réponses commerciales inexactes ou confiance dégradée. Présentez toujours le périmètre certifié avec précision. Ne laissez pas entendre qu’un certificat garantit l’absence d’incident ou couvre des activités exclues.

Un parcours de mise en conformité en sept étapes

1. Fixer le périmètre et le mandat. Décrivez les services concernés, leurs dépendances et les attentes des parties intéressées. Désignez un sponsor capable d’arbitrer les ressources. Faites approuver les limites et les interfaces du SMSI.

2. Établir l’état des lieux. Recensez les informations, les actifs, les propriétaires et les prestataires. Comparez les pratiques aux exigences. Séparez les mesures absentes de celles qui existent mais dont les preuves sont insuffisantes.

3. Évaluer les risques. Définissez des critères d’impact et de vraisemblance cohérents. Étudiez les scénarios avec les métiers. Nommez les propriétaires de risques et faites valider les décisions de traitement ainsi que l’acceptation des risques résiduels.

4. Construire le plan de traitement et la SoA. Reliez chaque action à une justification, un responsable, une échéance et une preuve attendue. Vérifiez les exclusions de l’Annexe A. Une mesure déclarée applicable doit avoir une traduction opérationnelle vérifiable.

5. Déployer et observer. Mettez en œuvre les procédures et les protections retenues. Formez les personnes concernées. Conservez des résultats réels : revues d’accès, tests de restauration, évaluations de fournisseurs ou exercices de gestion d’incident.

6. Évaluer sans complaisance. Réalisez l’audit interne avec l’objectivité nécessaire. Présentez à la direction les résultats, les risques, les ressources et les décisions attendues. Recherchez les causes des écarts, puis vérifiez l’efficacité des corrections.

7. Préparer l’audit externe et la suite. Organisez les preuves par exigence et préparez les responsables à expliquer leurs pratiques. Après certification, maintenez un calendrier de contrôles, de revues et de mises à jour plutôt qu’un rattrapage avant chaque audit.

Comment Domyno soutient ce travail

Domyno associe une plateforme SaaS à un expert humain dédié. Les agents préparent le travail ; l’humain valide. Cette répartition aide à structurer les livrables tout en conservant une validation contextualisée des choix.

L’analyse de risques, avec EBIOS RM et ISO 27005, permet d’organiser le raisonnement. Le module Contrôles & conformité rassemble une bibliothèque commune de contrôles, les preuves, les plans d’action et la SoA. La documentation accueille les politiques et leurs versions. L’objectif est de conserver des éléments cohérents plutôt que plusieurs dossiers contradictoires.

Sources et point de départ

Les références principales sont la présentation officielle ISO/IEC 27001:2022 et l’amendement climatique de 2024. Utilisez le texte normatif pour vérifier vos obligations précises et convenez des modalités d’audit avec votre organisme de certification.

Pour examiner votre périmètre, vos preuves disponibles et les prochaines décisions à prendre, demandez une démonstration.