Dans un contexte où les cyberattaques se multiplient, la sécurité informatique est devenue un impératif pour toutes les organisations. La norme iso 27001 offre un cadre structuré pour gérer les risques liés aux informations et pour prouver votre sérieux auprès de vos parties prenantes.
Mais iso 27001 c’est quoi exactement ? Dans cet article, nous répondrons aux grandes questions autour de l’iso/iec 27001, de la certification iso 27001, de la démarche à suivre et des points de vigilance.
Qu’est‑ce que l’iso 27001 (iso 27001 c’est quoi) ?
La norme iso 27001 — souvent mentionnée comme iso/iec 27001 ou iso/cei 27001 selon la traduction — est un standard international qui définit les exigences pour établir, implémenter, maintenir et améliorer un Système de Management de la Sécurité de l’Information (SMSI). Elle fait partie de la famille ISO 27000.
Elle vise à garantir trois principes fondamentaux :
- la confidentialité (seules les personnes autorisées peuvent accéder à l’information)
- l’intégrité (l’information ne doit pas être modifiée de manière non autorisée)
- la disponibilité (l’information doit rester accessible quand elle est nécessaire)
En choisissant de se conformer à iso 27001, une organisation montre qu’elle maîtrise les risques liés à ses actifs informationnels (données, systèmes, documents, processus).
La version la plus récente est ISO/IEC 27001:2022, publiée pour prendre en compte l’évolution des menaces et des bonnes pratiques.
Pourquoi viser une certification iso 27001 ?
Quels sont les bénéfices d’une certification iso 27001 ?
- La certification iso 27001 permet à une entreprise de démontrer de façon indépendante et reconnue son engagement envers la gestion sécurisée des informations.
- Elle renforce la confiance des clients, partenaires, investisseurs, voire des autorités réglementaires.
- Elle permet souvent de répondre à des appels d’offres exigeant une norme de sécurité reconnue.
- En interne, elle structure les processus de gestion des risques, améliore la gouvernance et encourage une culture de normes ISO au sein de l’entreprise.
- Elle peut également entraîner des gains d’efficacité, une réduction des incidents de sécurité et une meilleure résilience aux attaques.
Quels sont les limites ou défis de la certification ?
- Le coût (financier, ressources humaines) de mise en œuvre et de maintien.
- La lourdeur du travail documentaire, des audits et de la preuve de conformité.
- Le besoin de mobilisation constante : ce n’est pas un projet ponctuel mais un système vivant qu’il faut alimenter.
- Le risque de conformité de façade si les mesures ne sont pas réellement appliquées ou adaptées au contexte métier.
Comment obtenir la certification iso 27001 (processus) ?
Quelles sont les étapes pour obtenir la certification iso 27001 ?
- Définir le périmètre du SMSI - Vous choisissez les parties de votre organisation (services, sites, activités) que vous incluez dans le périmètre de la certification.
- Mener une analyse de risques - Identifier vos actifs (informations, systèmes, personnel), les menaces, les vulnérabilités, puis évaluer les risques.
- Déterminer les mesures de sécurité - À partir de l’analyse, sélectionner des mesures appropriées pour traiter ou réduire les risques, en s’appuyant notamment sur l’annexe A de la norme.
- Documenter le SMSI - Politiques de sécurité, procédures, instructions, plan de traitement des risques, registre des risques, etc.
- Formation et sensibilisation - Impliquer les collaborateurs et les former aux bonnes pratiques, aux rôles et responsabilités en matière de sécurité.
- Audit interne et revue de direction - Vérifier que le système est bien en place, qu’il fonctionne, et que la direction s’engage.
- Audit externe de certification - Un organisme indépendant réalise l’audit en deux phases : examen documentaire puis évaluation sur site.
- Maintien et amélioration continue - Audits de surveillance, traitement des non‑conformités, ajustements périodiques, renouvellement de la certification tous les 3 ans.
Comment se déroule un audit de certification iso 27001 ?
Lors de l’audit, l’organisme vérifie que vous respectez les exigences des clauses de la norme (clauses 4 à 10) et que vous avez justifié l’application des mesures de l’annexe A dans votre contexte. En cas de non‑conformités, vous devez mettre en place des actions correctives dans un délai donné. Si tout est conforme, la certification iso 27001 est délivrée pour trois ans.
Que contient l’annexe A (iso 27001 annexe a) ?
L’annexe A de la norme iso 27001 liste un ensemble de 93 contrôles de sécurité (dans la version 2022) regroupés en quatre catégories :
- Organisationnel
- Humain / sensibilisation
- Physique
- Technologique
Ces contrôles sont des points de vigilance potentiels qu’une organisation peut choisir d’appliquer ou non selon son contexte, en justifiant ceux qui ne sont pas retenus. Ils servent de référentiel pour bâtir le plan de traitement des risques.
iso/iec 27001 vs iso 27001 vs iso/cei 27001 : quelles différences ?
- iso/iec 27001 est la dénomination officielle, car la norme est coéditée par ISO et la Commission électrotechnique internationale (IEC).
- iso 27001 est une forme abrégée couramment utilisée dans le langage métier.
- iso/cei 27001 est simplement la traduction française de iso/iec 27001.
Dans les faits, tous ces termes désignent la même norme internationale.
Questions fréquemment posées
L’iso 27001 est‑elle une norme uniquement technique ?
Non. Elle couvre non seulement des aspects techniques (sécurité des systèmes, cryptographie, contrôle d’accès) mais aussi des dimensions organisationnelles (gouvernance, rôles, processus) et humaines (sensibilisation, formation).
Est‑ce que toute entreprise peut envisager la certification iso 27001 ?
Oui, du plus petit au plus grand, quel que soit le secteur d’activité. La norme est adaptable selon la taille, les moyens et le risque que l’entreprise est prête à accepter.
Combien de temps faut‑il pour obtenir la certification iso 27001 ?
Cela dépend fortement du niveau de maturité initial, de la taille du périmètre et des ressources. Cela peut varier de quelques mois à plus d’un an.
Modèle de résiliation de contrat de maintenance informatique
Téléchargez gratuitement