La demande de certification ISO/IEC 27001 vient de plus en plus souvent de l’extérieur : questionnaire d’un acheteur, due diligence d’un partenaire, revue d’un investisseur. La tentation est alors de la traiter comme un livrable de conformité à obtenir au plus vite. Or la norme exige quelque chose de plus exigeant, et de plus utile : un système de management de la sécurité de l’information (SMSI) piloté par la direction, fondé sur les risques propres à l’organisation et dont le fonctionnement peut être démontré dans la durée.
Ce guide présente les exigences de l’édition 2022, le déroulement de la certification et les points qui requièrent l’attention de la direction. Une distinction le traverse de part en part : un cabinet de conseil peut préparer une organisation à la certification, mais seul un organisme certificateur accrédité peut la certifier, et aucun conseil ne peut garantir l’issue de cet audit.
Ce que la norme exige réellement
L’ISO/IEC 27001:2022 repose sur deux volets complémentaires. Les chapitres 4 à 10 fixent les exigences du système de management : compréhension du contexte et des parties intéressées, engagement de la direction et politique de sécurité, planification fondée sur les risques et objectifs, ressources et compétences, maîtrise opérationnelle, évaluation des performances et amélioration continue. L’annexe A propose ensuite un référentiel de 93 mesures de sécurité, regroupées en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques.
Les mesures de l’annexe A ne constituent pas une liste à appliquer intégralement. Elles servent de référence pour vérifier que le traitement des risques n’a omis aucune mesure nécessaire. La certification évalue donc un dispositif de gouvernance et de décision, et non un simple catalogue de mesures techniques.
Le périmètre, première décision stratégique
Le périmètre du SMSI définit les activités, sites, équipes, informations et systèmes couverts ; il figure sur le certificat. Trop restreint, il risque de ne pas répondre aux attentes des clients qui ont demandé la certification ; trop large, il peut rendre le premier cycle ingérable. Il doit être construit à partir des services et des informations qui comptent pour les parties prenantes, en identifiant et en traitant clairement les interfaces et dépendances avec ce qui reste hors périmètre : fonctions groupe, fournisseurs cloud, activités externalisées.
Le périmètre suppose également une bonne compréhension du contexte : enjeux internes et externes ayant une incidence sur la sécurité de l’information, exigences légales, réglementaires et contractuelles applicables, attentes des parties intéressées (clients, autorités, collaborateurs). Il ne s’agit pas de formalités : ces éléments déterminent les risques que le SMSI doit traiter et les engagements qu’il doit pouvoir démontrer. Pour les obligations de nature juridique ou réglementaire, l’interprétation retenue doit être confirmée avec des juristes qualifiés.
Appréciation des risques, traitement et déclaration d’applicabilité
Au cœur du SMSI se trouve une méthode définie et reproductible pour identifier, analyser et évaluer les risques de sécurité de l’information, avec des propriétaires de risques et des critères d’acceptation validés par la direction. Chaque risque significatif fait ensuite l’objet d’un traitement : réduction par des mesures, évitement, transfert ou acceptation formelle. Le plan de traitement qui en résulte est approuvé par les propriétaires de risques, qui acceptent également les risques résiduels.
La déclaration d’applicabilité (DdA) recense les mesures de l’annexe A jugées nécessaires, leur état de mise en œuvre et la justification de chaque inclusion ou exclusion. Les auditeurs s’y réfèrent constamment, et c’est aussi un document de pilotage précieux pour la direction : une vue synthétique de la manière dont l’organisation a choisi de protéger son information, et des raisons de ces choix.
Faire vivre le SMSI avant l’audit
Les auditeurs de certification cherchent la preuve que le système fonctionne, pas seulement qu’il est rédigé. Avant l’audit de certification, le SMSI doit avoir fonctionné suffisamment longtemps pour produire des enregistrements : revues de risques, traitement des incidents, revues des habilitations, évaluations des fournisseurs, actions de sensibilisation, suivi des objectifs de sécurité. Deux étapes sont indispensables et souvent sous-estimées : un audit interne couvrant les exigences du SMSI, mené par des auditeurs compétents et objectifs, et une revue de direction documentée, au cours de laquelle la direction examine les performances, les risques, les résultats d’audit et les pistes d’amélioration.
Le déroulement de la certification
La certification est délivrée par un organisme certificateur indépendant, de préférence accrédité par un organisme national d’accréditation reconnu, comme le Cofrac en France. L’audit initial se déroule en deux étapes. L’étape 1 examine la documentation, le périmètre et le niveau de préparation du SMSI, et confirme si l’organisation est prête pour la suite. L’étape 2 évalue, par entretiens, échantillonnage et observation, si le SMSI est effectivement mis en œuvre et efficace. Les non-conformités relevées doivent être traitées par des actions correctives avant toute décision de certification. Une fois délivré, le certificat s’inscrit généralement dans un cycle de trois ans, avec des audits de surveillance au moins annuels et un audit de renouvellement avant son échéance.
Le rôle du conseil, et les questions que la direction doit se poser
Le conseil apporte une réelle valeur ajoutée dans la phase de préparation : analyse d’écarts par rapport à la norme, aide à la définition du périmètre et de la méthode d’appréciation des risques, rédaction des politiques et procédures dont l’organisation sera propriétaire, accompagnement des propriétaires de risques et de mesures, audit à blanc. En revanche, il ne peut ni certifier, ni promettre la conclusion d’un organisme certificateur. Ce dernier doit, de son côté, rester indépendant et ne pas conseiller les organisations qu’il certifie. Cette séparation des rôles fonde la crédibilité du certificat.
- Quels clients, contrats ou marchés motivent la démarche, et quel périmètre y répondra réellement ?
- Qui, au sein du comité de direction, porte le SMSI, et qui est propriétaire de chaque risque significatif ?
- Nos critères d’acceptation des risques sont-ils explicites, et sommes-nous prêts à les défendre ?
- Avons-nous prévu les moyens de faire vivre le SMSI après la certification, et pas seulement de l’obtenir ?
- Notre calendrier est-il réaliste et laisse-t-il au SMSI le temps de produire des preuves crédibles ?
Un certificat atteste qu’un système de management a été jugé conforme à un instant donné ; seule la direction peut le faire tenir entre deux audits.