Aller au contenu

Accompagnement à la certification ISO 27001

Mise en place d'un système de management de la sécurité de l'information, préparation à la certification et amélioration continue.

La norme ISO/IEC 27001 décrit les exigences d'un système de management de la sécurité de l'information (SMSI) : une organisation, des règles et des contrôles qui permettent de maîtriser les risques pesant sur l'information, et de le démontrer à un tiers.

Pour une PME ou une ETI, la difficulté est rarement technique. Elle tient au choix du périmètre, à la charge que le projet fait peser sur les équipes et à la capacité à faire vivre le système une fois l'audit passé. Notre accompagnement vise un SMSI proportionné, que vos équipes comprennent et utilisent.

Les situations auxquelles nous répondons

  • Un client ou un appel d'offres exige la certification ISO 27001.
  • Vous ne savez pas quel périmètre certifier ni quel calendrier prévoir.
  • Vos pratiques de sécurité existent, mais ne sont ni formalisées ni mesurées.
  • Vous êtes certifié et préparez un audit de surveillance ou de renouvellement.

Les étapes de l'accompagnement

  1. Cadrer le périmètre

    Activités, sites, systèmes et parties intéressées couverts par le SMSI ; objectifs et calendrier réalistes.

  2. Établir l'état des lieux

    Analyse des écarts par rapport aux exigences de la norme (chapitres 4 à 10) et aux mesures de l'annexe A.

  3. Apprécier et traiter les risques

    Analyse de risques, choix des mesures de sécurité et rédaction de la déclaration d'applicabilité.

  4. Construire le SMSI

    Politiques, procédures, rôles, indicateurs et sensibilisation : la documentation utile, pas davantage.

  5. Vérifier

    Audit interne à blanc, revue de direction et traitement des non-conformités.

  6. Préparer l'audit de certification

    Préparation des équipes aux entretiens et présence à vos côtés pendant les audits de l'organisme certificateur.

La certification est délivrée par un organisme certificateur accrédité, indépendant d'ISOTOPIC. Notre rôle est de vous y préparer ; la décision appartient à l'auditeur.

Livrables possibles

Les livrables sont arrêtés avec vous avant le démarrage, en fonction de votre besoin et de ce qui existe déjà.

  • Note de cadrage et périmètre du SMSI
  • Rapport d'analyse des écarts
  • Appréciation des risques et plan de traitement
  • Déclaration d'applicabilité
  • Politique de sécurité et procédures associées
  • Programme et rapport d'audit interne
  • Support de revue de direction

Questions fréquentes

Combien de temps faut-il pour préparer une certification ISO 27001 ?

Cela dépend du périmètre retenu, de la maturité de départ et de la disponibilité des équipes. Pour une PME, la préparation s'étale le plus souvent sur plusieurs mois. Un cadrage initial permet d'établir un calendrier réaliste avant de s'engager auprès d'un organisme certificateur.

Faut-il appliquer toutes les mesures de l'annexe A ?

Non. L'annexe A de la version 2022 de la norme propose 93 mesures de référence. Vous retenez celles qui répondent à vos risques et à vos obligations, et vous justifiez les exclusions dans la déclaration d'applicabilité.

Que se passe-t-il après la certification ?

Le certificat est valable trois ans, avec des audits de surveillance périodiques. Le SMSI doit donc continuer à fonctionner : suivi des indicateurs, audits internes, revues de direction et mise à jour de l'analyse de risques.