Qu'est-ce que l'ISO 27001 ? Un guide en langage clair sur la norme de sécurité de l'information

L'ISO 27001 est une norme internationale, publiée conjointement par l'Organisation internationale de normalisation et la Commission électrotechnique internationale, qui définit les exigences applicables à un système de management de la sécurité de l'information. La version actuelle est l'ISO/IEC 27001:2022.

L'idée maîtresse est le système de management, généralement abrégé en ISMS. Un ISMS n'est pas un produit que l'on installe. C'est un ensemble de politiques, de processus, de responsabilités et d'enregistrements qui, pris ensemble, permettent à votre organisation de gérer la sécurité de l'information de manière réfléchie et reproductible. La norme s'intéresse moins aux outils précis que vous utilisez qu'à savoir si vous comprenez vos risques, avez décidé comment y répondre et pouvez démontrer que le système continue de fonctionner dans le temps.

Parce qu'elle repose sur les risques, l'ISO 27001 ne vous remet pas une liste figée de choses que chaque entreprise doit faire. Elle vous demande plutôt d'évaluer les risques pesant sur vos informations, de décider comment les traiter et de justifier vos choix. C'est pourquoi deux organisations certifiées peuvent sembler très différentes de l'intérieur tout en étant l'une et l'autre pleinement conformes.

Il convient de distinguer deux numéros que vous rencontrerez. L'ISO 27001 est la norme certifiable, les exigences au regard desquelles vous êtes évalué. L'ISO 27002 est un document d'orientation complémentaire qui explique comment les contrôles peuvent être mis en œuvre. Vous êtes certifié selon la 27001 ; vous consultez la 27002 pour obtenir des conseils.

Le corps principal de l'ISO 27001 est organisé en clauses. Les clauses 1 à 3 sont introductives. Les exigences au regard desquelles vous êtes réellement audité figurent dans les clauses 4 à 10, et ensemble elles décrivent le cycle de vie de l'exploitation d'un ISMS.

Clause 4, Contexte de l'organisation. Vous définissez ce que couvre votre ISMS, qui sont vos parties intéressées, telles que les clients, les régulateurs et le personnel, et ce qu'elles attendent de vous. C'est également ici que vous fixez le périmètre, la limite de ce qui est inclus et de ce qui ne l'est pas.

Clause 5, Leadership. La direction doit s'approprier l'ISMS, définir une politique de sécurité de l'information et attribuer des rôles et des responsabilités clairs. La sécurité ne peut pas être discrètement déléguée à un seul ingénieur puis oubliée.

Clause 6, Planification. C'est le cœur de la norme. Vous réalisez une évaluation des risques pour identifier ce qui pourrait mal tourner, puis un plan de traitement des risques pour décider quoi faire face à chaque risque. Vous fixez aussi des objectifs de sécurité mesurables.

Clause 7, Support. Les ressources, les personnes, les compétences, la sensibilisation et les informations documentées nécessaires au fonctionnement du système. Cela comprend la formation du personnel et la maîtrise des enregistrements.

Clause 8, Fonctionnement. Faire réellement ce que vous avez planifié : conduire l'évaluation et le traitement des risques selon un calendrier et conserver des preuves que les contrôles fonctionnent au quotidien.

Clause 9, Évaluation des performances. Mesurer si l'ISMS fonctionne au moyen de la surveillance, des audits internes et d'une revue de direction formelle menée par la direction.

Clause 10, Amélioration. Traiter ce qui tourne mal par des actions correctives et améliorer continuellement le système. L'ISO 27001 attend de l'ISMS qu'il s'améliore avec le temps, et non qu'il reste figé après la certification.

Les clauses 4 à 10 vous indiquent comment faire fonctionner le système de management. L'Annex A est le menu des contrôles de sécurité dans lequel vous puisez lorsque vous décidez comment traiter vos risques. L'édition 2022 a réorganisé et modernisé cette liste.

Il y a désormais 93 contrôles, regroupés en quatre thèmes plutôt qu'en de nombreuses catégories comme dans l'ancienne version de 2013. Les quatre thèmes sont les contrôles organisationnels, les contrôles liés aux personnes, les contrôles physiques et les contrôles technologiques.

Les contrôles organisationnels, au nombre de 37, couvrent les politiques, les rôles, les relations avec les fournisseurs, la gestion des incidents et d'autres sujets de gouvernance similaires. Les contrôles liés aux personnes, au nombre de 8, couvrent la vérification, la sensibilisation, les responsabilités et la conduite du personnel. Les contrôles physiques, au nombre de 14, couvrent les bureaux, les équipements, les zones sécurisées et l'accès physique. Les contrôles technologiques, au nombre de 34, couvrent les mesures techniques telles que le contrôle d'accès, le chiffrement, la journalisation, les sauvegardes et le développement sécurisé.

La mise à jour de 2022 a également introduit plusieurs contrôles plus récents qui reflètent la manière dont les organisations travaillent aujourd'hui, notamment le renseignement sur les menaces, la sécurité de l'information pour les services cloud, le masquage des données, la prévention des fuites de données et le codage sécurisé.

Point essentiel, vous n'êtes pas tenu de mettre en œuvre chaque contrôle. Vous examinez chacun d'eux au regard de votre évaluation des risques et consignez lesquels s'appliquent, lesquels ne s'appliquent pas et pourquoi, dans un document appelé Statement of Applicability (déclaration d'applicabilité). La Statement of Applicability est l'un des artefacts centraux qu'un auditeur examinera, car elle expose le raisonnement qui sous-tend vos choix.

La certification ISO 27001 est délivrée par un organisme de certification indépendant, et non par celui qui vous a aidé à vous préparer. Un cabinet de conseil ou un studio peut vous accompagner, construire l'ISMS avec vous et conduire un audit à blanc, mais il ne peut pas délivrer le certificat. Cette séparation est voulue et c'est elle qui confère sa crédibilité au certificat.

Les organismes habilités à délivrer un certificat reconnu sont eux-mêmes accrédités par un organisme national d'accréditation, qui veille à leur compétence et à leur indépendance. Lorsque vous choisissez un organisme de certification, vérifier qu'il est dûment accrédité est important, car un certificat non accrédité pèse bien moins auprès des clients.

L'évaluation se déroule en deux étapes. L'étape 1 est une revue documentaire. L'auditeur vérifie que votre ISMS existe sur le papier, que votre périmètre, vos politiques, votre évaluation des risques et votre Statement of Applicability sont en place et cohérents, et que vous êtes prêt pour l'audit plus approfondi. Elle fait souvent apparaître des écarts que vous avez encore le temps de corriger.

L'étape 2 est l'audit principal. L'auditeur recueille des preuves que votre ISMS n'est pas seulement couché sur le papier mais fonctionne réellement : que les contrôles s'exécutent, que les enregistrements sont conservés, que les incidents sont traités et que les revues de direction ont lieu. Si vous réussissez, l'organisme délivre un certificat, généralement valable trois ans.

La certification n'est pas un événement ponctuel. Durant ces trois années, l'organisme réalise des audits de surveillance, habituellement annuels, pour confirmer que l'ISMS fonctionne toujours, puis un audit complet de recertification à la fin du cycle. La norme suppose que vous maintenez le système en vie, et non que vous vous préparez une fois pour vous reposer ensuite.

L'ISO 27001 est volontaire. Aucune loi n'oblige une entreprise ordinaire à la détenir. En pratique, la demande est portée par les clients et les marchés plutôt que par les régulateurs.

Elle compte surtout pour les éditeurs de logiciels et les entreprises SaaS qui vendent à de grandes organisations, les fournisseurs de services gérés, les sous-traitants de données et toute entreprise dont les clients mènent des revues de sécurité fournisseurs formelles. Dans de nombreux processus d'achat des grands comptes et du secteur public, un certificat ISO 27001 accrédité raccourcit ou remplace un long questionnaire de sécurité.

Elle est aussi fréquente lors d'un développement à l'international, car l'ISO 27001 est reconnue dans le monde entier et apporte une réponse unique et transposable à la question de savoir si vous prenez la sécurité au sérieux.

Vous n'en avez probablement pas encore besoin si aucun client ne vous la demande, si vous traitez peu de données sensibles et si vous avez des risques produit plus urgents. Cela dit, prendre tôt de bonnes habitudes de sécurité rend une éventuelle certification bien moins pénible, et la discipline des clauses 4 à 10 est précieuse même avant de viser un certificat.

Il convient de noter en quoi l'ISO 27001 diffère de SOC 2, avec lequel les lecteurs la confondent souvent. L'ISO 27001 certifie que votre système de management répond à une norme définie et est délivrée par un organisme de certification accrédité. SOC 2 est un rapport d'attestation produit par un cabinet CPA agréé au regard de critères de confiance définis. Ils se recoupent largement sur le fond mais diffèrent par le format et par celui qui émet le résultat.

La préparation est plus abordable que ne le laisse supposer la formulation dense de la norme. Pour l'essentiel, il s'agit de mettre par écrit et de suivre avec constance ce que votre équipe fait déjà, puis de combler les véritables écarts.

Définissez d'abord votre périmètre. Décidez quels produits, systèmes, équipes et sites l'ISMS couvre. Un périmètre resserré et honnête est plus facile à certifier qu'un périmètre trop ambitieux.

Impliquez réellement la direction. La clause 5 n'est pas une formalité ; les auditeurs perçoivent quand la direction a signé une politique sans s'y engager. Désignez un responsable clair de l'ISMS.

Menez une véritable évaluation des risques. Identifiez vos actifs informationnels et ce qui pourrait les menacer, puis décidez pour chaque risque de le traiter, de l'accepter, de le transférer ou de l'éviter. Cela guide tout le reste, y compris les contrôles de l'Annex A que vous retenez.

Rédigez les documents essentiels : une politique de sécurité de l'information, l'évaluation des risques et le plan de traitement, ainsi que la Statement of Applicability. Gardez-les lisibles, car ce sont des personnes qui doivent les suivre.

Mettez en œuvre les contrôles que vous avez retenus, puis exploitez-les assez longtemps pour produire des preuves. Les auditeurs veulent voir le système fonctionner, constituez donc quelques mois d'enregistrements, de journaux et de réunions de revue avant l'audit de l'étape 2.

Réalisez un audit interne et une revue de direction avant l'arrivée de l'organisme de certification. Trouver et corriger vos propres écarts en premier est précisément ce que demandent les clauses 9 et 10, et cela rend l'audit externe bien plus fluide.

Un studio spécialisé tel que tr3labs, fondé en 2024, peut vous aider à définir le périmètre de l'ISMS, à mener l'évaluation des risques, à constituer la documentation et à préparer l'audit. Le certificat lui-même provient toujours d'un organisme de certification indépendant et accrédité, jamais du cabinet qui vous a aidé à vous préparer.