Avant de commencer
ISO/IEC 27001:2022, troisième édition publiée en octobre 2022, fixe les exigences d'un système de management de la sécurité de l'information (SMSI). L'édition de 2013 est annulée. Un amendement paru en 2024 porte sur les actions en lien avec le climat.
La certification n'est pas obligatoire, et certaines organisations appliquent la norme sans la viser. Si vous la visez, choisissez un organisme accrédité : l'ISO y voit un gage de confiance supplémentaire, et en France l'accréditation relève du COFRAC, seule instance d'accréditation. L'étude ISO 2022 comptait plus de 70 000 certificats valides dans 150 pays.
Sa voisine, l'ISO/IEC 27002, n'est pas certifiable : c'est un recueil de recommandations sur les mesures de sécurité.
ISO/IEC 27001:2022, ISOAmendement 1:2024, ISOISO/IEC 27002:2022, ISOCOFRACDans quel ordre s'y prendre
La norme ne dit pas par quoi commencer. Notre parti pris, si vous partez de zéro :
- Le périmètre d'abord.Il dit ce que l'auditeur viendra voir. Un premier périmètre étroit et bien tenu vaut mieux qu'un périmètre large qu'on ne sait pas prouver.
- L'appréciation des risques ensuite, avant toute politique.Les mesures, la déclaration d'applicabilité et les politiques en découlent. Écrites avant elle, elles seront à reprendre.
- La déclaration d'applicabilité, tirée du plan de traitement.L'ANSSI la décrit comme une pièce maîtresse du SMSI. Une mesure retenue y répond à un risque ou à une exigence ; une mesure écartée y a sa justification.
- Les preuves au fil de l'eau.Comptes rendus, indicateurs, revues datées : un système de management se juge dans la durée, pas sur un dossier réuni la veille.
- Un audit interne et une revue de direction complets, avant l'audit de certification.Ce sont les deux mécanismes par lesquels le système se corrige lui-même ; mieux vaut les avoir fait tourner une fois.
La liste de contrôle
Une ligne se coche quand sa preuve existe, pas quand le sujet a été discuté.
Cadrer
- Le périmètre est écrit : activités, sites, systèmes, interfaces et dépendances, et chaque exclusion est justifiée.
- Les enjeux internes et externes, les parties intéressées et leurs attentes sont recensés, exigences légales et contractuelles comprises.
- La direction s'engage par écrit : politique de sécurité approuvée, rôles et responsabilités attribués, moyens accordés.
Apprécier et traiter les risques
- Une méthode d'appréciation des risques est choisie et décrite, avec ses critères d'acceptation : EBIOS RM ou ISO/IEC 27005, par exemple.
- Chaque risque identifié a un propriétaire, une cotation et une option de traitement.
- Le plan de traitement fixe les mesures, les responsables et les échéances ; les propriétaires l'approuvent et acceptent les risques résiduels.
- La déclaration d'applicabilité justifie chaque mesure de l'annexe A, retenue ou écartée, et dit où en est sa mise en œuvre.
Mettre en œuvre
- Les objectifs de sécurité sont mesurables, avec un responsable et une échéance.
- Les compétences nécessaires sont identifiées ; les personnes sont formées et sensibilisées.
- Les documents exigés existent, approuvés, versionnés et accessibles à ceux qui en ont besoin.
- Les mesures retenues sont en place, et des preuves datées le montrent.
Mesurer et corriger
- Des indicateurs disent si les mesures fonctionnent, et quelqu'un les suit.
- Le programme d'audit interne couvre tout le périmètre ; aucun auditeur ne contrôle son propre travail.
- La direction a tenu une revue du système de management, et ses décisions sont tracées.
- Chaque non-conformité a une cause analysée, une action corrective et un suivi jusqu'à sa clôture.
Choisir l'organisme
- L'organisme de certification est accrédité pour l'ISO/IEC 27001 ; en France, l'accréditation est délivrée par le COFRAC.
- Son programme d'audit, sa durée et son calendrier sont connus avant la signature.
L'audit de certification
Le déroulé de l'audit, sa durée et la fréquence des audits suivants relèvent de l'organisme choisi, lui-même tenu par la norme ISO/IEC 17021-1, qui fixe les exigences applicables aux organismes qui auditent et certifient les systèmes de management. Demandez son programme avant de signer, et comparez plusieurs organismes accrédités.
ISO/IEC 17021-1:2015, ISOSources
- ISO/IEC 27001:2022, Sécurité de l'information, cybersécurité et protection de la vie privée, Systèmes de management de la sécurité de l'information, ExigencesISOÉdition 3, publiée en octobre 2022Consulté le 29 octobre 2026
- ISO/IEC 27001:2022/Amd 1:2024, Changements concernant les actions en lien avec le climatISOAmendement 1, 2024Consulté le 29 octobre 2026
- ISO/IEC 27002:2022, Sécurité de l'information, cybersécurité et protection de la vie privée, Mesures de sécurité de l'informationISOÉdition 3, février 2022Consulté le 29 octobre 2026
- ISO/IEC 17021-1:2015, Évaluation de la conformité, Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management, Partie 1 : ExigencesISOÉdition 1, 2015, confirmée en 2020Consulté le 29 octobre 2026
- Cofrac : certification, accréditation, organismes accréditésCOFRACPage en ligne, sans date affichéeConsulté le 29 octobre 2026
- L'homologation de sécurité des systèmes d'informationANSSI et DINUMPublié le 1er avril 2025Consulté le 29 octobre 2026
Dans OutilGRC
Le plan de la norme est livré sans son texte : 30 exigences des chapitres 4 à 10 et 93 mesures de l'annexe A, avec des intitulés et des résumés rédigés par OutilGRC. Le texte officiel, vous l'importez vous-même, acheté sous votre licence ; il ne part vers l'IA que si vous déclarez que votre licence le permet.
Les campagnes d'évaluation exigent leurs preuves, et chaque mesure incomplète reçoit une action dès la réponse. Les documents SSI suivent leur approbation, leurs revues et leurs accusés de lecture ; le registre des risques accepte la méthode de votre choix : EBIOS RM, ISO 27005, NIST SP 800-30 ou méthode interne.
