ISO 27001 : la checklist pour start-up, étape par étape

Sept blocs composent une checklist ISO 27001 pour start-up : périmètre, direction, risques, ressources, mesures de sécurité, preuves et amélioration. Chacun correspond à une exigence précise de la norme ISO 27001:2022, et vous les traitez dans cet ordre.

La norme décrit un système de management de la sécurité de l'information (SMSI). Ce n'est ni un logiciel ni un produit, mais une façon documentée et vérifiable de protéger vos informations et celles de vos clients. Une start-up de huit personnes n'a pas le même SMSI qu'une banque, et la norme l'admet.

Ce que la norme demande vraiment à une start-up

Les clauses 4 à 10 suivent la structure commune des normes de management et fixent les exigences obligatoires : contexte de l'organisation, leadership, planification, support, fonctionnement, évaluation des performances, amélioration. L'annexe A y ajoute un catalogue de 93 mesures de sécurité, classées en quatre thèmes : organisationnel, humain, physique et technologique.

Personne n'applique les 93 mesures à l'aveugle. Vous évaluez vos risques, retenez les mesures qui y répondent et justifiez chaque choix dans la déclaration d'applicabilité, le premier document qu'un auditeur réclame.

Une start-up compte peu de systèmes et peu de sites, et elle décide vite. Son défaut habituel : tout se trouve dans la tête du fondateur. La checklist ci-dessous sert à mettre ces pratiques par écrit.

Étape 1 : définir le contexte et le périmètre (clause 4)

Commencez par trois questions.

• Quelles informations sont critiques pour votre activité : code source, données clients, contrats, données financières, accès aux infrastructures ?
• Qui a des attentes envers vous : clients, investisseurs, partenaires, autorités ?
• Quelle partie de l'entreprise le SMSI couvre-t-il ?

Le périmètre est une décision, pas une formalité. Pour un produit SaaS, il peut couvrir l'équipe produit, l'infrastructure cloud et le support client. Notez ce qui est inclus, ce qui est exclu et pourquoi. Trop large, il vous noie sous les documents. Trop étroit, il ne dit plus rien à vos clients.

Étape 2 : engager la direction et fixer les rôles (clause 5)

Dans une start-up, la direction, c'est vous, et la norme exige un engagement visible. Il se traduit par trois éléments :

• une politique de sécurité de l'information courte, signée et communiquée à l'équipe ;
• un responsable désigné pour le SMSI, même si c'est le CEO ou le CTO à temps partiel ;
• des rôles et responsabilités écrits, y compris pour la gestion des incidents.

Une politique d'une page que l'équipe lit vaut mieux que quinze pages que personne n'ouvre.

Étape 3 : analyser les risques (clause 6)

La clause 6 est le cœur de la norme : définir une méthode d'appréciation des risques, l'appliquer, puis décider d'un traitement pour chaque risque retenu.

Une méthode simple suffit. Pour chaque actif important, notez la menace, la probabilité, l'impact et le niveau de risque obtenu, puis fixez le seuil à partir duquel vous agissez. Risques typiques en start-up :

• perte ou vol d'un ordinateur portable non chiffré ;
• compte administrateur cloud sans authentification renforcée ;
• départ d'un développeur qui conserve ses accès ;
• fournisseur critique qui tombe en panne ou subit une fuite ;
• sauvegardes jamais testées.

Vous en tirez deux documents, le registre des risques et le plan de traitement, dont découle la déclaration d'applicabilité. Ajoutez des objectifs de sécurité mesurables, par exemple le délai de retrait des accès après un départ. La version 2022 exige aussi de planifier les modifications du SMSI : un changement important se fait de manière maîtrisée.

Étape 4 : réunir les ressources et les compétences (clause 7)

La clause 7 regroupe ce qui soutient le système : ressources, compétences, sensibilisation, communication et informations documentées.

• Vérifiez que chaque personne qui touche à des données sensibles sait ce qu'on attend d'elle.
• Organisez une sensibilisation courte et régulière : hameçonnage, mots de passe, appareils personnels, partage de fichiers.
• Gardez une trace de ces sessions, même une simple liste de présence datée.
• Décidez qui communique quoi, à qui et quand, notamment en cas d'incident.
• Tenez vos documents à jour, avec un propriétaire et une date de révision.

La norme n'exige pas un manuel épais. Elle exige que les documents nécessaires existent, soient maîtrisés et soient utilisés.

Étape 5 : appliquer les mesures de sécurité (clause 8 et annexe A)

La clause 8 demande de mettre en œuvre ce qui a été planifié, de refaire les appréciations de risques à intervalles réguliers et de traiter les risques. L'annexe A entre en jeu ici. Dans la déclaration d'applicabilité d'une start-up, on retrouve presque toujours les mesures suivantes :

• Gestion des accès : droits attribués selon le besoin, revue périodique, retrait immédiat au départ.
• Authentification : mots de passe robustes, gestionnaire de mots de passe, authentification à deux facteurs sur les services critiques.
• Sauvegardes : copies régulières, stockées séparément, avec un test de restauration documenté.
• Journalisation : traces des accès et des actions sur les systèmes sensibles.
• Fournisseurs et services cloud : liste des prestataires, évaluation de leur niveau de sécurité, clauses contractuelles.
• Gestion des vulnérabilités et des changements : mises à jour, revue du code, séparation des environnements de test et de production.
• Gestion des incidents : procédure simple, point de contact, registre des événements.
• Poste de travail et télétravail : chiffrement des disques, verrouillage d'écran, règles pour les appareils personnels.
• Locaux : contrôle d'accès de base, même pour un espace de coworking.

Chaque mesure exclue reçoit sa raison par écrit. Une start-up entièrement en télétravail n'a pas les mêmes mesures physiques qu'une entreprise dotée d'un centre de données.

Étape 6 : mesurer, auditer, corriger (clauses 9 et 10)

Un SMSI jamais vérifié ne vaut rien. La clause 9 demande trois choses : suivre des indicateurs, réaliser un audit interne et tenir une revue de direction.

• Choisissez quelques indicateurs : nombre d'incidents, délai de correction, taux de personnes formées.
• Faites un audit interne au moins une fois par cycle, idéalement par une personne qui n'a pas conçu le système.
• Tenez une revue de direction et conservez le compte rendu.

La clause 10 impose de traiter les non-conformités, d'appliquer des actions correctives et de montrer une amélioration continue. Un registre des écarts avec les colonnes « cause », « action » et « date de clôture » couvre l'essentiel.

La checklist ISO 27001 pour start-up

Cochez uniquement ce que vous pouvez prouver par un document, un enregistrement ou une capture.

• Le périmètre du SMSI est écrit, avec les exclusions justifiées.
• Les parties intéressées et leurs attentes sont listées.
• La politique de sécurité de l'information est signée et communiquée.
• Un responsable du SMSI est nommé, les rôles sont écrits.
• Une méthode d'appréciation des risques est définie.
• Le registre des risques et le plan de traitement existent.
• La déclaration d'applicabilité justifie chaque mesure retenue ou exclue.
• Des objectifs de sécurité mesurables sont fixés.
• Une sensibilisation de l'équipe a eu lieu et est tracée.
• L'inventaire des actifs et des fournisseurs critiques est à jour.
• Les accès sont attribués par rôle et revus périodiquement.
• L'authentification à deux facteurs est active sur les services critiques.
• Les sauvegardes sont testées et le test est documenté.
• Une procédure de gestion des incidents est connue de l'équipe.
• Les indicateurs sont suivis.
• Un audit interne a été réalisé.
• Une revue de direction a été tenue et consignée.
• Les écarts sont enregistrés avec une action corrective.

Quand la voie classique avec audit sur site est le meilleur choix

Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur site. Il est émis par G6 Agency AG sous licence de SICE, le Swiss Institute of Certification and Education.

Si un appel d'offres, un contrat client ou un régulateur exige explicitement un audit sur site par un organisme de certification, seule la voie classique répond à l'exigence. C'est fréquent dans les secteurs réglementés et chez certains grands donneurs d'ordre. Notre guide sur la différence entre la voie classique et le certificat Zertify détaille cette frontière.

Dans les autres cas, une démarche structurée suffit : rassurer un client sur votre sérieux, préparer un futur audit, organiser votre sécurité sans attendre. Notre explication sur la certification ISO sans audit externe précise ce que cette voie permet et ce qu'elle ne permet pas.

Relisez toujours le texte exact de l'exigence avant de choisir. La mention « certification ISO 27001 » sans précision sur la méthode d'audit laisse parfois de la marge. Posez la question à votre interlocuteur plutôt que de supposer.

Où Zertify s'intègre

Vous répondez à une auto-évaluation alignée sur ISO 27001:2022. Après une évaluation réussie et le paiement, le certificat est émis dans un délai de 4 heures.

Cette voie convient à une start-up qui veut documenter son niveau de maturité, rassurer ses clients ou préparer le terrain avant un audit sur site par un organisme de certification. Les conditions et les montants figurent sur la page des tarifs. Vous pouvez aussi démarrer l'évaluation pour voir où vous en êtes. Mieux vaut le faire après avoir parcouru la checklist : les réponses viennent plus vite et sont plus précises.

Erreurs fréquentes à éviter

• Copier des modèles sans les adapter. Une politique qui décrit des outils que vous n'utilisez pas se remarque tout de suite.
• Viser un périmètre trop grand. Commencez par le cœur de l'activité, vous élargirez ensuite.
• Oublier les preuves. Une mesure sans trace n'existe pas aux yeux d'un auditeur.
• Traiter la sécurité comme un projet ponctuel. La norme repose sur un cycle : planifier, faire, vérifier, corriger.
• Négliger les fournisseurs. Votre sécurité dépend aussi de celle de votre hébergeur et de vos outils.

Quelques semaines de travail ciblé suffisent pour construire un SMSI crédible, que de petites actions régulières maintiennent ensuite. Ce qui compte, c'est que vos documents décrivent ce que vous faites réellement.