ISO 27001:2022
ISO 27001 checklist : les points à vérifier avant la certification
Cette checklist suit les clauses 4 à 10 de la norme, puis l'Annexe A. Pour chaque point, vous voyez quelle preuve une entreprise possède en général. Si vous cochez presque tout, vous pouvez passer l'auto-évaluation.
01: Utilisation
Comment utiliser cette checklist ISO 27001
La norme ISO 27001:2022 décrit un système de management de la sécurité de l'information (SMSI). Elle ne prescrit pas un outil ni un produit. Elle exige que vous sachiez quels risques pèsent sur vos informations et que vous puissiez montrer ce que vous faites contre eux.
Parcourez les points ci-dessous dans l'ordre. Pour chacun, posez-vous une seule question : existe-t-il un document, un enregistrement ou une décision datée qui le prouve ? Un point sans preuve n'est pas forcément absent de votre entreprise, il n'est simplement pas encore démontrable.
Les clauses 4 à 10 sont obligatoires. L'Annexe A, elle, sert de catalogue de mesures dans lequel votre appréciation des risques fait le tri.
02: Clauses 4 et 5
Contexte et direction : ce que la clause 4 et la clause 5 demandent
Ces deux clauses fixent le cadre. Elles se vérifient vite, car elles reposent sur quelques documents courts.
Contexte et parties intéressées (clause 4)
Vous avez identifié qui attend quoi de vous : clients, autorités, partenaires, collaborateurs. Preuve habituelle : une liste des parties intéressées avec leurs exigences, par exemple celles d'un questionnaire fournisseur ou d'un contrat.
Périmètre du SMSI (clause 4)
Vous avez défini ce que le système couvre : services, sites, systèmes, équipes. Preuve habituelle : un document de périmètre qui nomme aussi ce qui est exclu, avec la raison.
Politique de sécurité de l'information (clause 5)
La direction a approuvé une politique et l'a communiquée. Preuve habituelle : un document daté et signé, accessible aux collaborateurs.
Rôles et responsabilités (clause 5)
Une personne répond du SMSI et les tâches de sécurité ont un titulaire. Preuve habituelle : un organigramme ou une matrice des rôles, un mandat écrit de la direction.
03: Clauses 6 et 7
Planification et support : risques, objectifs, compétences
La clause 6 est le centre de la norme. C'est ici que vous décidez quelles mesures de l'Annexe A s'appliquent à vous.
Méthode d'appréciation des risques (6.1.2)
Vous disposez d'une méthode reproductible : critères de probabilité et d'impact, seuil d'acceptation. Preuve habituelle : une procédure d'une à deux pages.
Registre des risques et plan de traitement (6.1.3)
Les risques sont listés, évalués et rattachés à une décision : réduire, accepter, transférer ou éviter. Preuve habituelle : un registre avec propriétaire du risque et échéance.
Déclaration d'applicabilité (6.1.3)
Pour chaque mesure de l'Annexe A, vous indiquez si elle s'applique, pourquoi, et où elle est mise en oeuvre. Preuve habituelle : un tableau complet, sans ligne laissée vide.
Objectifs de sécurité (6.2)
Vos objectifs sont mesurables et ont une échéance. Preuve habituelle : trois à cinq objectifs, par exemple un délai maximal pour installer les correctifs critiques.
Compétences et sensibilisation (7.2 et 7.3)
Les collaborateurs connaissent la politique et leur rôle. Preuve habituelle : liste de présence à une formation, rappel d'intégration pour les nouveaux arrivants.
Informations documentées (7.5)
Les documents exigés existent, portent une version et sont tenus à jour. Preuve habituelle : un espace documentaire avec historique des modifications.
04: Clauses 8 à 10
Exploitation, évaluation et amélioration du SMSI
Ces clauses montrent que le système vit. Un auditeur cherche ici des dates, des noms et des suites données.
Mise en oeuvre du traitement des risques (clause 8)
Les mesures décidées sont réellement en place. Preuve habituelle : configurations, contrats avec les sous-traitants, tickets de projet clôturés.
Gestion des incidents (clause 8 et Annexe A)
Un incident de sécurité a une procédure, un point de contact et un enregistrement. Preuve habituelle : un journal des incidents, même court, avec la leçon tirée.
Surveillance et mesure (9.1)
Vous suivez vos objectifs avec des chiffres. Preuve habituelle : un tableau de bord ou un relevé trimestriel.
Audit interne (9.2)
Une personne indépendante du sujet contrôle le SMSI au moins une fois par an. Preuve habituelle : un rapport d'audit interne avec constats.
Revue de direction (9.3)
La direction examine les résultats et décide des suites. Preuve habituelle : un procès-verbal daté avec décisions et responsables.
Non-conformités et amélioration (clause 10)
Chaque écart est corrigé et sa cause traitée. Preuve habituelle : une liste d'actions correctives avec statut.
05: Annexe A
Mesures de l'Annexe A : quelles preuves rassembler
L'édition 2022 regroupe les mesures en quatre thèmes. Vous n'appliquez pas tout : la déclaration d'applicabilité justifie vos choix. Le tableau indique où chercher vos preuves.
| Thème | Exemples de mesures | Preuves habituelles |
|---|---|---|
| Organisationnelles | Politiques, gestion des fournisseurs, services cloud, protection des données | Politiques approuvées, contrats avec clauses de sécurité, évaluation des fournisseurs |
| Personnes | Vérification avant embauche, clause de confidentialité, formation | Contrats de travail, accords de confidentialité, attestations de formation |
| Physiques | Accès aux locaux, protection du matériel, bureau propre | Registre des accès, inventaire du matériel, consignes affichées |
| Technologiques | Droits d'accès, chiffrement, sauvegardes, journalisation, correctifs | Exports de droits, paramètres de chiffrement, tests de restauration, journaux |
Les services cloud et les cyberrisques ont reçu une place plus nette dans la version 2022. Si vous hébergez des données clients chez un tiers, prévoyez donc une preuve claire de la manière dont vous choisissez et contrôlez ce prestataire.
06: Avec Zertify
De la checklist au certificat ISO 27001 avec Zertify
Votre checklist est remplie ? Zertify reprend les mêmes sujets sous forme d'auto-évaluation en ligne : 48 questions auxquelles on répond par oui ou non. Treize d'entre elles correspondent à des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, 24 oui au minimum sont nécessaires pour réussir.
Le certificat est émis par G6 Agency AG sous licence de SICE, qui examine chaque évaluation avant l'émission. Il arrive dans les 4 heures après la réussite et le paiement, avec un numéro et un code QR qui mènent à une page de vérification publique. Aucune visite sur site n'a lieu. Une courte réévaluation en ligne confirme le certificat chaque année.
Le prix est de 849 CHF la première année, puis de 569 CHF par an, réévaluation en ligne incluse. Le certificat est valable 3 ans. Vous pouvez résilier à tout moment dans votre compte, pour la fin de l'année en cours.
07: FAQ
Questions fréquentes sur la checklist ISO 27001
08: Guide
Pages liées
Vérifiez où vous en êtes avec ISO 27001
L'auto-évaluation de 48 questions montre en quelques minutes si votre SMSI est prêt pour le certificat.
Gratuit et sans inscription.