ISO 27001 conseil : avez-vous vraiment besoin d'un consultant ?

La norme ne l'exige pas. Elle demande un SMSI documenté, une appréciation des risques, des mesures choisies en connaissance de cause et la preuve que tout cela fonctionne. Qui l'a rédigé, vous ou un externe, ne change rien à l'exigence.

Dans la pratique, la réponse dépend de votre point de départ. Une entreprise informatique de quinze personnes, qui gère déjà ses accès, ses sauvegardes et ses incidents, a surtout besoin de structurer ce qui existe. Une entreprise qui n'a jamais formalisé sa sécurité doit d'abord décider quoi protéger, et là un regard extérieur fait gagner du temps.

La demande qui déclenche le projet compte aussi. Un questionnaire fournisseur qui réclame un certificat ISO 27001 n'appelle pas la même réponse qu'un appel d'offres imposant un audit sur site.

• La norme ISO 27001 en détail

Un mandat de conseil classique accompagne l'entreprise de la première analyse jusqu'à la veille de l'audit. Les étapes se recoupent avec les chapitres 4 à 10 de la norme.

1. 01

   Définir le périmètre

   Le consultant détermine avec vous quels sites, services, systèmes et équipes entrent dans le SMSI, et quelles parties intéressées posent des exigences.

2. 02

   Conduire l'appréciation des risques

   Il recense les actifs, les menaces et les vulnérabilités, puis fixe avec la direction les critères d'acceptation du risque.

3. 03

   Établir la déclaration d'applicabilité

   Pour chaque mesure de l'Annexe A, la DdA indique si elle s'applique, pourquoi et où elle est mise en oeuvre.

4. 04

   Rédiger politiques et procédures

   Politique de sécurité, gestion des accès, gestion des incidents, sauvegarde : le consultant fournit des modèles et les adapte à votre organisation.

5. 05

   Former les collaborateurs

   Une sensibilisation courte, documentée, avec preuve de participation, car l'auditeur la demandera.

6. 06

   Préparer l'évaluation des performances

   Audit interne et revue de direction relèvent du chapitre 9. Le consultant les organise une première fois, souvent en les menant lui-même.

• ISO pour les PME

Les chiffres ci-dessous sont des ordres de grandeur indicatifs pour la Suisse. Les tarifs journaliers de consultants ISO 27001 se situent souvent entre 1 200 et 2 000 CHF. La charge totale varie fortement selon la taille de l'entreprise, le nombre de sites et la maturité existante.

Ils ne comprennent pas les frais de l'organisme de certification si vous choisissez la voie classique avec un audit sur site.

• Coût d'une certification ISO

Le conseil a un coût réel. Il vaut la peine quand il apporte une compétence que vous n'avez pas en interne.

Vous partez de zéro

Aucune politique, aucun inventaire des actifs, aucun processus d'incident. Un consultant structure le SMSI avant toute évaluation.

Vos mesures existent déjà

Accès, sauvegardes, journalisation, gestion des correctifs sont en place mais dispersés. Une auto-évaluation suffit pour vérifier la conformité et obtenir le certificat.

Votre client exige un audit sur site

Certains cahiers des charges imposent un organisme de certification sur place. Dans ce cas, la voie classique s'impose, avec ou sans consultant.

Vous avez un responsable sécurité compétent

Un responsable informatique ou sécurité qui connaît l'Annexe A peut rédiger la DdA seul. Le consultant devient superflu.

• Comparer les parcours de certification

Zertify repose sur une auto-évaluation en ligne. Pour ISO 27001:2022, elle compte 48 questions auxquelles vous répondez par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, il faut au moins 24 réponses positives pour réussir.

Le certificat est émis par G6 Agency AG sous licence de SICE, le Swiss Institute of Certification and Education. SICE examine chaque évaluation avant l'émission. Vous recevez le PDF dans les 4 heures après la réussite et le paiement. Un QR code sur le document renvoie vers la page de vérification publique, où votre client ou votre service des achats contrôle le numéro.

Le prix est de 849 CHF la première année, puis de 569 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement se résilie à tout moment dans votre compte, jusqu'à la fin de l'année en cours. Aucun compte n'est nécessaire pour acheter.

• ISO 27001 chez Zertify
• Voir les prix
• Démarrer l'auto-évaluation gratuite

Répondre oui suppose que la mesure existe réellement dans votre entreprise. Quelques jours de préparation interne suffisent souvent à combler les écarts avant de commencer.

1. 01

   Parcourir les questions

   L'évaluation est gratuite et sans inscription. Elle montre immédiatement où votre documentation est incomplète.

2. 02

   Combler les treize exigences obligatoires

   Appréciation des risques, politique de sécurité, DdA, gestion des incidents : sans ces éléments, l'évaluation ne peut pas aboutir.

3. 03

   Réunir les preuves

   Liste des accès, procès-verbaux de formation, registre des incidents. Ces pièces vous serviront aussi lors du re-audit annuel.

4. 04

   Lancer l'évaluation

   Si le résultat est insuffisant, vous voyez quelles réponses manquent et pouvez corriger avant de recommencer.