ISO 27001 exigences : ce que la norme demande vraiment

La norme compte dix clauses. Les trois premières (domaine d'application, références normatives, termes et définitions) n'imposent rien. Les exigences commencent à la clause 4 et s'arrêtent à la clause 10. Aucune de ces sept clauses ne peut être écartée.

L'Annexe A fonctionne autrement. Dans l'édition 2022, elle regroupe 93 mesures de sécurité en quatre thèmes: organisationnelles, humaines, physiques et technologiques. Vous comparez votre appréciation des risques à cette liste. Dans la déclaration d'applicabilité, vous justifiez ensuite chaque mesure retenue et chaque mesure écartée.

• Page de la norme ISO 27001

Ces deux clauses ne demandent aucune technique. Elles demandent que l'entreprise sache pourquoi elle protège ses informations et que quelqu'un en assume la responsabilité.

Clause 4, contexte de l'organisation

Vous identifiez les enjeux internes et externes, les parties intéressées (clients, autorités, collaborateurs) et leurs attentes. Vous fixez ensuite le périmètre du SMSI par écrit: quels sites, quels services, quelles équipes. Un prestataire informatique y inscrira par exemple l'hébergement de ses clients, pas la comptabilité.

Clause 5, leadership

La direction approuve la politique de sécurité de l'information, attribue les rôles et met les moyens à disposition. Une politique signée ne suffit pas si personne ne sait qui répond d'un incident. Un rôle attribué n'exige pas un poste à plein temps.

La clause 6 est le centre de la norme. Les mesures que vous appliquez ne viennent pas d'une liste imposée, elles découlent de vos risques. C'est aussi la clause qui produit le plus de documents.

1. 01

   Définir la méthode d'appréciation

   Vous décrivez comment vous évaluez un risque et à partir de quel niveau vous l'acceptez. La méthode doit donner des résultats comparables d'une année à l'autre (clause 6.1.2).

2. 02

   Identifier et évaluer les risques

   Vous recensez les actifs concernés, par exemple les serveurs, les données clients ou les accès distants. Vous estimez pour chacun la vraisemblance d'une atteinte et son impact.

3. 03

   Traiter les risques

   Pour chaque risque non acceptable, vous choisissez une mesure et vous la comparez à l'Annexe A. Le plan de traitement des risques indique qui fait quoi et pour quand (clause 6.1.3).

4. 04

   Établir la déclaration d'applicabilité

   Ce document liste les mesures de l'Annexe A, indique si elles sont mises en oeuvre et justifie chaque exclusion. Les clients et les auditeurs le demandent souvent en premier.

5. 05

   Fixer des objectifs de sécurité

   Les objectifs sont mesurables et cohérents avec la politique. Exemple: tous les collaborateurs ont suivi la formation de sensibilisation avant fin juin (clause 6.2).

Une mesure décidée mais jamais appliquée ne compte pas. Ces deux clauses vérifient le passage de la planification à la pratique.

Clause 7, support

Elle couvre les ressources, les compétences, la sensibilisation, la communication et les informations documentées. Concrètement: des preuves de formation, une liste des personnes qui connaissent la politique, et un moyen de maintenir les documents à jour.

Clause 8, fonctionnement

Vous appliquez les processus planifiés. L'appréciation des risques est refaite à intervalles prévus et lors de changements importants. Vous conservez les résultats de l'appréciation et du traitement des risques. Les incidents de sécurité sont traités selon une procédure connue, et chaque cas est enregistré.

Un SMSI qui ne se contrôle jamais perd sa valeur en quelques mois. Les clauses 9 et 10 imposent un cycle de vérification et de correction.

Clause 9.1, suivi et mesure

Vous définissez ce que vous mesurez, comment et à quel rythme: incidents par trimestre, correctifs appliqués dans les délais, taux de participation aux formations.

Clause 9.2, audit interne

Une personne indépendante de l'activité contrôlée vérifie le SMSI selon un programme d'audit. Le rapport est conservé.

Clause 9.3, revue de direction

La direction examine les résultats, les risques et les besoins de ressources. Le procès-verbal prouve que le sujet atteint le niveau décisionnel.

Clause 10, amélioration

Chaque non-conformité reçoit une correction, une analyse de cause et une action vérifiée. Le registre de ces actions est la preuve que le système apprend.

L'auto-évaluation ISO 27001 comprend 48 questions, à répondre par oui ou non. Treize d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Parmi les 35 autres, il faut au moins 24 réponses positives. Les questions suivent les thèmes de cette page: risques, politique, déclaration d'applicabilité, formation, incidents.

Le certificat est émis par G6 Agency AG sous licence de SICE, et SICE examine chaque évaluation avant l'émission. Il n'y a pas d'audit sur site. Le certificat parvient dans les 4 heures après la réussite et le paiement, puis un nouvel audit en ligne, court, le confirme chaque année. Le prix est de 849 CHF la première année, puis de 569 CHF par an, nouvel audit en ligne inclus. Chaque certificat se vérifie publiquement par numéro et par code QR.

L'auto-évaluation est gratuite et ne demande pas d'inscription. Vous voyez immédiatement quelles exigences il vous reste à traiter.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page ISO 27001