Qu’est-ce qu’ISO 27001 ?

L’ISO présente la norme comme applicable aux entreprises de toute taille et de tous les secteurs d’activité. Il n’existe pas de taille minimale : une petite société de logiciels et une multinationale se certifient selon les mêmes exigences. Le périmètre du SMSI peut être limité à un produit, une ligne de services ou un site, ce qui permet aux petites structures de garder une certification maîtrisable.

ISO 27001 n’est pas une obligation légale dans la plupart des juridictions. Les organisations s’y engagent en général parce que leurs clients l’exigent lors des achats, parce que les régulateurs de secteurs comme la finance ou les infrastructures critiques attendent un programme de sécurité structuré, ou parce qu’elles ont besoin d’un cadre pour en bâtir un. Un SMSI donne aussi une longueur d’avance sur la réglementation : voir L’ISO 27001 couvre-t-elle NIS2 ?.

Les exigences auditables figurent aux chapitres 4 à 10, et une organisation qui revendique la conformité ne peut en exclure aucune :

• Chapitre 4, contexte : enjeux internes et externes, parties intéressées et périmètre du SMSI.
• Chapitre 5, leadership : engagement de la direction, politique de sécurité de l’information et rôles attribués.
• Chapitre 6, planification : appréciation des risques, traitement des risques, Déclaration d’applicabilité et objectifs de sécurité.
• Chapitre 7, support : ressources, compétences, sensibilisation, communication et informations documentées.
• Chapitre 8, fonctionnement : mise en œuvre du plan de traitement des risques et exploitation des mesures.
• Chapitre 9, évaluation des performances : surveillance, audit interne et revue de direction.
• Chapitre 10, amélioration : non-conformités, actions correctives et amélioration continue.

L’Annexe A fonctionne autrement. Ses 93 mesures (37 organisationnelles, 8 liées aux personnes, 14 physiques et 34 technologiques) forment un référentiel, pas une liste à cocher. Vous retenez les mesures qu’appellent vos risques et consignez chaque décision dans la Déclaration d’applicabilité. Les documents et enregistrements exigés par les chapitres sont détaillés dans Quels documents l’ISO 27001 exige-t-elle ?.

L’ISO rédige la norme mais ne certifie personne et ne délivre aucun certificat. La certification est assurée par des organismes de certification externes. L’accréditation par un organisme national, comme le SAS en Suisse ou le COFRAC en France, confirme de manière indépendante la compétence de l’organisme de certification. L’ISO rappelle que l’accréditation n’est pas obligatoire : vérifiez-la avant de choisir. Les certificats accrédités peuvent être contrôlés dans la base de données IAF CertSearch.

L’audit se déroule en deux étapes. L’étape 1 examine la documentation et l’état de préparation du SMSI ; l’étape 2 le teste en fonctionnement, en échantillonnant les preuves et en interrogeant le personnel. Le certificat est valable trois ans, avec des audits de surveillance la première et la deuxième année et un audit de renouvellement la troisième.

Les erreurs qui retardent le plus souvent la certification : exclure des mesures de l’Annexe A sans motif fondé sur les risques, déclarer des mesures applicables sans preuve qu’elles fonctionnent, arriver à l’étape 1 sans audit interne ni revue de direction, et laisser les mesures se relâcher entre deux audits de surveillance.

L’édition en vigueur est ISO/IEC 27001:2022, publiée en octobre 2022. Elle a remplacé l’édition de 2013, que l’ISO indique comme annulée. La structure des chapitres n’a pas changé ; l’Annexe A est passée de 114 mesures en 14 domaines à 93 mesures en quatre thèmes, dont 11 nouvelles, comme le renseignement sur les menaces (5.7), la sécurité de l’information dans l’utilisation des services cloud (5.23) et le codage sécurisé (8.28). En 2024, l’ISO a publié l’amendement 1 (ISO/IEC 27001:2022/Amd 1:2024), qui ajoute des modifications relatives à l’action pour le climat.

Selon les modalités de transition publiées par l’UKAS, les certifications initiales devaient se faire selon l’édition 2022 à partir du 31 octobre 2023, et les organismes de certification devaient achever la transition de leurs clients certifiés au plus tard le 31 octobre 2025. Un certificat valable aujourd’hui se réfère à l’édition 2022.