En bref. ISO/IEC 27001 n’est pas une norme technique. Elle demande de délimiter un périmètre, d’apprécier les risques pesant sur l’information, de choisir des mesures de sécurité, de justifier celles que l’on écarte, et de faire vivre l’ensemble.
C’est ce qui déroute les équipes techniques : la certification ne récompense pas le niveau de sécurité atteint, mais la capacité à démontrer que les choix de sécurité sont raisonnés, appliqués et revus.
Le périmètre, décision structurante
Le système de management de la sécurité de l’information s’applique à un périmètre que l’organisation définit : une activité, un service, un site, l’ensemble. Ce choix engage tout le reste, et il est examiné en premier par l’auditeur.
Un périmètre trop étroit fait perdre à la certification une part de son sens vis-à-vis des clients — un certificat couvrant un seul service dit peu de chose sur l’entreprise. Un périmètre trop large multiplie les actifs, les risques et les preuves à produire. C’est un arbitrage de direction, pas une décision technique.
L’appréciation du risque
Elle porte sur trois propriétés de l’information, qu’il faut examiner séparément pour chaque actif significatif.
| Propriété | Question posée | Exemple d’atteinte |
|---|---|---|
| Confidentialité | Qui ne doit pas y accéder ? | Fuite d’un fichier client |
| Intégrité | L’information est-elle exacte et non altérée ? | Modification non tracée d’un tarif |
| Disponibilité | Est-elle accessible quand elle est nécessaire ? | Indisponibilité prolongée d’une application de production |
La méthode d’appréciation est libre, mais elle doit être définie, reproductible et appliquée de manière constante — deux appréciations successives du même risque doivent donner des résultats comparables.
La déclaration d’applicabilité
C’est le document caractéristique du référentiel, et celui que l’auditeur lira ligne à ligne. Il recense les mesures de sécurité de référence et indique, pour chacune : si elle est retenue, sa justification, son état de mise en œuvre, et — point essentiel — la justification de son exclusion lorsqu’elle est écartée.
L’exclusion est parfaitement admise ; l’exclusion non motivée ne l’est pas. Une déclaration d’applicabilité où toutes les mesures sont retenues par prudence est presque toujours le signe d’un travail non fait : elle engage l’organisation sur des mesures qu’elle n’applique pas.
Les domaines couverts par les mesures
- Organisationnel — politiques, rôles, gestion des actifs, relations fournisseurs, continuité, conformité.
- Humain — recrutement, sensibilisation, discipline, fin de contrat et restitution des accès.
- Physique — zones sécurisées, contrôle d’accès, protection des équipements, mise au rebut.
- Technologique — gestion des accès, chiffrement, journalisation, sauvegardes, sécurité du développement, gestion des vulnérabilités.
Le domaine humain concentre l’essentiel des incidents réels et l’essentiel des écarts en audit : comptes d’anciens salariés restés actifs, droits accumulés au fil des mobilités, accès prestataires jamais revus.
Incidents et continuité
La norme demande un processus de gestion des incidents — signalement, qualification, réponse, capitalisation — et une préparation à la continuité d’activité. Deux exigences pratiques y sont souvent défaillantes.
- Le test des sauvegardes. Une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. Le test de restauration doit être daté et son résultat conservé.
- La revue des accès. Elle doit être périodique, tracée, et conduite par le responsable métier, pas seulement par l’informatique — seul le métier sait qui doit encore accéder à quoi.
Sécurité de l’information et documents
La sécurité de l’information dépasse largement l’informatique : elle englobe le papier, les échanges oraux, les postes de travail et les supports amovibles. Les questions de conservation, de maîtrise des versions et de valeur probante rejoignent celles traitées dans information documentée.
Elle rejoint aussi les choix de conception du système d’information : localisation des données, droits d’accès applicatifs, journalisation des modifications, conditions contractuelles de réversibilité. Sur la chaîne de traitement des pièces et leur archivage, les repères publiés par Desk, plateforme de pré-comptabilité automatisée, donnent un aperçu concret des points de contrôle attendus.
Articulation avec un système existant
Une organisation déjà certifiée réutilise le contexte, les compétences, l’audit interne, le traitement des non-conformités et la revue de direction. Restent spécifiques l’appréciation du risque sur l’information, la déclaration d’applicabilité et la gestion des incidents de sécurité. Voir système de management intégré.
Questions fréquentes
Faut-il un responsable de la sécurité à temps plein ?
Non. La norme demande que les rôles et responsabilités soient attribués et connus. Dans une organisation de taille moyenne, la fonction est souvent tenue à temps partiel, à condition que le temps correspondant soit réellement dégagé et que la direction assume les arbitrages.
La certification protège-t-elle d’une cyberattaque ?
Non, et aucun dispositif ne le fait. Elle réduit la probabilité de certains scénarios et surtout améliore la capacité à détecter, réagir et reprendre. Ce qui distingue les organisations, ce n’est pas l’absence d’incident, c’est le temps de retour à la normale.
Peut-on être certifié si l’informatique est infogérée ?
Oui. La norme demande de maîtriser les relations fournisseurs : exigences de sécurité contractualisées, engagements de service, droit d’audit ou preuves équivalentes, gestion des accès du prestataire. L’externalisation transfère l’exécution, pas la responsabilité.
Quel lien avec la protection des données personnelles ?
Les deux se recouvrent sans se confondre. Le système de management sécurise l’information en général ; la protection des données personnelles répond à des obligations juridiques propres, avec ses propres formalités auprès de l’autorité compétente. Le système facilite la conformité, il ne s’y substitue pas.
En résumé
ISO/IEC 27001 vaut surtout par la discipline qu’elle impose : savoir ce que l’on protège, pourquoi, avec quelles mesures, et pourquoi pas les autres. Les organisations qui en tirent le plus sont celles qui acceptent d’écrire les risques qu’elles décident de porter. Le champ d’application de la norme est présenté par l’Organisation internationale de normalisation.