Comment préparer une certification ISO 27001 ?

ISO/IEC 27001:2022, publiée par l'Organisation internationale de normalisation, ne demande pas d'atteindre un état de sécurité parfait. Elle exige de prouver que la sécurité de l'information fait l'objet d'un pilotage réel : risques identifiés, contrôles proportionnés, amélioration continue documentée. Lors des audits blancs, la plupart des non-conformités relevées ne portent pas sur des failles techniques mais sur l'absence de preuves : politique de sécurité jamais couchée par écrit, revue des accès non tracée, plan de continuité qui n'a jamais été testé en conditions réelles.

Le périmètre du SMSI, point de départ de toute préparation

Tout commence par le périmètre du SMSI, le système de management de la sécurité de l'information : quels systèmes, quelles équipes, quels sites entrent dans le champ de la certification. Un périmètre trop large alourdit la préparation sans nécessité, en imposant de documenter des activités que l'auditeur n'aurait jamais examinées de toute façon. Un périmètre trop restreint, à l'inverse, expose à un refus de l'auditeur qui le jugera peu représentatif de l'activité réelle, ou à un certificat qui rassure moins les clients qu'il ne le devrait, faute de couvrir les systèmes qui les concernent vraiment.

Les étapes d'une préparation à la certification

1. Définir le périmètre du SMSI et le faire valider par la direction, en cohérence avec ce que les clients et partenaires attendent réellement de voir couvert.
2. Réaliser une analyse de risques sur les actifs informationnels du périmètre : menaces plausibles, probabilité, impact, mesures de traitement.
3. Sélectionner les contrôles pertinents de l'annexe A et rédiger la déclaration d'applicabilité, qui justifie chaque contrôle retenu ou écarté.
4. Mettre en oeuvre les contrôles manquants et documenter les procédures associées (gestion des accès, sauvegardes, réponse aux incidents).
5. Réaliser un audit interne et une revue de direction, exigés par la norme avant tout audit de certification.
6. Passer l'audit de certification en deux temps : l'audit documentaire (stage 1), puis l'audit de mise en oeuvre sur site (stage 2).

Les 93 contrôles de l'annexe A, en quatre thèmes

Depuis la révision 2022, l'annexe A ne classe plus ses contrôles en quatorze chapitres mais en quatre thèmes, ce qui facilite leur répartition entre les équipes responsables de chacun.

Les domaines les plus souvent sous-évalués

Dans la pratique, les domaines les plus régulièrement sous-évalués avant un audit sont la gestion des accès, la journalisation, la gestion des incidents et la continuité d'activité. Un audit blanc superficiel s'arrête souvent aux déclarations d'intention et manque ces angles morts, qui ressortent en revanche dès qu'on demande des preuves concrètes.

• Un export de journal d'accès couvrant plusieurs semaines, pas seulement une capture d'écran isolée.
• Une revue des droits d'accès datée et signée par le responsable concerné, pas un simple export brut de la base utilisateurs.
• Un compte rendu de test de restauration de sauvegarde, avec la date, la durée et le résultat obtenu.
• Un exemple concret d'incident traité de bout en bout, de la détection à la clôture, avec les décisions prises à chaque étape.

Combien de temps et quel budget prévoir

Pour une PME qui part d'une base organisée mais non formalisée, compter en général entre six et douze mois entre le lancement du projet et l'audit de certification, la majeure partie du temps étant consacrée à la collecte de preuves plutôt qu'à la mise en oeuvre technique elle-même. La certification n'est pas un point d'arrivée : elle est suivie d'audits de surveillance chaque année, puis d'un audit de recertification complet au bout de trois ans. Un SMSI construit pour passer l'audit une seule fois, sans ancrage dans le fonctionnement quotidien, s'essouffle généralement dès la première surveillance.

Ce que montre la croissance des certifications

D'après l'ISO Survey 2024, publié par l'Organisation internationale de normalisation, le nombre de certificats ISO/IEC 27001 valides dans le monde a atteint 96 709, contre 48 671 un an plus tôt, une progression portée en partie par une meilleure couverture des données de recensement mais qui confirme une tendance de fond : la norme progresse d'environ 20 à 25 % par an depuis plusieurs années. Ce n'est plus un différenciateur réservé aux grands groupes, mais un prérequis de plus en plus fréquent dans les appels d'offres et les due diligences d'acquisition.

Erreurs fréquentes à éviter

• Lancer la démarche sans impliquer la direction, alors que la norme exige explicitement son engagement visible.
• Rédiger une déclaration d'applicabilité de façade, qui écarte des contrôles pertinents sans justification sérieuse.
• Collecter les preuves dans les semaines précédant l'audit plutôt que de les produire en continu tout au long de l'année.
• Traiter la certification comme un projet ponctuel, alors qu'elle suppose un cycle d'amélioration continue documenté d'un audit à l'autre.

La certification a un coût réel, en temps de préparation comme en honoraires d'audit, et elle ne dispense pas d'un travail de fond continu : un SMSI certifié mais laissé à l'abandon perd sa valeur bien avant l'audit de surveillance suivant. Pour une entreprise qui n'y est pas contractuellement obligée, mesurer l'écart avec le référentiel sans viser la certification elle-même est souvent le choix le plus rationnel à court terme.