Certification ISO 27001 : construire son SMSI pas à pas

La certification ISO 27001 atteste qu’une organisation a mis en place un système de management de la sécurité de l’information, ou SMSI, conforme à la norme internationale. Le parcours suit six étapes : périmètre, engagement de la direction, analyse des risques, choix des mesures, fonctionnement vérifié, puis audit par un organisme accrédité.

Ce que certifie vraiment la norme ISO 27001

La norme ISO/IEC 27001 ne certifie ni un logiciel, ni un pare-feu, ni un niveau de sécurité absolu. Elle certifie un système de management : une manière organisée d’identifier les risques qui pèsent sur l’information, de décider des mesures pour les traiter et de vérifier dans le temps que ces décisions fonctionnent. La confidentialité, l’intégrité et la disponibilité, les trois piliers de la sécurité informatique, en constituent l’objet.

La version en vigueur date d’octobre 2022. Elle suit la structure commune aux normes de management de l’ISO, en chapitres numérotés de 4 à 10 : contexte de l’organisation, leadership, planification, support, fonctionnement, évaluation des performances et amélioration. Le principe reste celui de la roue de l’amélioration continue, planifier, mettre en œuvre, vérifier, agir.

À ce corps d’exigences s’ajoute une annexe A, qui liste les mesures de sécurité de référence. Dans la version 2022, elle en compte 93, regroupées en quatre thèmes. La norme ISO/IEC 27002, vendue séparément, détaille la manière de mettre en œuvre chacune d’elles.

Autre point : la certification ISO 27001 reste volontaire. Aucune loi française ne l’impose de façon générale. Elle s’impose par le marché, quand des clients, des donneurs d’ordre ou des appels d’offres en font une condition. Les autres référentiels, notamment ceux publiés par l’ANSSI, sont présentés dans notre article sur les certifications et qualifications de l’ANSSI.

Étape 1 : fixer le périmètre et le contexte

Tout commence par le chapitre 4 de la norme. L’organisation identifie ses enjeux internes et externes, les parties intéressées qui ont des attentes en matière de sécurité, clients, autorités, actionnaires, salariés, et leurs exigences. Elle en déduit le périmètre du SMSI.

Le périmètre est la décision la plus structurante du projet. Il peut couvrir toute l’entreprise, une activité, un site ou un service précis, par exemple la plateforme logicielle vendue aux clients. Deux erreurs opposées guettent :

• un périmètre trop large, qui noie le projet sous des processus sans enjeu et repousse la certification ;
• un périmètre trop étroit, qui exclut ce que les clients veulent justement voir couvert et vide le certificat de sa valeur commerciale.

Le périmètre retenu figure sur le certificat. Les clients avertis le lisent attentivement, parce qu’un certificat qui porte sur un seul site administratif ne dit rien de la sécurité du service qu’ils achètent.

Étape 2 : obtenir un engagement réel de la direction

Le chapitre 5 place la direction au centre. Elle établit une politique de sécurité de l’information, s’assure que les objectifs de sécurité sont compatibles avec la stratégie, attribue les rôles et les responsabilités, et fournit les ressources nécessaires.

Cet engagement se vérifie lors de l’audit. L’auditeur demande qui a validé la politique, comment les ressources ont été décidées, quels comptes rendus remontent au comité de direction. Un projet porté par le seul responsable informatique, sans décision formelle de la direction, bute presque toujours sur ce point.

Mener le projet seul ou se faire accompagner

Une entreprise dotée d’une équipe sécurité expérimentée peut conduire son SMSI en interne. Pour les autres, un accompagnement certification iso27001 prend en charge ce qui demande de la méthode et du recul : le cadrage du périmètre, la conduite de l’analyse de risques, la rédaction des documents structurants et la préparation à l’audit, par un audit blanc notamment.

Ce qui reste à l’entreprise pèse tout aussi lourd. Les décisions lui appartiennent : acceptation des risques, arbitrages budgétaires, choix des mesures. La mise en œuvre aussi, puisque ce sont ses équipes qui appliquent les procédures, gèrent les accès, testent les sauvegardes et consignent les incidents. Et les preuves de fonctionnement, qu’aucun consultant ne peut fabriquer à sa place, se constituent au fil des mois.

La répartition la plus efficace se décide au démarrage, par écrit. Un accompagnement bien cadré vise l’autonomie de l’équipe interne à l’issue de la certification, car le système doit ensuite tourner seul entre deux audits de surveillance.

Étape 3 : apprécier et traiter les risques

L’appréciation des risques est le cœur de la norme. Le chapitre 6 demande de définir un processus reproductible : critères d’acceptation des risques, méthode d’identification, analyse de la vraisemblance et des conséquences, évaluation par rapport aux critères retenus.

Identifier et analyser

Pour chaque actif ou processus du périmètre, l’organisation recense les menaces plausibles et les vulnérabilités qui leur ouvrent la voie. La norme ISO/IEC 27005 fournit des lignes directrices pour cette démarche. En France, la méthode EBIOS Risk Manager, publiée par l’ANSSI, constitue une alternative largement pratiquée, qui raisonne par scénarios d’attaque.

Traiter et faire accepter

Chaque risque jugé inacceptable reçoit un traitement : réduction par des mesures, transfert vers une assurance ou un prestataire, évitement par l’arrêt de l’activité concernée. La norme exige que les propriétaires des risques approuvent le plan de traitement et acceptent les risques résiduels. Cette acceptation formelle distingue un SMSI d’une simple liste de bonnes pratiques.

Étape 4 : la déclaration d’applicabilité et les mesures

Le plan de traitement débouche sur un document clé, la déclaration d’applicabilité. Elle recense les mesures nécessaires, justifie leur inclusion, indique si elles sont mises en œuvre et justifie l’exclusion des mesures de l’annexe A écartées. L’auditeur la lit en premier, et y revient sans cesse.

Les quatre thèmes de l’annexe A

La version 2022 a réorganisé l’annexe A autour de quatre thèmes :

• les mesures organisationnelles, des politiques à la gestion des fournisseurs et des incidents ;
• les mesures liées aux personnes, comme la sensibilisation, la formation ou les engagements de confidentialité ;
• les mesures physiques, qui couvrent les locaux, les équipements et les supports ;
• les mesures technologiques, de la gestion des accès à la journalisation en passant par la sauvegarde.

La refonte a aussi introduit des mesures nouvelles, qui traduisent l’évolution des pratiques : le renseignement sur les menaces, la sécurité de l’utilisation des services cloud, le codage sécurisé ou la préparation des technologies de l’information à la continuité d’activité. Cette dernière mesure rejoint le plan de continuité d’activité que beaucoup d’entreprises ont déjà ébauché.

Toutes les mesures ne s’appliquent pas

L’annexe A n’est pas une liste à cocher intégralement. Une entreprise sans développement logiciel peut écarter les mesures de codage sécurisé, à condition de le justifier. À l’inverse, rien n’interdit d’ajouter des mesures propres à son contexte.

Étape 5 : documenter sans produire de paperasse

La norme exige des informations documentées, pas une bibliothèque. Parmi les éléments attendus figurent le périmètre, la politique de sécurité, le processus d’appréciation et de traitement des risques, leurs résultats, la déclaration d’applicabilité, les objectifs de sécurité, les preuves de compétence, les résultats de surveillance, le programme et les résultats d’audit interne, ceux de la revue de direction, ainsi que les non-conformités et les actions correctives.

Au-delà de ce socle, chaque document doit servir à quelqu’un. Une procédure que personne n’ouvre ne protège rien et coûte du temps à maintenir. Quelques repères aident à trier :

• un document par besoin réel, rédigé pour ceux qui l’appliquent ;
• des procédures courtes, complétées par des enregistrements qui prouvent leur application ;
• un outil de gestion documentaire simple, avec versions et validations tracées.

Les preuves comptent davantage que les textes. Un registre des incidents tenu depuis six mois, des revues d’accès datées et des comptes rendus de tests de restauration convainquent plus un auditeur qu’une politique de trente pages.

Étape 6 : faire tourner le système avant l’audit

Un SMSI se juge sur son fonctionnement. Avant de solliciter l’organisme de certification, l’entreprise doit avoir fait tourner au moins un cycle complet.

L’audit interne

L’audit interne vérifie, selon un programme planifié, que le système est conforme aux exigences de la norme et à celles de l’entreprise, et qu’il est efficacement mis en œuvre. Les auditeurs doivent être objectifs et impartiaux : ils ne contrôlent pas leur propre travail. Dans une petite structure, cette exigence conduit souvent à confier l’audit interne à un intervenant extérieur. La logique rejoint celle d’un audit de cybersécurité, avec la conformité à la norme en plus.

La revue de direction

La revue de direction examine à intervalles planifiés l’état des actions précédentes, les évolutions du contexte, les résultats des audits, des mesures et des incidents, ainsi que les opportunités d’amélioration. Elle se conclut par des décisions consignées. C’est la preuve la plus directe que la direction pilote réellement le système.

L’audit de certification en deux étapes, puis la surveillance

L’organisme de certification doit être accrédité pour la norme ISO/IEC 27001, en France par le Cofrac. L’audit de certification initial se déroule en deux temps.

La première étape examine la documentation et l’état de préparation : périmètre, politique, appréciation des risques, déclaration d’applicabilité, résultats de l’audit interne et de la revue de direction. Elle se conclut par un rapport qui signale les points à corriger avant la suite.

La seconde étape vérifie sur place, ou à distance selon les cas, que le système est réellement mis en œuvre et efficace. Les auditeurs interrogent les équipes, consultent les enregistrements et testent quelques mesures. Les écarts relevés sont classés en non-conformités majeures, qui bloquent la certification tant qu’elles ne sont pas corrigées, et mineures, qui appellent un plan d’action.

Le certificat ouvre ensuite un cycle de trois ans, rythmé par des audits de surveillance annuels puis un audit de renouvellement. Le système doit donc continuer de vivre entre deux passages, sans quoi la surveillance suivante le révèle.

Préparer les équipes aux entretiens

L’auditeur ne se contente pas de lire des documents : il interroge ceux qui appliquent les procédures. Un administrateur système doit pouvoir expliquer comment un accès est ouvert puis retiré, un responsable des achats comment un nouveau prestataire est évalué, un manager comment un incident remonte. Répondre juste n’exige pas de réciter la norme. Il suffit de décrire ce qui se fait réellement, pièces à l’appui.

Une répétition quelques semaines avant l’audit, sous forme d’entretiens croisés, détend les équipes et révèle les derniers écarts entre les procédures écrites et la pratique.

Ce qui détermine la durée du projet

Aucune durée type ne vaut pour toutes les organisations. Le calendrier dépend d’abord de la maturité de départ : une entreprise qui dispose déjà d’une politique de sécurité, d’un inventaire des actifs et de sauvegardes testées part avec plusieurs mois d’avance sur celle qui découvre le sujet.

Quatre facteurs pèsent ensuite sur le calendrier :

• l’étendue du périmètre, le nombre de sites et de personnes concernés ;
• la disponibilité réelle des équipes, qui mènent le projet en plus de leur travail courant ;
• la part d’activités confiées à des prestataires, dont il faudra obtenir des engagements et des preuves ;
• la durée de fonctionnement exigée avant l’audit, puisque le système doit produire des enregistrements sur une période significative.

La durée de l’audit lui-même est encadrée par des règles internationales qui la calculent notamment selon le nombre de personnes travaillant dans le périmètre. L’organisme de certification l’indique dans son offre, après examen du dossier.

ISO 27001, RGPD et NIS 2 : ce que couvre le certificat

La norme traite la sécurité de l’information, pas la licéité des traitements de données personnelles. Un SMSI certifié aide à satisfaire l’obligation de sécurité du règlement général sur la protection des données, sans répondre aux questions de base légale, de durée de conservation ou d’information des personnes, qui relèvent d’une démarche distincte.

Même logique face à la directive NIS 2. Les organisations qui entreront dans son champ y trouveront une méthode compatible avec les mesures de gestion des risques attendues, sans que le certificat vaille à lui seul conformité réglementaire : la notification des incidents à l’autorité ou la formation des organes de direction obéissent à leurs propres règles.

Les erreurs qui retardent la certification

Plusieurs écueils reviennent d’un projet à l’autre, quel que soit le secteur :

• acheter des outils de sécurité avant d’avoir apprécié les risques, puis chercher à justifier ces achats a posteriori ;
• confondre la déclaration d’applicabilité avec un inventaire des outils installés ;
• rédiger toute la documentation d’un bloc, sans l’éprouver sur le terrain ;
• programmer l’audit de certification avant d’avoir conduit un audit interne et une revue de direction complets ;
• laisser le projet à une seule personne, dont le départ fait s’effondrer le système.

Le point commun de ces erreurs tient à l’ordre des opérations. Le SMSI se construit du périmètre vers les mesures, et des décisions vers les preuves, jamais l’inverse.

Prochaine étape : rédiger en une page le périmètre envisagé et la liste des parties intéressées, puis la soumettre à la direction pour une décision formelle avant de lancer l’analyse de risques.