Conformité
ISO 27001
Aussi appeléISO/IEC 27001ISO27001
En résumé
La norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue. Une organisation peut en être certifiée par un organisme tiers accrédité.
ISO 27001, en détail
ISO/IEC 27001 ne dit pas quelles mesures techniques appliquer : elle impose une méthode. L’organisation définit un périmètre, évalue ses risques, choisit des mesures, les documente dans une déclaration d’applicabilité, les met en œuvre, les contrôle et les améliore. Les mesures possibles sont listées dans une annexe et détaillées par la norme ISO/IEC 27002. La certification, délivrée par un organisme accrédité après audit, porte sur un périmètre précis, pas sur l’entreprise entière.
Appliquer la norme et en être certifié sont deux choses distinctes : une organisation peut suivre ses exigences sans passer l’audit de certification. La certification est surtout demandée par des clients et des appels d’offres, comme preuve d’un dispositif de management structuré. Elle ne remplace pas un test technique : un périmètre bien choisi peut être certifié et laisser l’application la plus exposée hors champ.
Qu’est-ce que cela change pour vous ?
ISO 27001 donne un cadre durable et reconnu par les clients, mais demande une charge interne importante. La question utile est de savoir si une exigence contractuelle la rend nécessaire ou si un cadrage plus léger suffit.
Exemple illustratif (fictif)
Imaginons une société de logiciel qui obtient sa certification sur le périmètre « hébergement et support » de son produit. Un grand compte lui demande ensuite un test d’intrusion de l’application elle-même : le certificat montre que les risques sont gérés, pas que l’application résiste à une attaque. Les deux demandes se complètent ; aucune ne remplace l’autre.
La confusion fréquente
Confondre appliquer la norme et être certifié, ou croire qu’un certificat prouve la solidité technique. Lisez toujours le périmètre du certificat.
Qui peut vous accompagner ?
- Accompagnement ISO 27001 : la prestationConstruire un système de management de la sécurité que l’audit trouvera réel.
- Conformité NIS 2 : la prestationFaire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
Aller plus loin
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ArticleRSSI externalisé : missions, coût et limites du temps partagéCe que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
- OutilDiagnostic de maturité NIS 212 questions, un score et un ordre de priorité. Le calcul reste dans votre navigateur.
Termes liés
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
- ConformitéDORA : définitionLe règlement européen (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier, applicable depuis le 17 janvier 2025.
- DéfenseDéfense en profondeur : définitionUne stratégie qui superpose plusieurs mesures de sécurité indépendantes, de sorte que la défaillance ou le contournement de l’une ne suffise pas à compromettre le système.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début