Accompagnement à la certification ISO 27001
Construire un système de management de la sécurité que l’audit trouvera réel.
Réponse courte
Accompagnement ISO 27001 : de quoi s’agit-il, pour qui, à quel prix ?
Mise en place du SMSI selon ISO/IEC 27001:2022 : périmètre, analyse de risques, déclaration d’applicabilité, politiques, audit interne et préparation à l’audit de certification. Durée indicative : 6 à 12 mois du cadrage à l’audit de certification, selon le point de départ. Prix d’entrée : à partir de 1 900 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Une certification ISO/IEC 27001 : définition s’obtient en quelques mois ou en deux ans, selon le point de départ et le périmètre choisi. Ce qui fait la différence tient rarement aux mesures techniques : c’est la clarté du périmètre, l’appropriation par la direction et la qualité des preuves tenues au fil de l’eau.
Nous accompagnons la construction du système de management de la sécurité de l’information : définition (SMSI) de bout en bout : choix du périmètre, analyse de risques, déclaration d’applicabilité, politiques, indicateurs, audit interne, revue de direction. La documentation décrit ce que vous faites et ce que vous avez décidé de faire. Elle ne sert pas à impressionner l’auditeur.
Une précision compte : nous ne certifions pas. La certification est délivrée par un organisme accrédité indépendant, et personne ne peut à la fois conseiller et certifier le même client. Notre rôle s’arrête à la préparation et à l’accompagnement pendant l’audit ; la décision appartient à l’organisme que vous choisissez.
En résumé
- Durée indicative
- 6 à 12 mois du cadrage à l’audit de certification, selon le point de départ
- Prix
- à partir de 1 900 € HTpour une analyse d’écarts et un plan ; accompagnement ensuite au forfait
- Référentiels appliqués
- ISO/IEC 27001:2022ISO/IEC 27002:2022ISO/IEC 27005ISO 19011EBIOS Risk Manager
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Accompagnement ISO 27001 : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Contexte et périmètre
Enjeux, parties intéressées, périmètre du SMSI et exclusions justifiées : le choix qui conditionne tout le reste.
Analyse de risques
Méthode, critères d’acceptation, inventaire des risques et plan de traitement, avec EBIOS Risk Manager ou une méthode alignée sur ISO/IEC 27005.
Déclaration d’applicabilité
Choix et justification des mesures de l’annexe A, avec l’état de mise en œuvre de chacune.
Politiques et procédures
Politique de sécurité, rôles, procédures nécessaires et rien de plus : ce que l’organisation applique et peut prouver.
Mise en œuvre des mesures
Contrôle des accès, sauvegardes, journalisation, développement, fournisseurs, continuité : les écarts à combler sont priorisés et suivis.
Audit interne et revue de direction
Programme d’audit interne, revue de direction réelle, actions correctives, préparation de l’audit de certification.
Accompagnement ISO 27001 : que livre la mission ?
- Analyse d’écarts exigence par exigence et plan priorisé
- Document de périmètre et analyse de risques avec plan de traitement
- Déclaration d’applicabilité argumentée
- Politiques et procédures rédigées pour votre organisation
- Programme et rapport d’audit interne, support de revue de direction
- Dossier de préparation à l’audit de certification
Qu’est-ce que cela change pour vous ?
- Un SMSI qui fonctionne avant l’arrivée de l’auditeur
- Un périmètre que les clients lisent comme significatif
- Des équipes qui savent tenir les preuves après la certification
Accompagnement ISO 27001 : pour qui est-ce utile ?
- Éditeurs et prestataires à qui leurs clients imposent ISO 27001
- Organisations qui répondent à des appels d’offres exigeant la certification
- Directions qui veulent un cadre de pilotage durable de la sécurité
- Entités soumises à NIS 2 qui choisissent ISO 27001 comme structure
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Accompagnement ISO 27001 : combien de temps dure la mission ?
Durée indicative : 6 à 12 mois du cadrage à l’audit de certification, selon le point de départ. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (1 900 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Accompagnement ISO 27001 : ce qu’on nous demande
Combien de temps faut-il pour préparer une certification ISO 27001 ?
Comptez de six à douze mois pour une organisation qui a déjà des bases (sauvegardes, gestion des accès, quelques politiques), davantage si tout est à construire. Le SMSI doit avoir fonctionné un temps avant l’audit, car l’organisme examine des enregistrements : au moins un audit interne et une revue de direction. Le certificat est délivré pour un cycle de trois ans, avec des audits de surveillance dans l’intervalle.
Faut-il certifier toute l’entreprise ou un périmètre restreint ?
Le périmètre se choisit, et beaucoup d’organisations commencent par un ensemble restreint, par exemple un produit, son hébergement et son support. Vos clients liront le périmètre et la déclaration d’applicabilité : un périmètre trop étroit, qui laisserait hors champ ce qui les concerne, perd de sa valeur. Nous vous aidons à choisir le plus petit périmètre que vos clients jugeront crédible, et à l’étendre ensuite par étapes.
Que coûte une certification ISO 27001 en dehors de l’accompagnement ?
Trois postes s’ajoutent : l’audit de l’organisme de certification (initial, puis de surveillance chaque année), dont le tarif dépend de la taille et du périmètre et que nous ne fixons pas ; le temps interne, souvent le poste le plus lourd ; et d’éventuels outils ou mesures techniques à compléter. Demandez des devis à plusieurs organismes accrédités et comparez la durée d’audit annoncée, pas seulement le prix.
Pour comprendre avant de décider
- ArticleRSSI externalisé : missions, coût et limites du temps partagéCe que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
Quelles prestations s’y associent ?
Analyse de risques EBIOS
Des risques décrits avec vos métiers, pas piochés dans un catalogue.
2 à 6 semaines selon l’objet analysésur devis
PSSI et procédures
Des règles courtes, que l’on retrouve dans les pratiques.
3 à 8 semaines selon le nombre de politiques et de procéduressur devis
Audit organisationnel
Savoir où en est la sécurité de l’organisation, au-delà de ses outils.
1 à 3 semaines selon la taille de l’organisationsur devis
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Accompagnement ISO 27001 » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début