Qu'est-ce qu'ISO 27001 ?
ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l'information. Elle explique comment une organisation gouverne la sécurité de l'information : définir le périmètre, évaluer les risques, choisir les contrôles, affecter les ressources, mesurer la performance et améliorer le système. La version actuelle est ISO/IEC 27001:2022.
L'annexe A contient 93 contrôles de référence répartis en quatre thèmes : 37 contrôles organisationnels, 8 liés aux personnes, 14 physiques et 34 technologiques. La version 2022 a ajouté 11 nouveaux contrôles, notamment la veille sur les menaces, la sécurité de l'information dans le cloud, la préparation TIC pour la continuité, le masquage des données, la prévention des fuites, le filtrage web et le développement sécurisé.
À qui ISO 27001 est-il utile ?
ISO 27001 est volontaire, mais dans la vente B2B européenne elle devient souvent une exigence pratique. Les grands clients, institutions financières, acteurs publics et investisseurs veulent voir qu'un fournisseur gère la sécurité de l'information de manière systématique. Pour un éditeur SaaS, le certificat peut réduire les questionnaires de sécurité et renforcer la confiance pendant les cycles de vente.
La norme est aussi utile lorsque NIS2 ou DORA entre en jeu. ISO 27001 ne remplace pas ces textes, mais sa structure — analyse des risques, politiques, contrôle d'accès, incidents, fournisseurs et continuité — recouvre une grande partie de leurs attentes. Un SMSI bien tenu peut donc être réutilisé.
Comment se déroule une certification ISO 27001 ?
Un organisme de certification accrédité réalise l'audit. Le Stage 1 vérifie surtout la documentation : périmètre, méthode d'analyse de risques, analyse de risques, déclaration d'applicabilité, politiques, audit interne et revue de direction. Le Stage 2 vérifie si les contrôles sélectionnés fonctionnent réellement, à travers entretiens, échantillons et preuves.
Un certificat est valable trois ans. Il y a généralement un audit de surveillance chaque année, puis un audit de recertification la troisième année. Le calendrier dépend du périmètre, de la maturité et de la capacité disponible. Une petite entreprise logicielle disposant déjà de bases solides dans le cloud peut avancer plus vite qu'une organisation qui doit encore créer les processus, les responsabilités et la collecte de preuves.
Comment ComplyPilot relie-t-il contrôles, risques et preuves ?
ComplyPilot transforme chaque contrôle de l'annexe A en enregistrement structuré. Vous voyez le responsable, le statut, la justification d'inclusion ou d'exclusion, les risques liés et les preuves disponibles. La déclaration d'applicabilité est construite à partir de ces mêmes enregistrements, ce qui évite qu'elle se déconnecte de la réalité du SMSI.
Les risques ont une probabilité, un impact, un traitement et un responsable. Les contrôles traitent ces risques, et les preuves montrent que les contrôles fonctionnent. Une capture d'écran, une politique, un journal, un ticket ou une revue fournisseur peut être relié à plusieurs contrôles. Si la preuve manque, l'écart reste visible dans le score de préparation.
- Les 93 contrôles de l'annexe A sont déjà présents.
- Registre des risques avec traitement et liens vers les contrôles.
- Déclaration d'applicabilité générée à partir des décisions de contrôle.
- Politiques avec états Draft, Approved et Outdated.
- Bibliothèque de preuves avec statut de revue et exports pour l'audit.
Quelle différence avec les tableurs ou la GRC d'entreprise ?
| Critère | Tableurs | GRC d'entreprise | ComplyPilot |
|---|---|---|---|
| Démarrage | Rapide, mais fragile | Projet d'implémentation | Structure ISO prête dès le premier jour |
| Déclaration d'applicabilité | Document séparé | Souvent générée | Générée depuis les contrôles |
| Preuves | Liens manuels | Complet, souvent complexe | Reliées aux contrôles et risques |
| NIS2/DORA | Correspondances à maintenir | Souvent sur mesure | Couches de référentiels incluses |
| Équipe | Un seul propriétaire | Grand département conformité | CTO, CIO, responsable sécurité ou petite équipe |
Comment ComplyPilot aide-t-il à préparer l'audit ?
ComplyPilot n'aide pas en promettant un certificat, mais en rendant la justification visible. Pour chaque contrôle, un auditeur peut voir pourquoi il a été retenu, quel risque il traite, quelle politique le soutient et quelle preuve est disponible. La préparation devient plus concrète qu'une simple checklist.
Les exports PDF, DOCX, CSV et ZIP soutiennent les échanges avec l'auditeur. Les équipes peuvent exporter la déclaration d'applicabilité, regrouper les preuves et discuter de l'avancement sans comparer plusieurs documents. Le journal d'audit et l'historique des versions aident à montrer quand une politique ou une preuve a changé.
Questions fréquentes
Combien de contrôles compte l'annexe A d'ISO 27001:2022 ?
93 contrôles : 37 organisationnels, 8 liés aux personnes, 14 physiques et 34 technologiques.
Faut-il appliquer les 93 contrôles ?
Non. Vous les examinez tous, mais vous mettez en œuvre ceux qui correspondent à l'analyse de risques et justifiez chaque choix dans la déclaration d'applicabilité.
ComplyPilot délivre-t-il un certificat ISO 27001 ?
Non. Seul un organisme accrédité peut certifier. ComplyPilot soutient la préparation et la preuve.
ISO 27001 aide-t-il pour NIS2 ou DORA ?
Oui. De nombreux contrôles recouvrent NIS2 et DORA. ComplyPilot relie un contrôle à plusieurs exigences pour réutiliser les preuves.