La certification ISO 27001 évalue le SMSI d’un périmètre défini par rapport aux exigences de la norme. La préparation passe par le cadrage, l’analyse de risques, la mise en œuvre des traitements, l’audit interne, la revue de direction et la correction des écarts avant l’audit de certification.
certificats ISO/IEC 27001 valides en 2023
L’étude ISO publiée en 2026 recense 83 016 certificats valides dans 165 pays pour 2023, contre 4 073 en 2006. Un certificat reste toutefois différent d’un niveau de sécurité garanti.
ISO — Research Grant 2024 / ISO SurveyCadrer le périmètre avant le calendrier
Le périmètre doit correspondre à une activité, des sites, des systèmes et des interfaces identifiables. Un périmètre trop large dilue l’effort ; un périmètre artificiellement étroit crée des dépendances externes impossibles à ignorer.
Identifiez dès le départ sponsor, pilote du SMSI, propriétaires de risques, responsables de contrôles et disponibilité des équipes. Le calendrier dépend surtout de l’écart réel entre pratiques et exigences.
Construire un registre de travail vivant
Reliez chaque exigence et risque à une action, un propriétaire, une échéance et une preuve. La preuve doit provenir du fonctionnement : ticket clôturé, revue d’accès, résultat de test, journal de sauvegarde ou compte rendu de décision.
Évitez de rédiger des politiques idéales déconnectées. Une procédure modeste mais exécutée et mesurée vaut mieux qu’un texte ambitieux contredit par le terrain.
Préparer les étapes de l’audit
L’audit de certification comprend généralement une étape de préparation et une évaluation de mise en œuvre selon le programme de l’organisme. Avant cela, l’audit interne et la revue de direction doivent avoir joué leur rôle : trouver les faiblesses, décider et suivre les corrections.
Choisissez un organisme accrédité adapté au secteur et clarifiez durée, périmètre, sites et compétences attendues.
Piloter après le certificat
Le certificat n’est pas la fin du SMSI. Les changements, incidents, audits de surveillance et objectifs maintiennent la pression d’amélioration. Programmez les revues de risque avec les cycles métiers et techniques plutôt qu’une remise à niveau annuelle précipitée.
- Périmètre et interfaces
- Analyse de risques et traitements
- Déclaration d’applicabilité
- Mesures et preuves
- Audit interne et revue de direction
- Corrections avant certification
Matrice de décision opérationnelle
| Étape | Question à résoudre | Résultat attendu |
|---|---|---|
| Diagnostic | Comparer pratiques, exigences et périmètre. | Prioriser les écarts |
| Construction | Déployer gouvernance, risques et contrôles. | Produire les preuves |
| Audit interne | Tester conformité et efficacité. | Corriger les non-conformités |
Éviter le projet vitrine
Une certification durable vient de routines réellement utilisées. Les documents doivent décrire le système en fonctionnement, pas une organisation imaginaire.
Le bon niveau de contrôle dépend du contexte, des actifs exposés et de l’impact métier : documentez les hypothèses, mesurez le résultat et réévaluez après chaque changement significatif.
Questions fréquentes
Combien de temps faut-il pour être certifié ?
Cela dépend du périmètre, de la maturité et des ressources. Un diagnostic initial est plus fiable qu’une durée générique.
Qui délivre la certification ?
Un organisme de certification compétent et, idéalement, accrédité pour cette activité.
Le certificat couvre-t-il toute l’entreprise ?
Seulement le périmètre indiqué. Il faut lire précisément la portée du certificat.
Sources officielles
Achraf Hachimi
Ingénieur SOC Senior / CSIRT certifié CISSP, spécialisé en Incident Response, Threat Hunting et Detection Engineering. Huit ans d’expérience en environnements critiques avec Splunk ES, Microsoft Defender XDR, SentinelOne et Cybereason.