ISO/IEC 27001 est une norme internationale, publiée conjointement par l’ISO et l’IEC, qui spécifie les exigences d’un système de management de la sécurité de l’information (SMSI). La certification associée, délivrée après audit par un organisme accrédité, atteste qu’une organisation a construit ce cadre, le fait vivre et l’améliore sur un périmètre défini.
Ce que recouvre un système de management de la sécurité
La norme ne dresse aucune liste de pare-feux à déployer ni de technologies à retenir. Elle demande à l’organisation d’identifier ce qu’elle doit protéger, de décider comment le faire, puis de vérifier périodiquement que ces décisions restent pertinentes. Cette boucle d’amélioration continue distingue un système de management d’un simple socle de mesures : les écarts constatés alimentent des actions correctives, elles-mêmes contrôlées lors des revues suivantes.
L’implication de la direction générale constitue une condition explicite de la démarche. C’est elle qui arrête la politique de sécurité et alloue les ressources ; les arbitrages entre coût des mesures et exposition acceptée lui reviennent également. Les mesures retenues sont consignées dans une déclaration d’applicabilité, document qui justifie autant les contrôles mis en place que ceux jugés sans objet. Ces contrôles recouvrent des sujets concrets, de la gestion des habilitations à l’existence d’un plan de continuité d’activité testé.
La norme ne présuppose ni un secteur d’activité ni une taille d’organisation ; un cabinet de dix personnes et un groupe bancaire peuvent l’appliquer, avec des systèmes de management très différents.
L’appréciation des risques comme point de départ
Tout le dispositif découle d’une analyse structurée des menaces pesant sur l’information. Comprendre ce qui constitue un risque cyber pour l’organisation précède le choix des mesures : les actifs sont recensés, puis les scénarios redoutés sont décrits et évalués en vraisemblance comme en impact. Une cartographie des risques tenue à jour sert de support à cet exercice et de base de discussion avec la direction. Pour structurer l’analyse, l’ANSSI publie la méthode EBIOS Risk Manager, qui peut alimenter cette étape d’un SMSI.
Chaque risque évalué appelle ensuite une décision de traitement : réduction par des mesures, transfert, évitement d’une activité, ou acceptation en connaissance de cause. Comme les mesures retenues laissent toujours subsister une part d’exposition, le risque résiduel restant après traitement doit être formellement accepté par la direction ; cette acceptation documentée figure parmi les éléments que l’auditeur examine.
Le parcours de certification
Obtenir le certificat passe par un organisme de certification accrédité — en France, l’accréditation relève du Cofrac. L’audit initial se déroule généralement en deux temps : une revue de la conception du système, sur pièces, puis un audit consacré à son fonctionnement réel. Les auditeurs confrontent alors les documents aux pratiques, par entretiens et examen d’enregistrements ; les preuves d’efficacité des actions de sensibilisation ou de traitement des incidents en font typiquement partie.
Le certificat délivré couvre un périmètre précis et reste, dans le cas général, valable trois ans. Sur cette durée, le cycle comprend :
- des audits de surveillance, le plus souvent annuels, qui vérifient le maintien du système et le traitement des écarts relevés ;
- un audit de renouvellement à l’échéance, plus complet, qui ouvre un nouveau cycle ;
- une possibilité de suspension ou de retrait du certificat lorsque des non-conformités majeures ne sont pas corrigées.
Portée réelle du certificat
Un certificat ISO 27001 établit qu’un cadre de gestion de la sécurité existe et fonctionne sur le périmètre audité. Il ne garantit pas l’absence d’incident : une organisation certifiée peut subir une compromission, la norme attendant précisément d’elle qu’elle sache la détecter et y répondre. L’audit procède en outre par échantillonnage de processus ; il ne rejoue pas d’attaques et ne dit rien de l’état technique réel des systèmes, que seuls des tests d’intrusion ou une gestion des vulnérabilités suivie permettent d’apprécier.
Le périmètre constitue l’autre point de vigilance. Un certificat peut couvrir un centre d’hébergement sans englober le développement applicatif, ou une filiale sans s’étendre au reste du groupe. La lecture du certificat et, quand elle est communiquée, de la déclaration d’applicabilité permet d’établir ce qui a réellement été audité avant de s’appuyer sur ce résultat.
Ce que la certification pèse dans le secteur financier
Les appels d’offres bancaires mentionnent fréquemment ISO 27001 parmi les attentes adressées aux prestataires, notamment pour l’hébergement ou l’infogérance. Le certificat alimente aussi les dispositifs de notation et d’appréciation cyber des tiers, où il constitue un signal parmi d’autres éléments que le donneur d’ordres analyse lui-même.
Côté réglementaire, le règlement (UE) 2022/2554, dit DORA, impose aux entités financières un cadre de gestion du risque informatique et un suivi de leurs prestataires ; la certification d’un fournisseur ne dispense ni de l’inscrire au registre d’informations prévu par le texte, ni d’apprécier sa contribution à la résilience opérationnelle de l’établissement. La CNIL rappelle de son côté que la sécurité des données personnelles demeure une obligation légale, indépendante de toute certification. Un SMSI certifié fournit une ossature sur laquelle ces exigences réglementaires et les référentiels internes des groupes viennent s’articuler.
Questions fréquentes sur la certification ISO 27001
La certification ISO 27001 est-elle obligatoire pour un établissement financier ?
Il s’agit d’une démarche volontaire. Aucun texte n’impose la certification elle-même : les obligations du secteur, dont le règlement DORA, pèsent sur les établissements certifiés comme sur les autres. La démarche sert surtout à structurer le dispositif interne et à en démontrer la maturité auprès de clients ou d’auditeurs externes.
Combien de temps faut-il pour préparer la certification ?
La norme n’impose aucun délai et la durée dépend du point de départ : périmètre retenu, pratiques déjà en place, disponibilité des équipes. Le travail porte moins sur la rédaction documentaire que sur le fonctionnement effectif du système, car l’auditeur examine des enregistrements produits dans la durée, comme les revues de direction ou le traitement des incidents.
Un prestataire certifié doit-il encore être évalué ?
Oui. Le certificat atteste d’un système de management sur un périmètre donné, qui ne recouvre pas toujours le service effectivement acheté. Les directions des risques conservent donc leurs propres questionnaires et contrôles, en particulier pour les prestations jugées critiques, et intègrent le certificat comme une pièce du dossier parmi d’autres.
Quelle différence entre ISO/IEC 27001 et ISO/IEC 27002 ?
ISO/IEC 27001 formule des exigences vérifiables : c’est sur elle que porte la certification. ISO/IEC 27002 est un guide qui détaille la mise en œuvre des mesures de sécurité de l’information ; elle sert de référence pendant la construction du système de management, mais ne donne pas lieu, à elle seule, à une certification.
