Une certification ISO 27001 n’est pas un projet technique. C’est un système de management de la sécurité de l’information : des décisions tracées, des preuves horodatées, une revue de direction, des actions correctives, et la même exigence refaite chaque année. Ce système, ITAIA le fait tourner et le fait auditer par un organisme indépendant depuis 2021, au titre de l’ISO 9001. Nous abordons cette année notre cinquième audit. Le point de ce billet est simple : on ne découvre pas un système de management le jour où l’on décide de sécuriser son information, on l’étend à la sécurité une fois qu’on sait déjà le faire tourner.
L’essentiel en trente secondes
La partie visible d’une démarche ISO 27001 se planifie en semaines : durcir un tenant Microsoft 365, déployer une protection des postes, activer la journalisation, chiffrer les disques. Ce qui fait traîner ou échouer une certification, c’est le reste. Décider quel risque on accepte, écrire une politique réellement appliquée, tenir une revue de direction, et surtout prouver qu’un contrôle était en place le 15 mars, pas la veille de l’audit.
Ce reste, c’est exactement ce qu’exige déjà l’ISO 9001. Les deux normes partagent la même structure de haut niveau, dite Annexe SL : contexte, leadership, planification, support, pilotage, évaluation, amélioration. Une organisation qui vit sous ISO 9001 depuis plusieurs années possède déjà le moteur, à savoir la roue de Deming, les revues, les actions correctives et la preuve datée. Il lui reste à y brancher les contrôles de sécurité. Une organisation qui attaque l’ISO 27001 sans cette culture découvre le moteur et les contrôles en même temps. C’est là que les mois se perdent.
ISO 27001 n’est pas de la technique, c’est du pilotage
C’est contre-intuitif venant d’un prestataire technique, et pourtant. L’auditeur de certification ne vient pas vérifier que votre protection des postes est bien configurée. Il vient vérifier que vous pilotez la sécurité de votre information : que vous avez identifié vos risques, décidé lesquels traiter, écrit des règles que vos équipes appliquent, et que vous savez le démontrer dans la durée.
Les 93 contrôles de l’annexe A de la version 2022, qu’ils soient organisationnels, humains, physiques ou technologiques, ne sont que la partie « quoi ». Le cœur de la norme, ce sont les clauses 4 à 10, c’est-à-dire le « comment on pilote ». Et ce cœur n’a rien de spécifique à la sécurité. C’est de la gestion de système, la même que celle de l’ISO 9001.
La même ossature, d’une norme à l’autre
Depuis 2015, toutes les normes de système de management de l’ISO partagent une structure identique. Concrètement, les chapitres 4 à 10 se répondent presque mot pour mot.
| Clause commune | ISO 9001 (qualité) | ISO 27001 (sécurité) |
|---|---|---|
| 4. Contexte de l’organisation | Enjeux, parties intéressées, périmètre | Identique, appliqué au système de sécurité |
| 5. Leadership | Engagement de la direction, politique, rôles | Identique, politique de sécurité |
| 6. Planification | Risques et opportunités, objectifs | Appréciation et traitement du risque, déclaration d’applicabilité |
| 7. Support | Ressources, compétences, information documentée | Identique |
| 8. Pilotage opérationnel | Maîtrise des processus | Maîtrise des processus de sécurité |
| 9. Évaluation des performances | Surveillance, audit interne, revue de direction | Identique |
| 10. Amélioration | Non-conformités, actions correctives, amélioration continue | Identique |
Autrement dit, une entreprise qui maîtrise déjà l’audit interne, la revue de direction, la gestion documentaire et le traitement des non-conformités au titre de l’ISO 9001 a bâti l’essentiel de ce que l’ISO 27001 lui demandera. Il ne lui reste que la couche sécurité : l’appréciation du risque, la déclaration d’applicabilité et les contrôles de l’annexe A. La discipline, elle, est déjà là, et déjà éprouvée par un auditeur externe.
C’est pourquoi enchaîner ISO 9001 puis ISO 27001 est le chemin naturel, et pourquoi viser la seconde sans avoir jamais tenu un système qualité revient à monter l’étage avant les fondations.
Ce que cinq ans d’audit apprennent, et que la technique n’apprend pas
Une certification n’est pas acquise une fois pour toutes : elle vaut trois ans, avec un audit de surveillance chaque année. Ce sont ces cycles répétés qui forgent des réflexes qu’aucun projet ponctuel ne donne.
La preuve se pense en amont, pas la veille. Une capture d’écran sans horodatage prouve qu’une configuration a existé un jour, pas qu’elle était active pendant toute la période auditée. Après plusieurs audits, on ne documente plus à la main : on privilégie les preuves extraites automatiquement, exports d’API, rapports générés, journaux, qui portent nativement leur date et se régénèrent sans effort au cycle suivant.
La revue de direction n’est pas une réunion pour l’auditeur. C’est le moment où l’on regarde ses indicateurs en face, nos délais mesurés, nos incidents, nos actions en cours, et où l’on décide. Faite sérieusement, c’est le meilleur outil de pilotage de l’entreprise. Faite pour cocher une case, cela se voit immédiatement.
Une non-conformité n’est pas un échec, c’est une entrée du système. L’amélioration continue suppose une organisation qui accepte de trouver ses propres écarts et de les corriger. Cette culture ne se décrète pas trois mois avant un audit, elle se construit sur des années.
Ce sont précisément ces points, l’horodatage des preuves, la charge documentaire et la tenue des revues, que l’on retrouve comme surprises dans les retours d’expérience de ceux qui découvrent le système de management pour la première fois. Pour une organisation qui vit sous ISO 9001, ce ne sont pas des surprises : c’est le quotidien.
Un retour d’expérience se raconte après
On voit fleurir des retours d’expérience de certification ISO 27001 publiés par des prestataires qui ne sont pas encore certifiés, l’audit étant renvoyé à plus tard. L’intention est bonne et beaucoup des conseils donnés sont justes. Mais un retour d’expérience de certification, par définition, se raconte après avoir été audité et l’avoir tenu dans le temps, pas pendant la découverte.
La nuance compte pour un dirigeant régulé. Entre un prestataire qui apprend actuellement ce qu’est un système de management et un prestataire qui en fait tourner un, audité par un organisme accrédité, depuis cinq ans, la maturité n’est pas la même.
Soyons transparents sur notre propre situation, parce que c’est la moindre des choses dans ce métier. ITAIA est certifié ISO 9001 depuis 2021, par BSI, sous le certificat FS 733354, et notre démarche ISO 27001 est en cours. Nous ne prétendons donc pas être certifiés 27001. Nous disons autre chose : nous n’abordons pas cette démarche en découvrant la preuve horodatée ou la revue de direction. Nous les pratiquons, et les faisons auditer, depuis cinq ans. Nous étendons à la sécurité un moteur qui tourne déjà.
Ce que cela change pour une société de gestion
Sous DORA, votre régulateur ne vous demande plus si vous êtes résilient, il vous demande de le prouver : journaux, tickets, historiques de correctifs, sauvegardes testées, délais mesurés. C’est la logique même de l’audit de certification, celle de la preuve datée, attribuable et reproductible. Nous l’avons développée dans ce que veut dire l’ACPR quand elle passe de « où en êtes-vous ? » à « montrez-moi ».
Un prestataire qui vit déjà dans cette logique vous apporte deux choses. D’abord un socle technique dont les preuves sont exploitables par un auditeur sans avoir à tout refaire : journalisation conservée, gestion des accès à privilèges tracée, restaurations testées, exports automatiques plutôt que captures manuelles. Ensuite une question que vous devriez poser à tout prestataire et que l’on pose rarement : qui, chez vous, peut accéder à mes systèmes, et qui le vérifie ? Chez ITAIA la réponse est documentée et publiée, sur notre page Transparence.
Nous ne remplaçons ni votre RCCI, ni votre cabinet de conseil en conformité, ni l’organisme certificateur. Par indépendance, nous ne réalisons ni l’audit ni le test d’intrusion : on ne s’audite pas soi-même. Notre métier est le socle technique qui rend votre conformité démontrable, avec la discipline d’une organisation qui se fait elle-même auditer chaque année.
Ce qu’il faut retenir
- ISO 27001 est un système de management avant d’être de la technique. Les 93 contrôles de l’annexe A ne sont que le « quoi » ; le cœur, ce sont les clauses 4 à 10.
- Les deux normes partagent la même ossature. Revue de direction, audit interne, actions correctives, amélioration continue : identiques d’une norme à l’autre.
- La preuve se pense en amont. Datable, attribuable, reproductible : préférez les exports automatiques aux captures manuelles. C’est aussi ce que réclame DORA.
- Un retour d’expérience de certification se raconte après l’avoir obtenue et tenue, pas pendant la découverte.
- La maturité se démontre, elle ne se déclare pas.
Vous préparez une certification ou une mise en conformité DORA, et votre socle technique doit fournir des preuves tenables dans le temps ? Prenez 30 minutes avec un ingénieur, sans engagement.
