La norme ISO/IEC 27001 expliquée aux PME : exigences, contrôles et audit

Vous voulez répondre à un appel d’offres d’une grande organisation, et le cahier des charges exige la certification ISO/IEC 27001. Votre équipe protège bien ses données, mais aucun document ne le prouve. Voici ce qu’est la norme, ce qu’elle demande à une petite entreprise et par où commencer.

Ce qu’est ISO/IEC 27001

ISO/IEC 27001 est la norme internationale pour un système de gestion de la sécurité de l’information (SMSI). L’Organisation internationale de normalisation (ISO) et la Commission électrotechnique internationale (IEC) la publient ensemble. La version française de la norme parle de « système de management de la sécurité de l’information ». L’édition actuelle est ISO/IEC 27001:2022, publiée en octobre 2022. L’amendement 1, publié en février 2024, ajoute les changements climatiques aux enjeux à examiner quand vous décrivez votre contexte.

Le SMSI est la façon dont votre entreprise gère la sécurité de l’information : le périmètre, les rôles, les décisions sur les risques, les contrôles et les revues régulières. Il vise à protéger la confidentialité, l’intégrité et la disponibilité de l’information.

Une flotte de camionnettes de livraison offre une bonne comparaison. Une nouvelle serrure sur une camionnette est un contrôle. Le programme dit qui vérifie chaque véhicule, à quelle fréquence, quoi réparer en premier et comment prouver que le travail est fait. ISO/IEC 27001 décrit ce programme pour la sécurité de vos informations.

L’ISO rédige la norme, mais elle ne certifie personne. Un organisme de certification accrédité audite votre SMSI et délivre le certificat. Au Canada, le Conseil canadien des normes (CCN) accrédite les organismes de certification pour les systèmes de gestion de la sécurité de l’information. Une entreprise « alignée sur » ISO/IEC 27001 suit la norme, mais ne détient aucun certificat. Aucun organisme accrédité ne l’a auditée.

Pourquoi cela compte pour une PME

La certification ISO/IEC 27001 est volontaire, et la norme s’applique aux organisations de toute taille et de tout secteur. Pour une petite ou moyenne entreprise (PME), trois raisons ressortent :

• Vos clients le demandent. Les grands clients et les partenaires peuvent exiger un certificat avant de signer.
• Un plan ordonné. La norme donne une structure à votre travail de sécurité, avec un responsable, une méthode d’analyse des risques et un cycle de revue.
• Vos fournisseurs. Vous pouvez demander leur certificat à vos propres fournisseurs. Il faut ensuite en lire le périmètre et l’édition.

ISO/IEC 27001 diffère de SOC 2. SOC 2 est un rapport d’attestation d’un cabinet de CPA (comptables professionnels agréés) indépendant, selon les Trust Services Criteria de l’Institut américain des CPA (AICPA). ISO/IEC 27001 mène à un certificat pour un système de gestion, délivré par un organisme de certification accrédité. Demandez à vos clients lequel des deux ils acceptent.

Un certificat ne prouve pas, à lui seul, que vous respectez la Loi 25 ou la LPRPDE. Associez d’abord chaque obligation légale à un contrôle.

Ce que la norme demande

La norme compte deux parties : les exigences des articles 4 à 10, et la liste de référence des contrôles de l’annexe A.

Les articles du système de gestion

• Article 4, Contexte : définissez le périmètre du SMSI, les enjeux qui le touchent et les parties intéressées. Depuis 2024, vous déterminez aussi si les changements climatiques sont un enjeu pertinent.
• Article 5, Leadership : la direction s’engage envers le SMSI, approuve une politique de sécurité de l’information et attribue les rôles.
• Article 6, Planification : évaluez les risques pour la sécurité de l’information, choisissez le traitement de chacun et fixez des objectifs. Les changements au SMSI doivent aussi être planifiés.
• Article 7, Support : fournissez les personnes, les compétences, la sensibilisation, la communication et les documents dont le SMSI a besoin.
• Article 8, Fonctionnement : réalisez le plan, refaites l’évaluation des risques et encadrez ce que des fournisseurs externes font pour vous.
• Article 9, Évaluation des performances : surveillez et mesurez, menez des audits internes et tenez des revues de direction.
• Article 10, Amélioration : corrigez les non-conformités, agissez sur leurs causes et continuez à vous améliorer.

L’annexe A : 93 contrôles en quatre thèmes

L’annexe A énumère 93 contrôles répartis en quatre thèmes : organisationnels, liés aux personnes, physiques et technologiques. Par exemple : les politiques de sécurité, la vérification des antécédents, la sensibilisation, l’accès physique, les sauvegardes et le développement sécurisé. L’édition 2013 comptait 114 contrôles répartis en 14 articles.

L’annexe A n’est pas une liste à cocher. Vous choisissez vos contrôles lors du traitement des risques, puis vous les comparez à l’annexe A pour vérifier qu’aucun contrôle nécessaire ne manque. ISO/IEC 27002 est la norme d’accompagnement qui sert de guide. Elle explique chaque contrôle et sa mise en place. On ne peut pas être certifié selon ISO/IEC 27002.

La déclaration d’applicabilité

La déclaration d’applicabilité (DdA, ou SoA en anglais) est un document obligatoire. Elle liste les contrôles dont vous avez besoin, justifie chacun et indique s’il est en place. Elle explique aussi pourquoi vous avez exclu un contrôle de l’annexe A. Elle relie vos décisions sur les risques à vos contrôles.

L’audit de certification

L’audit initial compte deux étapes. L’étape 1 vérifie si vous êtes prêt : vos documents, votre périmètre et vos plans. L’étape 2 vérifie que le SMSI fonctionne en pratique. Un cycle de certification dure en général trois ans. Des audits de surveillance ont lieu au moins une fois par année civile, sauf l’année du renouvellement. Le premier a lieu au plus tard 12 mois après la décision de certification.

La transition depuis l’édition 2013 a pris fin le 31 octobre 2025. Toutes les certifications fondées sur ISO/IEC 27001:2013 ont alors expiré ou ont été retirées. Un certificat valide mentionne maintenant l’édition 2022.

Comment aborder le sujet

1. Demandez à vos clients ce dont ils ont besoin : un certificat, ou des réponses à leur questionnaire.
2. Fixez le périmètre. Nommez les unités d’affaires, les lieux, les systèmes et les données que le SMSI couvre.
3. Désignez un responsable et obtenez l’appui de la direction. La norme exige les deux.
4. Dressez la liste de vos actifs informationnels, puis évaluez les risques pour chacun.
5. Choisissez un traitement pour chaque risque. Comparez vos contrôles à l’annexe A et servez-vous d’ISO/IEC 27002 comme guide. Rédigez votre déclaration d’applicabilité.
6. Appliquez les contrôles et conservez les preuves : exportations datées, journaux et fiches signées.
7. Menez un audit interne et une revue de direction. Corrigez ce qu’ils relèvent.
8. Choisissez un organisme de certification accrédité. Au Canada, vérifiez que le CCN ou un autre organisme d’accréditation reconnu l’accrédite pour ISO/IEC 27001.

Erreurs courantes

• Acheter une trousse de modèles et l’appeler un SMSI. Des documents seuls ne montrent pas que le SMSI fonctionne.
• Cocher les 93 contrôles de l’annexe A au lieu de partir de vos risques.
• Choisir un périmètre si étroit que le certificat ne couvre pas ce qui compte pour vos clients.
• Sauter l’audit interne ou la revue de direction avant l’étape 1.
• Dire « certifié » quand vous êtes seulement « aligné sur » la norme.
• Accepter le certificat ISO/IEC 27001:2013 d’un fournisseur. Il n’est plus valide.
• Voir le certificat comme la ligne d’arrivée. Les audits de surveillance reviennent chaque année.

Comment NextIT vous aide

NextIT suit votre progression selon ISO/IEC 27001, la Loi 25, SOC 2, le NIST CSF et d’autres cadres. L’évaluation de conformité affiche votre score pour chaque cadre que vous suivez. Gestion des contrôles et Référentiel de preuves gardent chaque contrôle avec sa preuve, et vous pouvez trier les preuves par échéance pour les renouveler à temps. Le rapport de conformité couvre un cadre à la fois et s’exporte en PDF pour un auditeur. Pour voir comment cela s’applique à votre entreprise, réservez une démonstration.