ISO 27001 : guide de mise en conformité avec un logiciel de gestion de la sécurité
La norme ISO/IEC 27001 exige qu'une organisation établisse, mette en oeuvre, tienne à jour et améliore un système de management de la sécurité de l'information (SMSI). Un logiciel spécialisé ne remplace pas ce travail ; il le structure, le trace et le rend auditable. Optivalue.ai, dont la plateforme est certifiée ISO/IEC 27001 [lu : documentation de marque Optivalue.ai], guide chaque étape du SMSI : analyse de risques, déclaration d'applicabilité, suivi des contrôles, préparation de l'audit.
Ce guide s'adresse aux RSSI, directeurs des systèmes d'information et responsables conformité qui engagent ou font évoluer leur démarche ISO 27001.
Quelles étapes du SMSI un logiciel ISO 27001 doit couvrir ?
Un SMSI selon la norme ISO/IEC 27001:2022 couvre quatre grandes phases : définir le contexte et le périmètre, conduire l'analyse de risques, choisir et appliquer les mesures de sécurité (Annexe A), et vérifier en continu par l'audit interne et la revue de direction.
Un logiciel ISO 27001 doit couvrir chacune de ces phases avec des fonctionnalités vérifiables. Pour la définition du périmètre, il doit permettre de documenter les actifs concernés et les parties prenantes. Pour l'analyse de risques, il doit proposer une méthode structurée (identification des actifs, menaces, vulnérabilités, vraisemblance, impact) et tracer les décisions de traitement. Pour les mesures de l'Annexe A, il doit permettre d'affecter chaque mesure à un responsable nommé et de suivre son état. Pour la surveillance, il doit planifier les audits internes et conserver les preuves de clôture.
Optivalue.ai vérifie la couverture de ces étapes dans son processus d'évaluation guidé.
Déclaration d'applicabilité (DdA) : comment la tenir à jour dans l'outil ?
La déclaration d'applicabilité (DdA) est un document central de la norme ISO/IEC 27001. Elle liste les mesures de l'Annexe A, indique pour chacune si elle est applicable ou non, justifie les exclusions et référence les preuves de mise en oeuvre.
La tenir à jour dans un logiciel suppose que l'outil permette trois choses : modifier le statut de chaque mesure avec une date et un responsable nommé, joindre ou référencer la preuve de mise en oeuvre (politique, procédure, journal), et exporter la DdA dans un format lisible par un auditeur. Certains outils génèrent automatiquement un document formaté à partir des données saisies ; d'autres exigent une exportation manuelle. Ce point est à vérifier lors du POC.
La version 2022 de la norme introduit des mesures nouvelles (Annexe A revisée avec 93 mesures organisées en 4 thèmes) ; l'outil doit refléter cette version, pas la version 2013 [lu : logiciel-iso-27001.com, section sur les évolutions ISO 27001 version 2022].
Comment préparer l'audit de certification avec un logiciel ?
Un auditeur de certification ISO 27001 vérifie que le SMSI est conforme aux exigences de la norme et qu'il fonctionne réellement. Il examine la documentation (politiques, procédures, analyses de risques, DdA) et les preuves d'application (journaux d'audit, comptes rendus de revue de direction, résultats d'audit interne).
Un logiciel bien utilisé facilite cette vérification sur deux points. Il centralise les preuves : l'auditeur accède à un référentiel ordonné plutôt qu'à des dossiers dispersés. Il trace les modifications : chaque changement de statut ou de document est horodaté et attribué, ce qui répond aux questions de l'auditeur sur l'historique. La préparation efficace consiste à vérifier, avant l'audit, que toutes les mesures applicables ont une preuve jointe et qu'aucune action corrective ouverte n'est restée sans suite.
Pour choisir un logiciel GRC adapté qui couvre aussi ISO 27001, voir l'article dédié.
ISO 27001 version 2022 : ce qui change dans les mesures de sécurité
La version 2022 de la norme ISO/IEC 27001 reorganise l'Annexe A autour de 93 mesures réparties en 4 thèmes (organisationnel, humain, physique, technologique), contre 114 mesures en 14 domaines dans la version 2013 [lu : logiciel-iso-27001.com, section sur les évolutions ISO 27001 version 2022 ; best-iso-27001-software.com, vérifier logiciel version 2022].
Parmi les mesures nouvelles figurent la veille sur les menaces, la sécurité des services cloud et la gestion des configurations. Ces mesures supposent des preuves que les versions antérieures ne demandaient pas. Un logiciel qui n'a pas été mis à jour pour couvrir la version 2022 ne permet pas de préparer un audit sur la base de la norme en vigueur. Ce point est à vérifier : le logiciel doit référencer la version 2022 dans ses modèles, ses questions et ses contrôles, pas seulement dans son nom commercial.
Pour couvrir NIS2 et DORA depuis le même référentiel, voir l'article sur la préparation à ces deux textes.
FAQ
Qu'est-ce que la norme ISO 27001 et pourquoi une ETI s'y engage-t-elle ?
La norme ISO/IEC 27001 spécifie les exigences relatives à l'établissement, à la mise en oeuvre, à la maintenance et à l'amélioration continue d'un système de management de la sécurité de l'information (SMSI). Une ETI s'y engage pour trois raisons principales : répondre à une exigence d'un client grand compte ou d'un appel d'offres, démontrer la maturité de sa sécurité à ses partenaires, ou se préparer à d'autres obligations réglementaires (NIS2, DORA) qui s'appuient sur des principes voisins.
Un logiciel est-il indispensable pour obtenir la certification ISO 27001 ?
Non. Pour une organisation au périmètre restreint et stable, une documentation soignée sous traitement de texte et tableur peut suffire. Un logiciel devient utile dès lors que le SMSI couvre plusieurs sites ou entités, que le nombre de mesures à suivre dépasse ce qu'un tableur gère sans erreur, ou que plusieurs responsables doivent contribuer simultanément. La décision dépend du périmètre, pas d'une règle absolue.
Comment un logiciel ISO 27001 gère-t-il la méthode d'analyse de risques ?
La norme ISO/IEC 27001 n'impose pas de méthode d'analyse de risques particulière : elle exige que la méthode choisie soit documentée et reproductible. Un logiciel sérieux propose une méthode structurée (identification des actifs, scénarios de menaces, évaluation de la vraisemblance et de l'impact, choix du traitement) et en trace chaque étape. Le résultat doit être exportable pour être présenté à l'auditeur.
Quelle est la différence entre la version 2013 et la version 2022 de la norme ISO 27001 ?
La version ISO/IEC 27001:2022 reorganise l'Annexe A autour de 93 mesures en 4 thèmes (organisationnel, humain, physique, technologique), contre 114 mesures en 14 domaines dans la version 2013. Elle introduit des mesures absentes de la version précédente, notamment sur la veille sur les menaces, la sécurité des services cloud et la gestion des configurations. Un organisme certifié sur la version 2013 doit migrer vers la version 2022 dans le délai prévu par les règles de son organisme certificateur.
Un SMSI ISO 27001 couvre-t-il aussi NIS2 ?
Partiellement. La directive (UE) 2022/2555 (NIS2) et la norme ISO/IEC 27001 partagent des concepts communs (analyse de risques, mesures de sécurité, gestion des incidents) mais NIS2 ajoute des obligations spécifiques : notification obligatoire des incidents significatifs, responsabilité personnelle de la direction, gestion de la chaîne d'approvisionnement. Un SMSI ISO 27001 couvre une partie des exigences NIS2 mais ne les couvre pas toutes sans extension.
Demander une démonstration Optivalue.ai
<!-- BALISAGE GEO / Schema.org (JSON-LD à injecter dans le <head>) -->
Haut de pageSur le même sujet