ISO 27001 : comprendre les 93 mesures de l'Annexe A

ISO/IEC 27001 souffre d'une réputation d'inaccessibilité : longue, coûteuse, réservée aux grands comptes. Cette réputation vient surtout d'une confusion sur ce que la norme demande réellement.

La certification ne se joue pas dans l'Annexe A. Elle se joue dans les clauses 4 à 10, qui décrivent le système de management. L'Annexe A, elle, est un catalogue de mesures à sélectionner — pas une liste à cocher intégralement. Comprendre cette distinction change tout à la façon de vendre et de conduire une mission.

Ce que la norme demande vraiment#

ISO 27001 certifie un SMSI — un système de management de la sécurité de l'information. Autrement dit : un processus, pas un niveau technique.

Un auditeur ne vient pas vérifier que vous avez le bon pare-feu. Il vient vérifier que vous savez :

• quel est votre périmètre et votre contexte (clause 4) ;
• que la direction s'engage et alloue des ressources (clause 5) ;
• que vous identifiez et traitez vos risques (clause 6) ;
• que vous avez compétences, sensibilisation et documentation (clause 7) ;
• que vous opérez ce que vous avez planifié (clause 8) ;
• que vous mesurez et auditez (clause 9) ;
• que vous corrigez et améliorez (clause 10).

Une PME avec une infrastructure modeste mais un système de management honnête est certifiable. Une entreprise très bien outillée mais incapable de prouver un processus ne l'est pas.

La structure de l'Annexe A depuis 2022#

La révision de 2022 a réorganisé l'Annexe A en profondeur. On est passé de 114 mesures réparties en 14 domaines à 93 mesures réparties en 4 thèmes.

La réorganisation n'a pas supprimé grand-chose : elle a surtout fusionné des mesures redondantes et ajouté onze mesures nouvelles, dont plusieurs traduisent l'évolution des pratiques.

Les mesures ajoutées en 2022#

Elles méritent une attention particulière, car ce sont celles que les organisations certifiées avant 2022 découvrent en transition :

• Veille sur les menaces (threat intelligence)
• Sécurité de l'informatique en nuage
• Préparation des TIC pour la continuité d'activité
• Surveillance de la sécurité physique
• Gestion de la configuration
• Suppression de l'information
• Masquage des données
• Prévention de la fuite de données
• Activités de surveillance
• Filtrage web
• Codage sécurisé

Sept des onze concernent directement des sujets qu'un prestataire informatique opère déjà pour ses clients. C'est un angle commercial : ces mesures ne sont pas un chantier de plus, ce sont vos prestations existantes qu'il faut documenter comme des mesures.

La déclaration d'applicabilité, pièce maîtresse#

La déclaration d'applicabilité (SoA, Statement of Applicability) est le seul document que tout auditeur ouvre en premier. Elle recense les 93 mesures et, pour chacune :

• si elle est applicable au périmètre — et sinon, pourquoi ;
• si elle est mise en œuvre, et à quel degré ;
• où en est la preuve.

L'erreur classique consiste à déclarer les 93 mesures applicables « par prudence ». C'est le plus sûr moyen de créer 93 obligations de preuve, dont une bonne partie sans objet. Une exclusion justifiée est parfaitement acceptable ; une exclusion non justifiée est une non-conformité.

Une SoA honnête, avec dix exclusions argumentées, passe mieux qu'une SoA exhaustive dont la moitié des preuves sont vides.

Ce que ça implique pour un prestataire#

Ne pas repartir de zéro#

Un client qui a déjà fait un diagnostic de sécurité — par exemple sur les 42 mesures d'hygiène de l'ANSSI — a déjà répondu, sans le savoir, à une large part de l'Annexe A. Les mesures d'hygiène de base, le contrôle d'accès, la journalisation, les sauvegardes : tout cela se transpose.

Refaire saisir au client un second questionnaire de 93 lignes après un premier de 42 est le meilleur moyen de perdre la mission. La bonne approche consiste à dériver la SoA du diagnostic déjà réalisé, et à ne poser que les questions réellement nouvelles.

La certification n'est pas toujours l'objectif#

Beaucoup de PME n'ont pas besoin du certificat. Elles ont besoin de répondre à un questionnaire client qui demande « êtes-vous alignés ISO 27001 ? ». C'est une mission plus courte, moins chère, et bien plus fréquente.

Vendre systématiquement le parcours complet de certification à des clients qui veulent seulement passer un audit fournisseur est une erreur de qualification. Proposez les deux niveaux :

1. Alignement — SoA renseignée, écarts identifiés, preuves rassemblées. Quelques semaines.
2. Certification — SMSI complet, clauses 4 à 10, audit interne, revue de direction, audit de certification. Plusieurs mois.

Le calendrier réel#

Pour une PME de 50 à 200 personnes, sans historique de management de la sécurité, un parcours de certification honnête tient rarement en moins de neuf à douze mois. Les points qui prennent le plus de temps ne sont presque jamais techniques :

• constituer un inventaire d'actifs qui reflète la réalité ;
• faire réellement tenir une revue de direction ;
• produire un audit interne qui ne soit pas de complaisance ;
• rassembler des preuves datées plutôt que des captures d'écran de la semaine de l'audit.

Les erreurs qui coûtent cher#

Confondre ISO 27001 et ISO 27002. La 27001 est la norme certifiable ; la 27002 est le guide de mise en œuvre qui détaille chaque mesure. On se certifie sur la 27001.

Traiter l'analyse de risque comme une formalité. C'est le cœur de la clause 6, et c'est ce qui justifie vos choix d'Annexe A. Une analyse bâclée fragilise toute la SoA en aval.

Documenter pour l'auditeur plutôt que pour l'exploitation. Une politique que personne n'applique est une non-conformité qui s'annonce, pas une preuve.

Oublier la surveillance continue. L'audit de certification n'est que le début : des audits de surveillance suivent, généralement annuels, sur un cycle de trois ans.

En résumé#

L'Annexe A n'est pas une checklist de 93 obligations : c'est un catalogue dans lequel on sélectionne, en justifiant. Le vrai travail de certification se trouve dans les clauses 4 à 10.

Pour un prestataire, la marge se situe dans la capacité à réutiliser ce qui existe déjà — un diagnostic, des preuves, une cartographie — plutôt qu'à faire recommencer le client. C'est aussi ce qui distingue une mission rentable d'un projet qui déborde.

Si vos clients relèvent également de la directive NIS2, notez que les dix mesures de l'article 21 recoupent largement l'Annexe A : un seul socle de preuves peut servir les deux exigences.