Le problème
La certification ISO/IEC 27001 est de plus en plus souvent une condition d’accès aux marchés : un donneur d’ordre l’exige, un appel d’offres la mentionne, un partenaire en fait un prérequis contractuel. L’échéance est alors subie, et la tentation est grande de produire rapidement un corpus documentaire destiné à passer l’audit.
Cette approche échoue régulièrement, pour une raison simple : un auditeur ne vérifie pas que les documents existent, il vérifie que le système fonctionne et que des preuves le démontrent sur la durée.
Les enjeux et les risques
Un SMSI construit uniquement pour l’audit produit des non-conformités en audit de surveillance, mobilise des équipes qui n’en comprennent pas l’intérêt, et se dégrade dès que la pression retombe. Le coût réel se paie au cycle suivant.
Un SMSI construit correctement demande davantage d’effort initial, mais il donne une analyse de risques qui sert aux décisions, une documentation que les équipes utilisent, et des preuves produites par le fonctionnement normal de l’organisation plutôt que reconstituées avant chaque audit.
La prestation
Nous accompagnons la mise en place d’un système de management de la sécurité de l’information conforme aux exigences de la norme ISO/IEC 27001, de l’état des lieux jusqu’à la préparation de l’audit de certification. L’accompagnement couvre les douze étapes suivantes :
- diagnostic initial et analyse des écarts par rapport aux exigences de la norme ;
- définition du périmètre du système de management ;
- compréhension du contexte de l’organisation et identification des parties intéressées ainsi que de leurs exigences ;
- analyse et traitement des risques liés à la sécurité de l’information, selon une méthode documentée et reproductible ;
- élaboration de la Déclaration d’applicabilité, avec la justification de chaque mesure retenue ou écartée ;
- définition des mesures de sécurité et attribution des responsabilités associées ;
- élaboration et structuration de la documentation du système ;
- accompagnement à la mise en œuvre des mesures retenues ;
- organisation de la collecte et de la conservation des preuves ;
- préparation aux audits internes, y compris la formation pratique des auditeurs internes désignés ;
- préparation à l’audit de certification, revue de direction comprise ;
- accompagnement à l’amélioration continue après la certification.
L’accompagnement est adapté au contexte, au périmètre et à la maturité de chaque organisation. Une structure de trente personnes et un groupe multisites ne mobilisent ni le même effort, ni le même niveau de formalisme.
Un point à clarifier dès le départ
La certification est délivrée par un organisme certificateur indépendant, à l’issue d’un audit conduit par ses propres auditeurs. Un cabinet qui vous accompagne ne peut pas vous certifier : l’indépendance entre accompagnement et certification est une exigence du dispositif. Notre rôle est de vous conduire à l’audit dans les meilleures conditions, pas de garantir son résultat.
Les livrables
- le rapport d’analyse des écarts et le plan de mise en conformité associé ;
- la documentation du système : politique, périmètre, procédures, rôles et responsabilités ;
- la méthode d’appréciation des risques, le registre des risques et le plan de traitement ;
- la Déclaration d’applicabilité ;
- le dispositif de collecte des preuves et le calendrier des contrôles ;
- le programme d’audit interne et les rapports d’audit blanc ;
- le dossier de préparation à l’audit de certification.
Ce que cela change
Au-delà du certificat, l’organisation obtient une analyse de risques qui éclaire ses décisions, des processus formalisés qui survivent aux départs, une gouvernance dont les responsabilités sont nommées, et une traçabilité qui transforme chaque audit suivant en vérification plutôt qu’en reconstruction.
Prochaine étape
Indiquez le périmètre envisagé, l’échéance visée et ce qui existe déjà. Nous vous proposons un diagnostic d’écarts, qui détermine à lui seul la durée réaliste de la démarche.