Comprendre et appliquer la norme ISO/IEC 27001:2022 : construire un SMSI, apprécier les risques, choisir les 93 mesures de l'annexe A, préparer les preuves et passer la certification.
ISO/IEC 27001 est une norme publiée conjointement par l'ISO et la CEI. Son titre complet dit l'essentiel : Sécurité de l'information, cybersécurité et protection de la vie privée — Systèmes de management de la sécurité de l'information — Exigences. Le mot important est « exigences » : c'est la seule norme de sa famille contre laquelle une organisation peut être certifiée.
La version en vigueur est ISO/IEC 27001:2022, complétée par un amendement de 2024 sur le changement climatique. Les certificats basés sur l'ancienne version de 2013 ont tous expiré le 31 octobre 2025. Si un fournisseur vous présente aujourd'hui un certificat « 27001:2013 », il n'est plus valide.
La norme protège l'information, quel que soit son support : une base PostgreSQL, un classeur papier, un tableau blanc photographié en réunion, la mémoire d'un développeur qui connaît le mot de passe root. Trois propriétés servent de boussole :
| Propriété | Question | Exemple d'atteinte chez Factura |
|---|---|---|
| Confidentialité | Seules les personnes autorisées y accèdent ? | Un export de factures clients laissé dans un bucket public |
| Intégrité | L'information est-elle exacte et complète ? | Un bug de migration qui modifie des montants |
| Disponibilité | Est-elle accessible quand on en a besoin ? | Une panne de trois jours pendant la clôture mensuelle |
On parle souvent de « triade CIA », pour Confidentiality, Integrity, Availability. Tout le reste de la norme sert à protéger ces trois propriétés, à un niveau proportionné aux risques.
ISO 27001 décrit un SMSI, système de management de la sécurité de l'information. En anglais, ISMS. Le mot « système » est trompeur pour un développeur : ce n'est pas un logiciel. C'est un ensemble de règles, de rôles, de processus et de preuves qui font que la sécurité est pilotée plutôt que subie.
Concrètement, un SMSI répond en permanence à quelques questions :
La logique suit le cycle PDCA (Plan, Do, Check, Act), commun à toutes les normes de management ISO :
Un SMSI n'est jamais « terminé ». Une certification obtenue puis laissée à l'abandon tombe au premier audit de surveillance, un an plus tard.
ISO 27001 ne vit pas seule. Plusieurs normes l'accompagnent, et il faut savoir lesquelles lire :
| Norme | Rôle | Certifiable |
|---|---|---|
| ISO/IEC 27000 | Vocabulaire et définitions | Non |
| ISO/IEC 27001 | Exigences du SMSI | Oui |
| ISO/IEC 27002 | Guide de mise en œuvre des 93 mesures | Non |
| ISO/IEC 27005 | Méthode de gestion des risques | Non |
| ISO/IEC 27017 | Mesures complémentaires pour le cloud | Non (extension) |
| ISO/IEC 27018 | Données personnelles dans le cloud public | Non (extension) |
| ISO/IEC 27701 | Management de la protection de la vie privée | Oui |
La 27001 est courte : une vingtaine de pages. Elle dit quoi faire. La 27002 est plus épaisse et dit comment appliquer chaque mesure. En pratique, on lit les deux côte à côte. Les normes sont payantes, autour de 150 à 200 € chacune sur le site de l'ISO ou de l'AFNOR.
Soyons honnêtes : la plupart des entreprises se lancent pour une raison commerciale. Un appel d'offres l'exige, un client grand compte la demande, un concurrent l'affiche. Ce n'est pas un mauvais point de départ, à condition de ne pas s'arrêter là.
Les autres raisons arrivent ensuite :
Ce que la norme ne garantit pas : l'absence d'incident. Une entreprise certifiée peut être piratée. La certification prouve qu'elle gère ses risques de façon structurée et qu'elle saura réagir, pas qu'elle est invulnérable.
C'est l'erreur la plus fréquente chez les techniciens : chercher la liste des réglages obligatoires. Elle n'existe pas. ISO 27001 n'impose ni chiffrement AES-256, ni authentification à deux facteurs partout, ni rotation des mots de passe tous les 90 jours.
Elle impose de justifier vos choix. Si Factura décide de ne pas chiffrer les sauvegardes d'un environnement de démonstration qui ne contient que des données fictives, c'est acceptable, à condition que ce soit une décision consciente, fondée sur l'analyse de risques et documentée. L'auditeur ne vérifie pas que vous avez fait comme tout le monde. Il vérifie que vous avez fait ce que vous aviez dit, pour des raisons que vous savez expliquer.
Cette liberté est la force de la norme. Une startup de dix personnes et une banque peuvent être certifiées toutes les deux, avec des SMSI qui n'ont rien à voir.
Pour la suite du cours, voici l'entreprise qu'on va accompagner :
Factura SAS
├── 25 salariés : 12 développeurs, 4 support, 5 commerciaux, 4 direction/admin
├── Produit : SaaS de facturation et relances, 1 800 clients PME
├── Stack : Next.js, API Node.js, PostgreSQL, Redis, stockage objet S3
├── Hébergement : cloud français, deux zones de disponibilité
├── Outils : GitHub, Google Workspace, Slack, Jira, Notion
└── Objectif : certification ISO 27001 dans 12 mois
(appel d'offres d'un groupement hospitalier)Factura n'a pas de RSSI à plein temps. Le CTO, Camille, portera le projet avec l'aide d'un consultant quelques jours par mois. C'est la situation de la majorité des PME qui passent la certification.
Le chapitre suivant ouvre la norme et parcourt sa structure, clause par clause.