Comprendre et appliquer la norme ISO/IEC 27001:2022 : construire un SMSI, apprécier les risques, choisir les 93 mesures de l'annexe A, préparer les preuves et passer la certification.
La déclaration d'applicabilité est le document que l'auditeur ouvre en premier et referme en dernier. Elle relie l'analyse de risques aux mesures réellement en place. Pour chacune des 93 mesures de l'annexe A, elle répond à trois questions : la mesure s'applique-t-elle ? Pourquoi ? Est-elle mise en œuvre ?
Avant de la remplir, il faut savoir ce que contient l'annexe A.
Le plus gros thème. Il couvre la gouvernance et les processus. Les mesures qui demandent le plus de travail dans une PME :
| Mesure | Intitulé | Ce que ça demande |
|---|---|---|
| 5.1 | Politiques de sécurité | Politique générale et politiques thématiques |
| 5.7 | Renseignement sur les menaces | Suivre les alertes pertinentes (CERT-FR, éditeurs) et en tirer des actions |
| 5.9 | Inventaire des informations et actifs | Liste des actifs avec propriétaires |
| 5.12 | Classification des informations | Niveaux de sensibilité (public, interne, confidentiel…) |
| 5.15 à 5.18 | Contrôle d'accès, identités, authentification, droits | Arrivées, départs, revues d'accès |
| 5.19 à 5.22 | Fournisseurs | Évaluer et suivre les prestataires |
| 5.23 | Services cloud | Choisir, utiliser et quitter un service cloud en sécurité |
| 5.24 à 5.28 | Incidents | Détecter, signaler, traiter, apprendre, collecter des preuves |
| 5.29, 5.30 | Continuité | Sécurité en situation de crise, préparation des TIC |
| 5.31 | Exigences légales | Registre des obligations (RGPD, contrats, secteur) |
| 5.34 | Vie privée et données personnelles | Articulation avec le RGPD |
Court, mais à ne pas négliger : la plupart des incidents passent par une personne.
| Mesure | Intitulé |
|---|---|
| 6.1 | Vérification des antécédents (dans le respect du droit du travail) |
| 6.2 | Conditions d'emploi (clauses de sécurité dans le contrat) |
| 6.3 | Sensibilisation, formation |
| 6.4 | Processus disciplinaire |
| 6.5 | Responsabilités après la fin du contrat |
| 6.6 | Engagements de confidentialité |
| 6.7 | Travail à distance |
| 6.8 | Signalement des événements de sécurité |
La mesure 6.1 se transpose prudemment en France : on ne peut pas exiger un extrait de casier judiciaire pour n'importe quel poste. La vérification se limite en général à l'identité, aux diplômes et aux références, proportionnellement au poste.
Locaux, équipements, supports. Pour une entreprise entièrement hébergée dans le cloud, une partie de ces mesures est assurée par l'hébergeur. Elles ne disparaissent pas pour autant : la sécurité du datacenter relève du fournisseur, que vous évaluez au titre de 5.19 à 5.23, en vérifiant ses propres certifications.
Restent chez vous : le bureau (7.1 à 7.3), le bureau propre et l'écran verrouillé (7.7), les équipements hors des locaux (7.9), les supports de stockage (7.10), la mise au rebut sécurisée des ordinateurs (7.14).
La mesure 7.4, surveillance de la sécurité physique, est nouvelle en 2022. Pour Factura, qui n'a qu'un bureau sans serveur, elle se réduit à une alarme et un contrôle d'accès par badge.
Le thème des développeurs et des ops, détaillé au chapitre suivant. En résumé :
Postes et accès 8.1 terminaux · 8.2 droits privilégiés · 8.3 restriction d'accès
8.5 authentification sécurisée
Protection 8.7 anti-malware · 8.8 vulnérabilités techniques
8.9 configuration · 8.10 suppression · 8.11 masquage
8.12 prévention des fuites
Résilience 8.13 sauvegarde · 8.14 redondance
Traçabilité 8.15 journalisation · 8.16 surveillance · 8.17 synchronisation des horloges
Réseau 8.20 à 8.22 réseaux · 8.23 filtrage web
Cryptographie 8.24
Développement 8.25 cycle de vie sécurisé · 8.26 exigences · 8.27 architecture
8.28 codage sécurisé · 8.29 tests · 8.30 externalisé
8.31 séparation des environnements · 8.32 gestion des changements
8.33 données de test · 8.34 protection pendant les auditsCe sont elles que les auditeurs regardent de près, parce qu'elles n'existaient pas dans les anciens SMSI :
| Mesure | Intitulé |
|---|---|
| 5.7 | Renseignement sur les menaces |
| 5.23 | Sécurité de l'information dans l'utilisation de services cloud |
| 5.30 | Préparation des TIC pour la continuité d'activité |
| 7.4 | Surveillance de la sécurité physique |
| 8.9 | Gestion de la configuration |
| 8.10 | Suppression des informations |
| 8.11 | Masquage des données |
| 8.12 | Prévention de la fuite de données |
| 8.16 | Activités de surveillance |
| 8.23 | Filtrage web |
| 8.28 | Codage sécurisé |
Trois d'entre elles concernent directement le travail d'un développeur : 8.9, 8.11 et 8.28.
La norme exige que la DdA contienne :
Un tableur suffit. Voici un extrait de celle de Factura :
Mesure | Intitulé | Applicable | Justification | Statut | Référence
-------+----------------------------------+------------+---------------------------------------+--------------+-------------------------
5.23 | Services cloud | Oui | R-003, R-019 ; hébergement 100 % cloud | En place | POL-fournisseurs v1.1
6.1 | Vérification des antécédents | Oui | R-021 ; accès aux données clients | En place | PROC-recrutement v1.0
7.4 | Surveillance physique | Oui | R-030 ; vol de postes au bureau | En place | Contrat télésurveillance
7.5 | Menaces physiques/environnement. | Non | Aucun serveur dans nos locaux ; | Exclue | Rapport SOC 2 / certif.
| | | couvert par l'hébergeur (5.23) | | 27001 hébergeur
8.11 | Masquage des données | Oui | R-014 ; copies de prod pour le debug | En cours | PTR action A-27, T2 2026
8.13 | Sauvegarde | Oui | R-009, R-010 ; perte de base | En place | POL-sauvegarde v1.2
8.30 | Développement externalisé | Non | Aucun développement sous-traité ; | Exclue | —
| | | à réévaluer si recours à un prestataire| |Trois remarques d'expérience.
Les exclusions doivent tenir debout. Exclure 8.30 parce qu'aucun développement n'est sous-traité est valable. Exclure 8.7 (anti-malware) parce que « les développeurs sont sous Mac » ne passera pas.
La justification d'inclusion pointe vers les risques. Une colonne « Justification » qui dit « bonne pratique » pour 93 lignes montre que la DdA a été remplie sans analyse de risques. Les raisons valables : un risque identifié, une exigence légale, une exigence contractuelle.
« En cours » est acceptable. Une mesure planifiée dans le plan de traitement, avec une échéance et un responsable, n'est pas une non-conformité. Une mesure déclarée « en place » qui ne l'est pas, si.
La DdA dit quoi. Le plan de traitement dit qui, quand, comment. Chez Factura, c'est un tableau Jira dédié, chaque action reliée à un risque et à une mesure :
A-27 Masquer les données personnelles dans les dumps de debug
Risque : R-014 Mesure : 8.11 Responsable : lead dev
Échéance : 2026-06-30 Statut : en cours (script de masquage en revue)
A-31 Revue trimestrielle des accès GitHub et console cloud
Risque : R-005 Mesure : 5.18 Responsable : lead ops
Échéance : récurrente Statut : en place (1re revue faite le 2026-04-02)Le lien entre risque, mesure, action et preuve est ce qui rend le SMSI auditable. Si l'auditeur prend une ligne du registre des risques au hasard, il doit pouvoir suivre le fil jusqu'à une preuve concrète.
L'ISO 27002:2022 attribue à chaque mesure cinq familles d'attributs : type (préventive, détective, corrective), propriétés de sécurité (C, I, D), concepts de cybersécurité (identifier, protéger, détecter, répondre, rétablir), capacités opérationnelles et domaines de sécurité.
Ajoutez ces colonnes à votre DdA. Elles permettent de vérifier l'équilibre du dispositif. Un SMSI où toutes les mesures sont préventives et aucune n'est détective ne saura pas qu'une attaque a réussi.
Le chapitre suivant entre dans le détail des mesures technologiques, avec ce qu'elles signifient concrètement pour une équipe de développement.