L’ISO 27001 ne se certifie pas avec un outil. Elle se certifie avec un système de management de la sécurité de l’information, et ce système repose sur des décisions de direction, une analyse de risques, des procédures documentées et l’état réel de vos appareils et de vos accès. Aucune plateforme ne couvre ces quatre volets à elle seule.
Ce qu’un outil résout, en revanche, c’est la partie qui dépend des données. Quels appareils vous possédez, dans quel état ils se trouvent, qui a accès à quoi et depuis quand. Dans l’Annexe A, ce sont les mesures qui prennent le plus de temps, parce que presque aucune organisation n’a la donnée sous la main et que ce sont les seules qui ne se règlent pas en rédigeant un document.
Dans cet article, vous verrez quelles mesures de l’Annexe A Factorial IT couvre, avec quelle preuve concrète, et comment aborder la partie qui reste en dehors, à commencer par le système de management lui-même.
Aucun outil ne certifie l’ISO 27001
La certification ISO 27001 est délivrée par un organisme accrédité après l’audit de votre système de management, pas de votre logiciel. Tout éditeur qui vous présente un tableau où les 93 mesures de l’Annexe A sont au vert coche des cases, car plus de la moitié de ces mesures ne dépendent d’aucun outil.
La norme comporte deux couches, qu’il vaut mieux distinguer dès le départ.
- La première couche est le système de management, ce que la norme appelle le SMSI. Ce sont les chapitres 4 à 10, et c’est là que se trouvent le périmètre, l’engagement de la direction, l’analyse de risques, la déclaration d’applicabilité, les audits internes et la revue de direction. Rien de tout cela n’est du logiciel. Un document que personne n’approuve ne vaut pas comme preuve, et aucune plateforme ne peut l’approuver à votre place.
- La seconde couche, ce sont les mesures de l’Annexe A, les dispositions concrètes que l’analyse de risques décide d’appliquer. Une partie de ces mesures se démontre par la documentation et le processus. L’autre se démontre par l’état réel du parc d’appareils, et c’est celle-là qui prend du temps et que l’auditeur vérifie point par point.
Factorial IT intervient sur cette seconde couche. L’outil ne gère pas votre SMSI, ne réalise pas votre analyse de risques et ne vous certifie pas. Ce qu’il fait, c’est que les mesures techniques de l’Annexe A qui dépendent de vos appareils et de vos accès produisent leur preuve toutes seules, datée, pour arriver à l’audit déjà bouclées.
Pourquoi un inventaire Excel ne tient pas face à un audit ?
Le problème n’est pas qu’Excel ne fonctionne pas. Le problème, c’est qu’il commence à périmer le jour même où vous exportez les informations de votre parc. L’auditeur de certification ne demande pas si vous avez une politique de chiffrement, il demande sur quel pourcentage du parc le chiffrement est actif et à quelle date cela a été vérifié. Un document figé ne répond pas à cette question, et dans l’ISO ce détail pèse plus lourd que dans n’importe quelle autre norme, parce que l’auditeur revient. Après la certification initiale, il y a un audit de surveillance chaque année et une recertification tous les trois ans.
| Ce que l’auditeur regarde | Inventaire sous Excel | Factorial IT |
|---|---|---|
| Mise à jour de la donnée | Manuelle, quand quelqu’un y pense | En temps réel, sans intervention |
| Date de la preuve | Celle du jour de l’export | Celle du moment où on la consulte |
| Couverture du parc | Les postes que quelqu’un a pensé à ajouter | Tous ceux qui remontent leur état |
| Postes non conformes | À recouper à la main | Liste nominative avec date de détection |
| Départ d’un collaborateur | Reconstitué après coup | Enregistré automatiquement |
| Audit de surveillance annuel | Le travail est refait à chaque fois | La donnée est déjà là |
Quelle partie du problème Factorial IT résout-il ?
L’Annexe A de l’ISO 27001, dans sa version de 2022, regroupe 93 mesures réparties en quatre thèmes, à savoir organisationnel, humain, physique et technologique. La plupart se démontrent par la documentation et le processus, une politique approuvée, une procédure écrite, un compte rendu. Une vingtaine ne se démontrent pas ainsi. Elles se démontrent par l’état réel du parc et des accès, et ce sont celles que l’auditeur vérifie point par point.
C’est là qu’intervient Factorial IT. L’outil ne gère pas votre SMSI, ne réalise pas votre analyse de risques et ne vous certifie pas, et il ne remplace pas non plus le consultant qui rédige les politiques ni l’auditeur qui délivre le certificat. Ce qu’il fait, c’est que ces mesures techniques produisent leur preuve toutes seules, datées, pour arriver à l’audit déjà bouclées.
Elles se regroupent en six ensembles. Tous les six couvrent ce qui prend le plus de temps et la seule partie du dossier qui ne se règle pas en rédigeant un document.
Les mesures de l’Annexe A que couvre Factorial IT
Voici les six ensembles où Factorial IT produit de la preuve. Chacun reprend ce que demande la norme, là où la preuve pèche le plus souvent et ce qu’apporte Factorial IT.
| Mesure (Annexe A) | Ce qu’elle exige | La preuve qu’il vous faut | Comment Factorial la produit |
|---|---|---|---|
| Inventaire des actifs (A.5.9, A.5.10, A.5.11) | Un inventaire des actifs avec un propriétaire identifié pour chacun | Un inventaire daté, avec un propriétaire attribué à chaque poste | Un inventaire en temps réel d’un parc mixte macOS, Windows, Linux, iOS et Android, chaque appareil étant rattaché à une personne, une équipe et un service |
| Contrôle des accès et gestion des identités (A.5.15, A.5.16, A.5.18, A.6.5, A.8.2) | Cycle de vie des identités, moindre privilège et retrait des accès au départ | Un journal daté des créations, modifications et retraits, avec le délai entre le départ et la coupure du dernier accès | Création et suppression déclenchées par l’événement RH, avec retrait des accès, verrouillage de l’appareil et libération des licences au même moment |
| Chiffrement et configuration sécurisée (A.8.24, A.8.9, A.8.1) | Usage de la cryptographie et configuration sécurisée des appareils utilisateurs, appliqués et vérifiés | Le pourcentage du parc avec chiffrement actif à une date précise et la liste nominative des postes non conformes | Application et vérification de FileVault et BitLocker et des politiques de configuration par rôle, avec détection et correction automatiques des écarts |
| Gestion des vulnérabilités et des mises à jour (A.8.8) | Détection, évaluation et remédiation des vulnérabilités techniques connues | Le niveau de correctifs par poste, le délai moyen d’application et la liste des systèmes en fin de support | Suivi des versions, politiques de mise à jour et détection des vulnérabilités connues et des logiciels en fin de support |
| Protection contre les logiciels malveillants (A.8.7) | Une protection contre les logiciels malveillants déployée et active sur tous les postes | La couverture réelle de l’agent, poste par poste, avec la date | Vérification de l’état de l’agent sur chaque appareil, avec intégration à SentinelOne et ThreatDown, et signalement de ceux qui en sont dépourvus |
| Journalisation des événements et réponse aux incidents (A.8.15, A.5.26) | Journalisation des événements de sécurité et réponse aux incidents selon un processus défini | Le périmètre de l’incident et la trace de la réponse, avec les heures | La console renvoie aussitôt l’utilisateur du poste touché, ses accès, ses applications et l’historique des actions, avec verrouillage et effacement à distance |
1. Inventaire des actifs
Que demande la norme ? Un inventaire des actifs informationnels et des actifs associés, avec un propriétaire identifié pour chacun (A.5.9), des règles d’utilisation acceptable (A.5.10) et la restitution des actifs lorsqu’une personne quitte l’organisation (A.5.11).
Où ça coince le plus souvent ? Presque tout le monde a une liste de postes. Presque personne ne l’a reliée aux personnes, et sans ce lien on ne peut démontrer ni le retrait des accès ni le périmètre d’un incident. Il y a un second problème propre à l’ISO, à savoir que l’inventaire des actifs est le point d’entrée de l’analyse de risques et de la déclaration d’applicabilité. S’il est incomplet, il propage l’erreur à tout le système de management.
Que fait Factorial IT ? Un inventaire en temps réel d’un parc mixte macOS, Windows, Linux, iOS et Android depuis une seule console, avec le matériel, les logiciels installés et leurs versions. Chaque appareil est rattaché à une personne, une équipe et un service grâce à la connexion avec le logiciel RH. L’inventaire intègre en plus les applications SaaS réellement utilisées, y compris celles souscrites en dehors de l’IT.
La preuve générée par Factorial IT. Un inventaire téléchargeable et daté, avec un propriétaire par actif et le taux de couverture du reporting.
2. Contrôle des accès et gestion des identités
Que demande la norme ? Un contrôle d’accès défini (A.5.15), une gestion du cycle de vie des identités (A.5.16), l’attribution, la revue et le retrait des droits d’accès (A.5.18), les responsabilités lorsqu’une personne change de poste ou s’en va (A.6.5) et le contrôle spécifique des accès à privilèges (A.8.2).
Où ça coince le plus souvent ? La procédure de départ est écrite. Ce qui manque, c’est la preuve de son exécution. Presque aucune entreprise ne sait dire combien d’heures se sont écoulées, sur les douze derniers départs, entre le dernier jour du collaborateur et la coupure du dernier accès. C’est exactement ce que vérifie l’auditeur, et ce qui revient le plus souvent dans une non-conformité.
Que fait Factorial IT ? La création et la suppression sont déclenchées par l’événement du logiciel RH. Quand une personne arrive, les comptes et les accès sont provisionnés selon son rôle. Quand elle part, les accès sont retirés, l’appareil est verrouillé et les licences sont libérées.
La preuve générée par Factorial IT. Un journal daté des créations, modifications et retraits, avec le délai écoulé entre le départ dans le logiciel RH et la coupure du dernier accès.
3. Chiffrement et configuration sécurisée
Que demande la norme ? L’usage de la cryptographie selon une politique définie (A.8.24), une gestion de la configuration des systèmes (A.8.9) et la protection des terminaux des utilisateurs (A.8.1).
Où ça coince le plus souvent ? La politique qui impose le chiffrement existe, mais pas la donnée indiquant quel pourcentage du parc l’a réellement actif aujourd’hui, ni la liste nominative des postes qui ne l’ont pas. L’auditeur réclame ce pourcentage et cette liste, pas la politique.
Que fait Factorial IT ? Application et vérification de FileVault et BitLocker sur tout le parc. Des politiques de configuration par rôle, système d’exploitation ou état de sécurité, avec pare-feu, verrouillage de session, politique de mots de passe et restrictions des périphériques. Les écarts sont détectés et corrigés automatiquement.
La preuve générée par Factorial IT. Le taux de conformité par règle à une date précise, les postes non conformes et la trace des remédiations.
4. Gestion des vulnérabilités et des mises à jour
Que demande la norme ? La gestion des vulnérabilités techniques connues, qui suppose de les détecter, de les évaluer et d’appliquer les mesures qui s’imposent (A.8.8).
Où ça coince le plus souvent ? On applique les correctifs, mais sans pouvoir attester le délai moyen d’application ni repérer les systèmes déjà en fin de support. L’auditeur cherche le processus et la donnée précise.
Que fait Factorial IT ? Suivi des versions du système d’exploitation et des applications, politiques de mise à jour, détection des vulnérabilités connues par poste avec leur état de remédiation et détection des logiciels en fin de support.
La preuve générée par Factorial IT. Le niveau de correctifs par appareil, le délai moyen d’application et la liste des systèmes sans support.
5. Protection contre les logiciels malveillants
Que demande la norme ? Une protection contre les logiciels malveillants déployée et active sur tous les postes (A.8.7).
Où ça coince le plus souvent ? On présente la facture de l’antivirus, mais ce qui est réellement vérifié, c’est le déploiement effectif, et il y a presque toujours entre 3 % et 8 % de postes sans agent ou avec l’agent à l’arrêt.
Que fait Factorial IT ? Ici, il faut être précis. Factorial IT n’est pas l’antivirus. C’est la couche qui prouve qu’il est présent et qu’il fonctionne. Intégration à SentinelOne et ThreatDown, avec vérification de l’état de l’agent sur chaque appareil et signalement de ceux qui en sont dépourvus.
La preuve générée par Factorial IT. La couverture effective de l’antimalware, poste par poste, avec la date.
6. Journalisation des événements et réponse aux incidents
Que demande la norme ? La journalisation des événements de sécurité pertinents (A.8.15) et une réponse aux incidents de sécurité de l’information conforme à un processus défini (A.5.26).
Où ça coince le plus souvent ? Pas dans la détection, mais dans la délimitation et dans la trace laissée. La question qui bloque la réponse, c’est de savoir quelles données, quels accès et quels systèmes étaient à la portée du poste compromis, puis ce qui a été fait et à quelle heure.
Que fait Factorial IT ? Quand un incident touche un appareil, la console renvoie aussitôt l’utilisateur, ses accès, ses applications et l’historique des actions menées sur le poste. Elle inclut le verrouillage et l’effacement à distance, avec la trace de chaque action.
La preuve générée par Factorial IT. Le périmètre de l’incident et la trace de la réponse, avec les heures.
Là où Factorial IT fait le plus gros du travail
En plus des six ensembles précédents, il y a trois mesures où Factorial IT règle la partie qui dépend des données, mais pas la mesure entière. Elles ne sont pas totalement hors champ, comme celles de la section suivante, ni couvertes en entier, comme les six du tableau précédent. Sur ces trois-là, l’outil apporte une pièce précise, et l’autre pièce vient d’un prestataire externe ou d’un processus interne.
| Mesure (Annexe A) | Ce qu’elle exige | La partie que couvre Factorial | La partie qu’il ne couvre pas |
|---|---|---|---|
| Authentification sécurisée (A.8.5) | MFA et authentification sécurisée là où le risque l’exige, avec la preuve des comptes où elle est active | La visibilité sur les comptes dont la MFA est active, consolidée depuis le fournisseur d’identité | La MFA elle-même, apportée par Google Workspace, Microsoft Entra ID ou un autre |
| Revue des droits d’accès (A.5.18) | Vérifier régulièrement que chaque personne ne conserve que les droits dont elle a besoin | L’inventaire des accès par personne et l’exécution du retrait | Le circuit formel de recertification, avec un responsable qui revoit et signe |
| Services cloud et fournisseurs (A.5.23, A.5.19) | Connaître et évaluer le risque des fournisseurs et des services cloud utilisés | L’inventaire réel des services utilisés, shadow IT compris | L’évaluation et la contractualisation de chaque fournisseur, qui relèvent d’un processus métier |
1. Authentification sécurisée (A.8.5)
L’authentification multifacteur est fournie par votre fournisseur d’identité, là où vos collaborateurs se connectent. Factorial IT ne remplace pas ce fournisseur et n’active pas la MFA à sa place.
Là où il aide, c’est sur le volet contrôle. La norme n’exige pas seulement d’avoir la MFA active, elle exige de pouvoir démontrer sur quels comptes elle l’est, et cette photo est souvent éparpillée entre plusieurs outils. L’intégration avec le fournisseur d’identité rassemble cette information en un seul endroit, ce que l’auditeur demande justement à voir.
2. Revue des droits d’accès (A.5.18)
Cette mesure a deux visages. Le premier consiste à disposer de la liste de qui accède à quoi, et ce visage est déjà réglé par le volet contrôle des accès, avec un inventaire par personne toujours à jour et le retrait exécuté depuis l’événement RH. Le second est le processus formel de recertification, où un responsable revoit régulièrement les accès de son équipe et atteste par sa signature qu’il les approuve.
C’est ce second visage que Factorial IT n’apporte pas, parce qu’il ne s’agit pas d’une donnée mais d’un circuit d’approbation où des personnes valident. En revanche, il raccourcit le travail préalable, puisque ce responsable arrive à la revue avec la liste des accès par personne déjà prête, au lieu de la reconstituer à la main.
3. Services cloud et fournisseurs (A.5.23, A.5.19)
Maîtriser le risque qui entre par vos fournisseurs comporte deux parties, savoir quels services vous utilisez vraiment et évaluer ces fournisseurs avec les garanties requises.
La première partie s’appuie sur une donnée que Factorial IT possède déjà, l’inventaire des applications SaaS réellement utilisées, shadow IT souscrit en dehors de l’IT compris. Cet inventaire est le point de départ de la mesure, car vous ne pouvez pas évaluer le risque d’un fournisseur dont vous ignoriez même l’usage. La seconde partie, l’évaluation et la contractualisation de chaque fournisseur avec ses clauses et ses garanties, relève d’un processus métier et reste en dehors de l’outil.
Ce que Factorial IT ne couvre pas, et comment l’aborder
Ces quatre domaines restent en dehors de Factorial IT, car aucun outil de cette catégorie ne couvre les 93 mesures de la norme. Pour autant, savoir comment les aborder et dans quel ordre, c’est ce qui distingue un projet de six semaines d’un projet de six mois.
| Domaine | Pourquoi ce n’est pas du logiciel | Ce que Factorial IT vous épargne |
|---|---|---|
| Le SMSI, l’analyse de risques et la déclaration d’applicabilité | Ce sont des décisions de direction et des documents que quelqu’un doit approuver et signer | L’inventaire des actifs, par lequel démarre l’analyse de risques, et la preuve technique qui remplit le volet mise en œuvre de la déclaration d’applicabilité |
| Formation et sensibilisation (A.6.3) | Exige une plateforme de formation avec un suivi par collaborateur | La liste des collaborateurs par service qui alimente cette plateforme |
| Sécurité physique et environnementale (A.7) | Ce sont des mesures portant sur les locaux, les accès physiques et les équipements du bâtiment, une couche distincte du poste de travail | L’inventaire des appareils avec leur responsable et l’effacement à distance qui atteste l’élimination sécurisée du poste |
| Sauvegardes, continuité et sécurité réseau | Ce sont des serveurs, du réseau et des locaux, plus un plan qui se rédige et se teste, pas le poste de travail | L’inventaire des systèmes sur lequel on décide ce qui est critique |
1. Le SMSI, l’analyse de risques et la déclaration d’applicabilité
Ce n’est pas du logiciel parce que ce sont des décisions de direction et des documents que quelqu’un doit approuver. La politique de sécurité, l’analyse de risques, le plan de traitement, l’audit interne et la revue de direction forment le cœur du système de management, et aucun outil ne peut les signer à votre place.
La façon de l’aborder passe par un cabinet de conseil. Pour une entreprise de moins de 300 personnes, c’est un projet de quatre à six semaines, qui doit vous livrer des éléments concrets.
- Le périmètre du système de management.
- La politique de sécurité et l’attribution des rôles, avec des noms et des prénoms.
- L’analyse de risques sur les actifs critiques et son plan de traitement.
- La déclaration d’applicabilité, qui justifie mesure par mesure ce qui s’applique et pourquoi.
- Le compte rendu d’approbation de la direction et le premier audit interne.
2. Formation et sensibilisation (A.6.3)
La norme demande que les collaborateurs reçoivent une formation à la sécurité adaptée à leur poste et que vous puissiez le prouver. Cela reste en dehors de Factorial IT, car la dispenser suppose une plateforme dédiée qui enregistre qui a terminé chaque module.
C’est la mesure la moins chère de toutes et, en même temps, celle qu’on repousse le plus souvent. Une plateforme de simulation de phishing et de microformation coûte peu par collaborateur et par an, et la seule chose auditée, c’est l’existence du registre indiquant qui a suivi la formation. Elle se souscrit une fois et ne demande presque aucun suivi. Son seul véritable entretien consiste à tenir à jour la liste des collaborateurs qui l’alimente, classée par service, celle-là même que Factorial IT gère déjà au lieu de la maintenir à la main sur une feuille à part.
3. Sécurité physique et environnementale (A.7)
Tout le thème A.7 vise à protéger l’endroit où se trouvent les systèmes, avec les zones sécurisées, le contrôle des accès physiques aux locaux, la protection des équipements et l’élimination sécurisée du matériel. C’est une couche de bâtiment et de locaux, pas de poste de travail, et c’est pourquoi elle reste en dehors de l’outil.
La plupart de ces mesures se règlent avec des dispositions organisationnelles et physiques peu coûteuses lorsque vous avez des bureaux, et si vous travaillez en télétravail le périmètre se réduit et cette réduction se justifie dans la déclaration d’applicabilité. Là où Factorial IT apporte quelque chose, c’est à l’extrémité qui touche l’appareil. Chaque poste est rattaché à un responsable et à son emplacement, et l’effacement à distance atteste l’élimination sécurisée quand un poste est retiré ou perdu, ce qui est l’une des mesures de ce thème.
4. Sauvegardes, continuité et sécurité réseau
Sous cet intitulé se rangent des choses différentes, la sauvegarde et la restauration, le plan de continuité, la sécurité du réseau et sa supervision. Rien de tout cela n’est le terrain de Factorial IT, mais mieux vaut le distinguer pour ne pas tout acheter d’un bloc.
L’outil de sauvegarde est un achat et se règle avec votre intégrateur habituel. Le plan de continuité ne s’achète pas, il se rédige et se teste, et cela demande bel et bien du temps interne, car il s’agit de définir quels services sont critiques, combien de temps vous pouvez vous en passer et qui fait quoi entre-temps. La sécurité et la supervision continue du réseau sont une autre couche d’infrastructure, et la surveillance à toute heure relève d’un SOC, dont il a déjà été question dans le volet incidents.
Ici encore, l’inventaire redevient le point de départ, car vous ne pouvez pas décider quels services sont critiques sur des systèmes qui ne sont même pas identifiés. Commencez par les quelques-uns sans lesquels l’entreprise s’arrête net, pas par la liste complète.
Comment obtenir la certification ISO 27001 de bout en bout ?
Tout au long de l’article, les 93 mesures de l’Annexe A ont été réparties en trois groupes. Celles que Factorial IT couvre avec des données, celles qu’il couvre à moitié et celles qui restent en dehors parce que ce sont des décisions, des documents ou des prestataires externes. Et au-dessus des mesures se trouve le système de management, qui est ce qui se certifie réellement. Le problème d’un tel découpage, c’est que quelqu’un doit ensuite rassembler toutes les pièces.
La réponse, c’est que ce n’est pas à vous de les rassembler. Factorial IT règle la couche technique, celle qui se démontre par l’état réel de vos postes et de vos accès, et un cabinet spécialisé monte le SMSI, c’est-à-dire le périmètre, l’analyse de risques, la déclaration d’applicabilité et les audits internes. Et il ne le fait pas dans son coin, mais en s’appuyant sur les données que Factorial IT génère déjà, si bien que la preuve produite par l’outil est celle-là même qui soutient le dossier complet. Une fois ce dossier prêt, l’audit de certification est réalisé par un organisme accrédité indépendant, seul habilité à délivrer le certificat. Ce qui serait un projet avec plusieurs interlocuteurs dispersés devient un parcours de bout en bout.
Ce n’est pas une décision à repousser, même si le moteur n’est pas ici une sanction. De plus en plus de clients, d’appels d’offres et de grands comptes exigent le certificat ISO 27001 comme condition pour travailler avec vous, et le délai n’est pas fixé par une loi, il l’est par le renouvellement d’un contrat ou par une offre que vous ne voulez pas laisser passer. Commencer par la partie qui se règle avec des données, et vous appuyer sur un partenaire pour le système de management, c’est la manière la plus prévisible d’arriver à temps.
