Comment mettre en œuvre la norme ISO 27001 étape par étape ?

Lorsqu’une entreprise envisage la norme ISO 27001, la première question porte souvent sur la façon d’obtenir la certification. Pourtant, avant cet audit, il y a des mois de travail interne dont personne ne parle pendant la phase commerciale. Avant qu’un auditeur externe ne mette les pieds dans votre entreprise, quelqu’un de votre équipe a dû décider ce qui doit être protégé, quels risques existent et quelles mesures s’appliquent.

Ce travail préalable, c’est la mise en œuvre. Dans cet article, nous vous expliquons ce que vous devez construire et dans quel ordre pour aborder l’audit avec un système qui fonctionne réellement, et pas seulement sur le papier.

Que signifie mettre en œuvre la norme ISO 27001 ?

Mettre en œuvre la norme ISO 27001 revient à déployer un système de management de la sécurité de l’information, plus connu sous le sigle SMSI. Il s’agit de bâtir un dispositif qui permet à votre organisation d’identifier quelles informations sont critiques, ce qui peut mal tourner, quelles mesures vous appliquez pour l’éviter et comment vous prouvez que ces mesures fonctionnent.

La norme ne vous dit pas quelle technologie utiliser ni quel prestataire retenir. Elle exige que vous soyez en mesure de justifier vos décisions avec une méthode cohérente et de les appuyer par des preuves. C’est pourquoi deux entreprises d’un même secteur peuvent être certifiées avec des systèmes très différents.

La différence entre mettre en œuvre la norme et se faire certifier

Ce sont deux choses distinctes, et il vaut mieux le clarifier dès le départ, car elles correspondent à deux projets avec des calendriers et des responsables différents.

• La mise en œuvre : c’est le travail interne. Définir le périmètre, analyser les risques, choisir les mesures, documenter le système et le rendre opérationnel. Votre équipe s’en charge, avec ou sans aide extérieure, et cela occupe la plus grande partie du temps total.
• La certification : c’est la validation externe. Un organisme accrédité audite votre SMSI et confirme qu’il respecte la norme. Il s’agit d’un processus plus court et très cadré, que vous pouvez consulter en détail dans notre guide sur comment obtenir la certification ISO 27001.

Une organisation peut mettre en œuvre la norme sans jamais se faire certifier. Ce qu’elle ne peut pas faire, c’est se faire certifier sans l’avoir mise en œuvre au préalable.

De quoi avez-vous besoin avant de mettre en œuvre la norme ISO 27001 ?

Avant même de toucher au premier document, trois conditions déterminent si le projet avance ou s’enlise au bout de deux mois.

• Un engagement réel de la direction : la norme impose l’implication de la direction générale, mais au-delà de l’exigence formelle, sans budget alloué ni temps dégagé pour les personnes concernées, le projet entre en concurrence avec le quotidien et perd à chaque fois. Le soutien doit se traduire en ressources, pas en signature.
• Un responsable clairement désigné : quelqu’un doit piloter le SMSI et disposer d’un pouvoir de décision sur des processus qui ne relèvent pas uniquement de l’IT. L’une des erreurs les plus fréquentes consiste à confier l’ensemble du projet à l’équipe technique alors que la norme touche les ressources humaines, le juridique, les opérations et les prestataires.
• Une analyse d’écarts initiale : avant de planifier quoi que ce soit, mieux vaut comparer ce dont vous disposez déjà avec ce que la norme demande. Presque toutes les entreprises arrivent avec une partie du chemin déjà parcouru, qu’il s’agisse de politiques d’accès, de sauvegardes, de gestion des incidents ou d’inventaire du parc. Savoir d’où vous partez, c’est ce qui vous permet d’estimer l’effort réel et de fixer les priorités.

Les 10 étapes pour mettre en œuvre la norme ISO 27001

Il n’existe pas de liste officielle d’étapes dans la norme, mais tous les projets finissent par suivre à peu près ces dix étapes. Les premières posent le cadre, et les dernières sont celles qu’un auditeur examine le plus en détail.

1. Définir le périmètre du SMSI

Le périmètre délimite quels processus, services, sites, appareils et personnes sont couverts par le système. C’est la décision qui pèse le plus sur l’ensemble du projet, car elle conditionne le travail des neuf étapes suivantes.

Un périmètre trop large rend le projet ingérable. Un périmètre trop étroit débouche sur un certificat qui ne répond pas au besoin de départ, en général satisfaire un client ou répondre à un appel d’offres.

2. Identifier les actifs informationnels

À l’intérieur de ce périmètre, vous devez savoir ce qui s’y trouve. Les actifs, ce sont les bases de données, les applications, les serveurs, les services cloud, les ordinateurs portables et téléphones professionnels, la documentation papier le cas échéant, ainsi que les prestataires qui traitent des informations pour votre compte.

L’inventaire est le point de départ de l’analyse des risques et l’un des premiers documents qu’un auditeur examine. S’il est tenu à la main dans un tableur, il sera obsolète en quelques semaines.

3. Évaluer les risques

Pour chaque actif pertinent, vous identifiez les menaces qui le concernent et les vulnérabilités qu’il présente, puis vous estimez la probabilité et l’impact d’un incident. Le résultat est une liste priorisée qui indique où il vaut la peine d’investir.

L’essentiel ici, c’est la méthodologie. Elle doit être explicite, reproductible et proportionnée à la taille de votre organisation. Une analyse trop théorique et déconnectée de la réalité opérationnelle pose autant de problèmes que l’absence d’analyse, car elle n’oriente aucune décision.

4. Décider du traitement de chaque risque

Une fois les risques priorisés, l’organisation décide quoi faire de chacun d’eux. Quatre options existent. Le réduire en appliquant des mesures, le transférer via une assurance ou un tiers, l’éviter en supprimant l’activité qui le génère, ou l’accepter de manière consciente et documentée.

Accepter des risques est tout à fait valable, et beaucoup d’entreprises l’ignorent. Ce qui ne l’est pas, c’est de les accepter sans garder trace de qui l’a décidé et selon quels critères.

5. Sélectionner les mesures de l’Annexe A

L’Annexe A de la norme regroupe 93 mesures réparties en quatre catégories, à savoir organisationnelles, humaines, physiques et technologiques. Vous n’avez pas à toutes les appliquer. Vous devez appliquer celles qui répondent aux risques que vous avez identifiés.

Parmi celles qui figurent presque toujours sur la liste, on trouve le contrôle d’accès, l’authentification multifacteur, la gestion des privilèges, les sauvegardes, la gestion des vulnérabilités, la sécurité des prestataires et la gestion des incidents.

6. Rédiger la Déclaration d’Applicabilité

La Déclaration d’Applicabilité, ou SoA selon son sigle anglais, est le document qui recense les 93 mesures et précise lesquelles vous appliquez, lesquelles vous écartez et pour quelles raisons. C’est la pièce qui relie votre analyse des risques à vos décisions, et le premier document qu’un auditeur réclame lors de la phase 1.

Un SoA qui se contente de cocher des cases sans justification est l’une des causes les plus fréquentes de non-conformité.

7. Documenter le système

La norme impose un socle documentaire minimal. Le périmètre, la politique de sécurité de l’information, la méthodologie d’analyse des risques, le plan de traitement, le SoA, les procédures associées aux mesures que vous appliquez ainsi que les enregistrements de l’audit interne et de la revue de direction.

Cette documentation doit vous servir à gérer le système au quotidien. Si personne ne l’ouvre jamais, c’est qu’elle est écrite pour l’auditeur et pas pour votre entreprise.

8. Déployer les mesures et produire des preuves

C’est ici que l’on voit si le SMSI fonctionne réellement. Avoir une politique d’accès ne suffit pas, encore faut-il pouvoir montrer comment les droits sont accordés, révisés et révoqués. De même, disposer d’une procédure de sauvegarde ne suffit pas, il faut prouver qu’elle s’exécute et que quelqu’un en vérifie les résultats.

Les preuves se produisent au fil de l’eau, ou ne se produisent pas. Si elles commencent à apparaître deux semaines avant l’audit, l’auditeur le remarquera.

9. Former les équipes

La norme exige compétence et sensibilisation. En pratique, cela signifie que les collaborateurs de votre organisation doivent connaître les politiques qui les concernent et savoir quoi faire en cas d’incident.

Cet aspect compte plus qu’il n’y paraît, car lors de l’audit de certification, l’auditeur interroge des collaborateurs de différents services, et pas seulement l’équipe technique. L’écart entre ce que disent les documents et ce que savent réellement les personnes ressort au grand jour dans ces échanges.

10. Réaliser l’audit interne et la revue de direction

Avant de faire appel à un organisme de certification, la norme vous oblige à vous auditer vous-même. L’audit interne cherche les non-conformités avant qu’un tiers ne les trouve, et il n’a de valeur que s’il est mené avec honnêteté. Le traiter comme une formalité revient à aborder l’audit externe sans savoir où se situent vos failles.

Vient ensuite la revue de direction, au cours de laquelle la direction générale évalue formellement la performance du SMSI, les incidents survenus, les résultats de l’audit interne et les pistes d’amélioration.

Combien de temps faut-il pour mettre en œuvre la norme ISO 27001 ?

Il n’existe pas de délai standard. La durée dépend surtout de la taille de l’organisation, de la maturité en matière de sécurité au départ et de l’étendue du périmètre retenu. Les fourchettes ci-dessous sont indicatives et reflètent des projets courants, pas une exigence de la norme.

Trois facteurs font beaucoup varier ces délais. Le premier tient au niveau de sécurité déjà structuré avant de démarrer. Le deuxième est l’implication réelle de l’équipe, car un projet mené sur les temps morts s’étire sans fin. Le troisième est le degré d’automatisation, car une bonne partie du temps se perd à rassembler des preuves qui, dans de nombreuses entreprises, sont dispersées entre tableurs, e-mails et outils non reliés entre eux.

Les erreurs les plus fréquentes lors de la mise en œuvre de la norme ISO 27001

La mise en œuvre de la norme ISO 27001 échoue rarement par manque de connaissances techniques. Les projets qui prennent du retard ou qui arrivent à l’audit à moitié aboutis répètent souvent les mêmes erreurs, et presque toutes tiennent à la façon dont le travail est organisé.

• Traiter le projet comme un exercice documentaire : la documentation est nécessaire, mais l’audit évalue des processus et des preuves, pas la qualité rédactionnelle de vos politiques.
• Copier des politiques et des modèles génériques : ils font gagner du temps au début et en font perdre bien davantage ensuite, car ils décrivent une organisation qui n’est pas la vôtre et ne collent pas à vos risques réels.
• Définir le périmètre à la dernière minute : modifier le périmètre en cours de projet oblige à refaire l’inventaire, l’analyse des risques et une bonne partie de la documentation.
• Laisser les preuves pour la fin : les journaux d’accès, d’incidents et de formation se produisent en continu, ou ne se produisent pas. Il n’y a pas de raccourci.
• Tout confier à l’IT : la norme ISO 27001 touche au recrutement, aux départs de collaborateurs, aux prestataires, à la formation et aux décisions de direction. Sans ces services impliqués, le système présente des failles dès le premier jour.

Et après la mise en œuvre de la norme ISO 27001 ?

Une fois le SMSI opérationnel, deux voies s’offrent à vous. Vous pouvez en rester là et utiliser la norme comme cadre interne de gestion de la sécurité, sans viser le label. Vous pouvez aussi franchir le pas de la certification, ce que font la plupart des organisations qui arrivent jusque-là, en général parce qu’un client, un appel d’offres ou un marché l’exigent.

Si vous visez la certification, l’étape suivante consiste à choisir un organisme accrédité par le COFRAC et à préparer l’audit en deux phases. Nous l’expliquons en détail dans le guide sur comment obtenir la certification ISO 27001.

Dans les deux cas, le système ne peut pas être figé. Chaque nouvel outil, chaque incident et chaque changement d’organisation devrait donner lieu à une révision des risques et des mesures. Un SMSI qui n’est pas mis à jour cesse de refléter la réalité de l’entreprise en quelques mois.

Comment Factorial IT vous aide à mettre en œuvre la norme ISO 27001

La partie la plus lourde de la mise en œuvre de la norme n’est généralement pas de décider quelles mesures appliquer. C’est de maintenir la preuve qu’elles s’appliquent, mois après mois, sans que cela accapare le temps de l’équipe.

Factorial IT centralise la gestion des appareils, des accès et de la sécurité de votre organisation, et transforme cette gestion en preuves prêtes pour l’audit.

• Un inventaire qui se tient à jour tout seul : chaque appareil professionnel entre dans le registre dès qu’il est attribué, si bien que l’étape 2 de cet article ne dépend plus de quelqu’un qui pense à mettre un tableur à jour.
• L’attribution et le retrait des accès depuis un seul tableau de bord : lorsqu’une personne rejoint l’équipe ou la quitte, les droits sur l’ensemble des outils s’ajustent en même temps, et l’on garde trace de qui a fait la modification et quand.
• Des mesures de l’Annexe A qui s’appliquent sans intervention : le verrouillage des appareils, le chiffrement et la protection des endpoints se configurent une fois et se déploient sur tout le parc, au lieu de reposer sur chaque personne.
• Un historique dès le premier mois : les enregistrements commencent à s’accumuler dès que vous déployez la plateforme, ce qui correspond précisément à ce qu’on vous demandera une fois arrivé à l’étape 10.
• Moins d’heures passées par votre équipe sur le projet : ce que réclame l’auditeur s’exporte à la demande, sans avoir à le reconstituer à partir d’e-mails et de fichiers épars.