{"id":198476,"date":"2026-08-12T17:38:11","date_gmt":"2026-08-12T15:38:11","guid":{"rendered":"https:\/\/factorialhr.com\/blog\/?p=198476"},"modified":"2026-10-27T18:33:33","modified_gmt":"2026-10-27T16:33:33","slug":"controle-dacces-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/","title":{"rendered":"Contr\u00f4le d&#8217;acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre"},"content":{"rendered":"<p>Un collaborateur quitte l&#8217;entreprise et, trois mois plus tard, son compte est toujours actif, avec un acc\u00e8s au CRM et aux documents financiers. Ce genre de situation, la norme <strong>ISO 27001 cherche pr\u00e9cis\u00e9ment \u00e0 l&#8217;\u00e9viter gr\u00e2ce au contr\u00f4le d&#8217;acc\u00e8s<\/strong> \u2014 c&#8217;est d&#8217;ailleurs l&#8217;un des constats les plus fr\u00e9quents lors des audits de certification. Car ma\u00eetriser les acc\u00e8s, c&#8217;est d\u00e9cider qui entre dans chaque syst\u00e8me, ce qu&#8217;il peut y faire et pendant combien de temps il conserve cette autorisation. La norme consacre plusieurs mesures \u00e0 l&#8217;organisation de ce processus.<\/p>\n<p>Dans cet article, nous verrons <strong>ce qu&#8217;est le contr\u00f4le d&#8217;acc\u00e8s selon l&#8217;ISO 27001<\/strong>, ce qu&#8217;exige la version 2022, sur quels principes il repose, quels types existent, ce que doit contenir la politique et comment le mettre en \u0153uvre concr\u00e8tement.<\/p>\n<h2>Qu&#8217;est-ce que le contr\u00f4le d&#8217;acc\u00e8s dans l&#8217;ISO 27001 ?<\/h2>\n<p>Le contr\u00f4le d&#8217;acc\u00e8s d\u00e9signe <strong>l&#8217;ensemble des r\u00e8gles et des m\u00e9canismes qui d\u00e9terminent qui peut acc\u00e9der \u00e0 l&#8217;information et aux syst\u00e8mes d&#8217;une organisation<\/strong>, et ce qu&#8217;il peut en faire. Son objectif est de garantir que seules les personnes autoris\u00e9es acc\u00e8dent aux informations dont elles ont besoin pour travailler, et de pr\u00e9venir tout acc\u00e8s non autoris\u00e9.<\/p>\n<p>La norme couvre deux dimensions qui doivent ob\u00e9ir aux m\u00eames principes :<\/p>\n<ul>\n<li><strong>Acc\u00e8s logique :<\/strong> droits sur les applications, les bases de donn\u00e9es, les r\u00e9seaux, les fichiers et les services cloud.<\/li>\n<li><strong>Acc\u00e8s physique :<\/strong> entr\u00e9e dans les locaux, les salles serveurs et les supports o\u00f9 l&#8217;information est stock\u00e9e ou trait\u00e9e.<\/li>\n<\/ul>\n<p>L&#8217;id\u00e9e de fond repose sur le principe du <em>need-to-know<\/em>. Autrement dit, <strong>chaque personne acc\u00e8de uniquement aux informations indispensables \u00e0 l&#8217;exercice de ses fonctions<\/strong>, ni plus ni moins. Un contr\u00f4le d&#8217;acc\u00e8s bien pens\u00e9 n&#8217;est pas une barri\u00e8re ponctuelle, mais un processus continu qui se d\u00e9finit, s&#8217;applique, se surveille et se r\u00e9vise.<\/p>\n<h2>Que dit l&#8217;ISO 27001 sur le contr\u00f4le d&#8217;acc\u00e8s ?<\/h2>\n<p>Le contr\u00f4le d&#8217;acc\u00e8s est l&#8217;une des sections les plus importantes de l&#8217;Annexe A de <a href=\"https:\/\/factorial.fr\/blog\/iso-27001\/\">l&#8217;ISO 27001<\/a>, et aussi l&#8217;une de celles qui ont le plus \u00e9volu\u00e9 entre la version 2013 et la version 2022. Comprendre ce changement permet d&#8217;\u00e9viter une bonne partie de la confusion habituelle.<\/p>\n<p>Dans l&#8217;<strong>ISO 27001:2013<\/strong>, l&#8217;ensemble du contr\u00f4le d&#8217;acc\u00e8s figurait dans <a href=\"https:\/\/factorial.fr\/blog\/domaines-iso-27001\/\">le domaine A.9<\/a>, avec quatorze mesures r\u00e9parties en quatre blocs : exigences m\u00e9tier, gestion des acc\u00e8s utilisateurs, responsabilit\u00e9s de l&#8217;utilisateur et contr\u00f4le d&#8217;acc\u00e8s aux syst\u00e8mes et aux applications.<\/p>\n<p>L&#8217;<strong>ISO 27001:2022<\/strong> a r\u00e9organis\u00e9 l&#8217;Annexe A et redistribu\u00e9 ces exigences entre plusieurs nouvelles mesures. Le contr\u00f4le d&#8217;acc\u00e8s \u00e0 proprement parler correspond d\u00e9sormais \u00e0 la mesure <strong>5.15<\/strong>, mais le d\u00e9tail op\u00e9rationnel se r\u00e9partit sur d&#8217;autres.<\/p>\n<h3>Comment le contr\u00f4le d&#8217;acc\u00e8s se r\u00e9partit-il dans la version 2022 ?<\/h3>\n<p>Voici les mesures de l&#8217;ISO 27001:2022 qui, ensemble, couvrent ce qui relevait auparavant du A.9 :<\/p>\n<ul>\n<li><strong>5.15 Contr\u00f4le d&#8217;acc\u00e8s :<\/strong> d\u00e9finit les r\u00e8gles d&#8217;acc\u00e8s physique et logique en fonction des exigences m\u00e9tier et de s\u00e9curit\u00e9 (anciens 9.1.1 et 9.1.2).<\/li>\n<li><strong>5.16 Gestion des identit\u00e9s :<\/strong> cycle de vie des identit\u00e9s, de la cr\u00e9ation \u00e0 la suppression du compte utilisateur.<\/li>\n<li><strong>5.17 Informations d&#8217;authentification :<\/strong> gestion des mots de passe et des autres identifiants d&#8217;acc\u00e8s.<\/li>\n<li><strong>5.18 Droits d&#8217;acc\u00e8s :<\/strong> attribution, r\u00e9vision et r\u00e9vocation des droits.<\/li>\n<li><strong>8.2 Droits d&#8217;acc\u00e8s privil\u00e9gi\u00e9s :<\/strong> contr\u00f4le renforc\u00e9 des comptes \u00e0 privil\u00e8ges.<\/li>\n<li><strong>8.3 Restriction d&#8217;acc\u00e8s \u00e0 l&#8217;information :<\/strong> ce que chaque utilisateur peut lire, \u00e9crire ou supprimer.<\/li>\n<li><strong>8.5 Authentification s\u00e9curis\u00e9e :<\/strong> proc\u00e9dures de connexion, y compris l&#8217;authentification multifacteur.<\/li>\n<\/ul>\n<p>Si votre documentation fait encore r\u00e9f\u00e9rence au A.9, ce n&#8217;est pas r\u00e9dhibitoire, mais mieux vaut mettre \u00e0 jour les r\u00e9f\u00e9rences vers la version 2022 avant un audit de certification ou de transition.<\/p>\n<h2>Les principes du contr\u00f4le d&#8217;acc\u00e8s<\/h2>\n<p>Au-del\u00e0 des mesures concr\u00e8tes, la norme repose sur quelques principes qui devraient guider chaque d\u00e9cision relative aux droits d&#8217;acc\u00e8s. Ce sont les fondations sur lesquelles se construit la politique.<\/p>\n<h3>1. Moindre privil\u00e8ge et need-to-know<\/h3>\n<p>Voici les principes qui devraient guider chaque d\u00e9cision sur les acc\u00e8s accord\u00e9s et leur p\u00e9rim\u00e8tre :<\/p>\n<ul>\n<li><strong>Moindre privil\u00e8ge :<\/strong> chaque utilisateur re\u00e7oit juste les droits n\u00e9cessaires \u00e0 son travail, et uniquement le temps qu&#8217;il en a besoin.<\/li>\n<li><strong>Need-to-know :<\/strong> l&#8217;acc\u00e8s est accord\u00e9 en fonction des informations que la personne a besoin de conna\u00eetre, et non de son poste ou de son anciennet\u00e9.<\/li>\n<li><strong>Need-to-use :<\/strong> le m\u00eame crit\u00e8re appliqu\u00e9 \u00e0 l&#8217;infrastructure et aux outils, pas seulement aux donn\u00e9es.<\/li>\n<li><strong>Interdiction par d\u00e9faut :<\/strong> tout est interdit sauf ce qui est explicitement autoris\u00e9, et non l&#8217;inverse.<\/li>\n<li><strong>S\u00e9paration des t\u00e2ches :<\/strong> dissocier les t\u00e2ches incompatibles pour qu&#8217;aucune personne ne ma\u00eetrise un processus critique de bout en bout.<\/li>\n<\/ul>\n<h3>2. Identification, authentification et autorisation<\/h3>\n<p>Tout acc\u00e8s robuste repose sur trois \u00e9tapes successives qu&#8217;il ne faut pas confondre :<\/p>\n<ul>\n<li><strong>Identification :<\/strong> l&#8217;utilisateur d\u00e9clare qui il est au moyen d&#8217;un identifiant unique (un ID ou un compte nominatif).<\/li>\n<li><strong>Authentification :<\/strong> le syst\u00e8me v\u00e9rifie qu&#8217;il est bien celui qu&#8217;il pr\u00e9tend \u00eatre, \u00e0 partir de quelque chose qu&#8217;il sait (mot de passe), quelque chose qu&#8217;il poss\u00e8de (token, carte) ou quelque chose qu&#8217;il est (empreinte, visage). Combiner deux de ces facteurs constitue la base de l&#8217;authentification multifacteur.<\/li>\n<li><strong>Autorisation :<\/strong> une fois l&#8217;identit\u00e9 v\u00e9rifi\u00e9e, on d\u00e9termine quelles actions il peut effectuer sur chaque ressource.<\/li>\n<\/ul>\n<div class=\"factorial-banner inline-banner banner-other category-iso-27001\"\n    data-banner-id=\"192861\"\n    data-banner-type=\"other\"\n    data-category=\"ISO 27001\">\n    <div class=\"banner-content\">\n        <div class=\"banner-text\">\n                            <p class=\"banner-title\">Obtenez la certification ISO 27001 en quelques semaines<\/p>\n            \n                            <p>Factorial IT combine MDM, gestion des acc\u00e8s et un consultant compliance d\u00e9di\u00e9 pour vous mener jusqu&#039;\u00e0 la certification.<\/p>\n            \n                            <a href=\"https:\/\/factorial.fr\/iso-27001\"\n                    class=\"factorial-cta-button not-prose freebie\" data-cta=\"other\" data-cta-position=\"inline-banner\">\n                    En savoir plus                <\/a>\n                    <\/div>\n\n        <div class=\"banner-image has-image\">\n            <img decoding=\"async\" src=\"https:\/\/factorialhr.com\/wp-content\/uploads\/2026\/06\/19135935\/FR-ISO27001.png\" class=\"not-prose\" \/>\n        <\/div>\n    <\/div>\n<\/div>\n<h2>Les types de contr\u00f4le d&#8217;acc\u00e8s : DAC, MAC, RBAC et ABAC<\/h2>\n<p>L&#8217;ISO 27001 n&#8217;impose aucun mod\u00e8le particulier, mais elle attend de l&#8217;organisation qu&#8217;elle en choisisse un coh\u00e9rent avec son niveau de risque. Voici les quatre plus courants :<\/p>\n<ul>\n<li><strong>DAC (contr\u00f4le d&#8217;acc\u00e8s discr\u00e9tionnaire) :<\/strong> le propri\u00e9taire de chaque ressource d\u00e9cide qui peut y acc\u00e9der. Souple, mais difficile \u00e0 auditer et \u00e0 maintenir coh\u00e9rent \u00e0 grande \u00e9chelle.<\/li>\n<li><strong>MAC (contr\u00f4le d&#8217;acc\u00e8s obligatoire) :<\/strong> une autorit\u00e9 centrale d\u00e9finit l&#8217;acc\u00e8s \u00e0 partir d&#8217;\u00e9tiquettes et de niveaux de classification. C&#8217;est le plus strict, r\u00e9serv\u00e9 aux environnements \u00e0 haute s\u00e9curit\u00e9.<\/li>\n<li><strong>RBAC (contr\u00f4le d&#8217;acc\u00e8s bas\u00e9 sur les r\u00f4les) :<\/strong> les droits sont attribu\u00e9s \u00e0 des r\u00f4les, et les personnes h\u00e9ritent des droits de leur r\u00f4le. C&#8217;est le mod\u00e8le le plus r\u00e9pandu en entreprise, car il simplifie la gestion et les revues.<\/li>\n<li><strong>ABAC (contr\u00f4le d&#8217;acc\u00e8s bas\u00e9 sur les attributs) :<\/strong> l&#8217;acc\u00e8s d\u00e9pend d&#8217;attributs comme la localisation, l&#8217;appareil, l&#8217;heure ou le type de donn\u00e9e. Il permet des r\u00e8gles tr\u00e8s pr\u00e9cises, au prix d&#8217;une plus grande complexit\u00e9.<\/li>\n<\/ul>\n<p>Dans la plupart des organisations, un mod\u00e8le RBAC bien con\u00e7u couvre l&#8217;essentiel des besoins et s&#8217;accorde naturellement avec l&#8217;attribution des droits par poste.<\/p>\n<h2>Que doit contenir la politique de contr\u00f4le d&#8217;acc\u00e8s ?<\/h2>\n<p>La politique de contr\u00f4le d&#8217;acc\u00e8s est un document obligatoire. La norme impose <strong>de l&#8217;\u00e9tablir, de la documenter et de la revoir r\u00e9guli\u00e8rement<\/strong>. Elle fonctionne comme la d\u00e9claration de ce que l&#8217;organisation autorise et de ce qu&#8217;elle interdit, plut\u00f4t que comme un manuel technique d\u00e9crivant la marche \u00e0 suivre. Ce sont les propri\u00e9taires des actifs qui la d\u00e9finissent, en coh\u00e9rence avec <a href=\"https:\/\/factorial.fr\/blog\/politique-securite-linformation\/\">la politique de s\u00e9curit\u00e9<\/a> et l&#8217;analyse des risques.<\/p>\n<p>Une politique compl\u00e8te reprend g\u00e9n\u00e9ralement les \u00e9l\u00e9ments suivants.<\/p>\n<ul>\n<li><strong>P\u00e9rim\u00e8tre et responsabilit\u00e9s :<\/strong> les syst\u00e8mes et les informations concern\u00e9s, ainsi que les personnes qui approuvent, accordent et r\u00e9visent les acc\u00e8s.<\/li>\n<li><strong>R\u00e8gles d&#8217;attribution :<\/strong> crit\u00e8res pour cr\u00e9er, modifier et r\u00e9voquer les droits, fond\u00e9s sur le moindre privil\u00e8ge.<\/li>\n<li><strong>Gestion des identit\u00e9s :<\/strong> recours aux comptes nominatifs, interdiction des comptes partag\u00e9s et cycle de vie de l&#8217;identifiant.<\/li>\n<li><strong>Acc\u00e8s privil\u00e9gi\u00e9s :<\/strong> conditions renforc\u00e9es pour les comptes \u00e0 privil\u00e8ges et leur supervision.<\/li>\n<li><strong>Authentification :<\/strong> exigences en mati\u00e8re de mots de passe, recours \u00e0 la MFA et protection des identifiants.<\/li>\n<li><strong>Acc\u00e8s aux r\u00e9seaux et t\u00e9l\u00e9travail :<\/strong> connexions autoris\u00e9es, VPN et acc\u00e8s depuis l&#8217;ext\u00e9rieur de l&#8217;organisation.<\/li>\n<li><strong>Revue et tra\u00e7abilit\u00e9 :<\/strong> fr\u00e9quence des revues de droits et journalisation des acc\u00e8s et des modifications.<\/li>\n<\/ul>\n<h2>Comment mettre en \u0153uvre le contr\u00f4le d&#8217;acc\u00e8s \u00e9tape par \u00e9tape ?<\/h2>\n<p>Une fois les principes et la politique d\u00e9finis, la mise en \u0153uvre peut se d\u00e9rouler par \u00e9tapes ordonn\u00e9es, chacune s&#8217;appuyant sur la pr\u00e9c\u00e9dente.<\/p>\n<h3>\u00c9tape 1 : classer l&#8217;information<\/h3>\n<p>Le point de d\u00e9part consiste \u00e0 <strong>savoir quelles informations vous manipulez et ce qu&#8217;exposerait leur perte ou leur fuite<\/strong>. Distinguer les donn\u00e9es critiques, sensibles et publiques permet d&#8217;ajuster chaque droit \u00e0 son niveau de risque r\u00e9el, plut\u00f4t que de tout prot\u00e9ger de la m\u00eame fa\u00e7on.<\/p>\n<h3>\u00c9tape 2 : d\u00e9finir les r\u00f4les et les r\u00e8gles d&#8217;acc\u00e8s<\/h3>\n<p>Une fois l&#8217;information class\u00e9e, l&#8217;\u00e9tape suivante consiste \u00e0 <strong>traduire les postes en r\u00f4les assortis de droits pr\u00e9cis<\/strong>. C&#8217;est l\u00e0 qu&#8217;intervient le moindre privil\u00e8ge : chaque r\u00f4le ne re\u00e7oit que ce dont il a besoin pour sa fonction, et les personnes h\u00e9ritent des droits de leur r\u00f4le.<\/p>\n<h3>\u00c9tape 3 : g\u00e9rer les arriv\u00e9es, les d\u00e9parts et les acc\u00e8s privil\u00e9gi\u00e9s<\/h3>\n<p>C&#8217;est dans le cycle de vie des acc\u00e8s que se concentrent le plus d&#8217;\u00e9carts lors des audits. Voici les points critiques \u00e0 traiter en priorit\u00e9 :<\/p>\n<ul>\n<li><strong>Arriv\u00e9es avec identification individuelle :<\/strong> chaque personne dispose de son propre compte et de droits formellement approuv\u00e9s.<\/li>\n<li><strong>D\u00e9parts imm\u00e9diats :<\/strong> lorsqu&#8217;un collaborateur quitte l&#8217;entreprise, ses acc\u00e8s doivent \u00eatre r\u00e9voqu\u00e9s sans d\u00e9lai, sans d\u00e9pendre de la m\u00e9moire de quelqu&#8217;un.<\/li>\n<li><strong>Acc\u00e8s orphelins :<\/strong> les comptes de personnes parties ou de projets cl\u00f4tur\u00e9s qui restent actifs constituent une porte d&#8217;entr\u00e9e fr\u00e9quente.<\/li>\n<li><strong>Comptes \u00e0 privil\u00e8ges :<\/strong> r\u00e9serv\u00e9s \u00e0 ceux qui en ont besoin, avec authentification renforc\u00e9e et journalisation de leur utilisation.<\/li>\n<\/ul>\n<h3>\u00c9tape 4 : renforcer l&#8217;authentification<\/h3>\n<p>D\u00e9finir qui acc\u00e8de ne sert \u00e0 rien si l&#8217;identit\u00e9 n&#8217;est pas correctement v\u00e9rifi\u00e9e. Mieux vaut <strong>exiger des mots de passe robustes et activer l&#8217;authentification multifacteur (MFA)<\/strong> sur les acc\u00e8s sensibles et, surtout, sur les comptes \u00e0 privil\u00e8ges.<\/p>\n<h3>\u00c9tape 5 : r\u00e9viser et surveiller les acc\u00e8s<\/h3>\n<p>Un contr\u00f4le d&#8217;acc\u00e8s ne se met pas en place une fois pour toutes. <strong>La norme attend des revues r\u00e9guli\u00e8res<\/strong> confirmant que chaque droit reste justifi\u00e9, en particulier apr\u00e8s un changement de poste, une promotion ou un d\u00e9part. Une revue trimestrielle, au cours de laquelle les responsables valident les acc\u00e8s de leur \u00e9quipe, maintient le syst\u00e8me en phase avec la r\u00e9alit\u00e9 et \u00e9vite les constats en audit. S&#8217;y ajoute une surveillance continue, qui garde la trace de qui acc\u00e8de \u00e0 quoi et aide \u00e0 rep\u00e9rer les comportements anormaux.<\/p>\n<h2>Comment Factorial IT vous aide-t-il avec le contr\u00f4le d&#8217;acc\u00e8s ?<\/h2>\n<p>Les \u00e9tapes de mise en \u0153uvre que nous venons de voir sont faciles \u00e0 concevoir et difficiles \u00e0 tenir dans la dur\u00e9e. Entre le turnover, les changements de poste et les dizaines d&#8217;applications SaaS, maintenir le moindre privil\u00e8ge \u00e0 la main oblige \u00e0 v\u00e9rifier les comptes un par un, et c&#8217;est pr\u00e9cis\u00e9ment l\u00e0 qu&#8217;apparaissent les acc\u00e8s orphelins que rel\u00e8ve l&#8217;auditeur.<\/p>\n<p><a href=\"https:\/\/factorial.fr\/factorial-it\">Factorial IT<\/a> relie la gestion des acc\u00e8s <strong>aux donn\u00e9es du SIRH<\/strong>, de sorte que les droits suivent automatiquement le cycle de vie de chaque collaborateur. Voici comment la plateforme aide sur chacune des mesures qui couvrent l&#8217;ancien A.9.<\/p>\n<ul>\n<li><strong>Des r\u00f4les d\u00e9finis \u00e0 partir du SIRH (5.15) :<\/strong> des r\u00e8gles attribuent groupes, r\u00f4les et licences selon le service et le poste renseign\u00e9s dans le SIRH. C&#8217;est la fa\u00e7on la plus directe d&#8217;appliquer un mod\u00e8le RBAC, puisque chaque personne h\u00e9rite des droits de son r\u00f4le sans que personne n&#8217;ait \u00e0 les configurer un par un.<\/li>\n<li><strong>Le cycle de vie complet de l&#8217;identit\u00e9 (5.16) :<\/strong> l&#8217;arriv\u00e9e enregistr\u00e9e dans le SIRH cr\u00e9e les comptes correspondant au poste, et le d\u00e9part les r\u00e9voque tous en m\u00eame temps, avec le verrouillage du poste et la lib\u00e9ration des licences. Chaque \u00e9tape est horodat\u00e9e, ce que l&#8217;auditeur demande justement lorsqu&#8217;il examine un d\u00e9part r\u00e9cent.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201958 aligncenter\" src=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121115\/gestion-accesos-factorial-it-1024x499.png\" alt=\"gestion des acc\u00e8s Factorial IT\" width=\"1024\" height=\"499\" srcset=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121115\/gestion-accesos-factorial-it-1024x499.png 1024w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121115\/gestion-accesos-factorial-it-300x146.png 300w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121115\/gestion-accesos-factorial-it-768x374.png 768w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121115\/gestion-accesos-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Des acc\u00e8s hors r\u00f4le soumis \u00e0 validation (5.18) :<\/strong> lorsqu&#8217;un collaborateur a besoin d&#8217;un outil qui ne lui revient pas par d\u00e9faut, il en fait la demande via un ticket depuis Slack ou le web. La demande, la validation et l&#8217;attribution sont document\u00e9es, y compris pour les applications qui ne permettent pas l&#8217;automatisation.<\/li>\n<li><strong>Comptes orphelins et shadow IT :<\/strong> la plateforme signale les comptes encore actifs au nom de personnes qui ont quitt\u00e9 l&#8217;entreprise et d\u00e9tecte les applications utilis\u00e9es par les \u00e9quipes sans passer par l&#8217;IT. Ce sont les deux angles morts qui \u00e9chappent le plus souvent \u00e0 une revue manuelle.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-202434 aligncenter\" src=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\" alt=\"contr\u00f4les Factorial IT\" width=\"1024\" height=\"500\" srcset=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png 1024w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-300x147.png 300w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-768x375.png 768w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Des revues p\u00e9riodiques avec toute l&#8217;information :<\/strong> la vue par personne r\u00e9unit au m\u00eame endroit toutes ses applications, licences et \u00e9quipements. Pour la revue trimestrielle, chaque responsable peut valider les acc\u00e8s de son \u00e9quipe sans croiser de tableurs.<\/li>\n<li><strong>L&#8217;authentification sur l&#8217;appareil (5.17 et 8.5) :<\/strong> les politiques de mots de passe, de codes d&#8217;acc\u00e8s et de verrouillage de session sont appliqu\u00e9es depuis la console sur les ordinateurs portables et les smartphones. L&#8217;authentification multifacteur est quant \u00e0 elle assur\u00e9e par le fournisseur d&#8217;identit\u00e9, comme Google Workspace ou Microsoft Entra ID, auquel Factorial IT s&#8217;int\u00e8gre.<\/li>\n<\/ul>\n<p>R\u00e9sultat, un contr\u00f4le d&#8217;acc\u00e8s qui se maintient tout seul entre deux revues, et une tra\u00e7abilit\u00e9 compl\u00e8te de chaque droit accord\u00e9 ou retir\u00e9 pour le jour de l&#8217;audit.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Un collaborateur quitte l&#8217;entreprise et, trois mois plus tard, son compte est toujours actif, avec un acc\u00e8s au CRM et aux documents financiers. Ce genre de situation, la norme ISO 27001 cherche pr\u00e9cis\u00e9ment \u00e0 l&#8217;\u00e9viter gr\u00e2ce au contr\u00f4le d&#8217;acc\u00e8s \u2014 c&#8217;est d&#8217;ailleurs l&#8217;un des constats les plus fr\u00e9quents lors des audits de certification. Car ma\u00eetriser<a href=\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":198479,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1092],"tags":[],"class_list":["post-198476","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001-fr"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Contr\u00f4le d&#039;acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre | Factorial<\/title>\n<meta name=\"description\" content=\"Des doutes sur le contr\u00f4le d&#039;acc\u00e8s de l&#039;ISO 27001 ? On vous explique tout ce qu&#039;il faut savoir pour le mettre en place. \u00c0 d\u00e9couvrir ici !\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorial.fr\/blog\/controle-dacces-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Contr\u00f4le d&#039;acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre\" \/>\n<meta property=\"og:description\" content=\"Des doutes sur le contr\u00f4le d&#039;acc\u00e8s de l&#039;ISO 27001 ? On vous explique tout ce qu&#039;il faut savoir pour le mettre en place. \u00c0 d\u00e9couvrir ici !\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorial.fr\/blog\/controle-dacces-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-08-12T15:38:11+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-27T16:33:33+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/08\/12173531\/controle-acces-iso-27001.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"10 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Contr\u00f4le d&#8217;acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre\",\"datePublished\":\"2026-08-12T15:38:11+00:00\",\"dateModified\":\"2026-10-27T16:33:33+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/\"},\"wordCount\":2414,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/\",\"url\":\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/\",\"name\":\"Contr\u00f4le d'acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-08-12T15:38:11+00:00\",\"dateModified\":\"2026-10-27T16:33:33+00:00\",\"description\":\"Des doutes sur le contr\u00f4le d'acc\u00e8s de l'ISO 27001 ? On vous explique tout ce qu'il faut savoir pour le mettre en place. \u00c0 d\u00e9couvrir ici !\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Contr\u00f4le d'acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre | Factorial","description":"Des doutes sur le contr\u00f4le d'acc\u00e8s de l'ISO 27001 ? On vous explique tout ce qu'il faut savoir pour le mettre en place. \u00c0 d\u00e9couvrir ici !","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorial.fr\/blog\/controle-dacces-iso-27001\/","og_locale":"en_US","og_type":"article","og_title":"Contr\u00f4le d'acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre","og_description":"Des doutes sur le contr\u00f4le d'acc\u00e8s de l'ISO 27001 ? On vous explique tout ce qu'il faut savoir pour le mettre en place. \u00c0 d\u00e9couvrir ici !","og_url":"https:\/\/factorial.fr\/blog\/controle-dacces-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-08-12T15:38:11+00:00","article_modified_time":"2026-10-27T16:33:33+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/08\/12173531\/controle-acces-iso-27001.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"10 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Contr\u00f4le d&#8217;acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre","datePublished":"2026-08-12T15:38:11+00:00","dateModified":"2026-10-27T16:33:33+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/"},"wordCount":2414,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/","url":"https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/","name":"Contr\u00f4le d'acc\u00e8s ISO 27001 : d\u00e9finition et mise en \u0153uvre | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-08-12T15:38:11+00:00","dateModified":"2026-10-27T16:33:33+00:00","description":"Des doutes sur le contr\u00f4le d'acc\u00e8s de l'ISO 27001 ? On vous explique tout ce qu'il faut savoir pour le mettre en place. \u00c0 d\u00e9couvrir ici !","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/fr\/controle-dacces-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/198476"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=198476"}],"version-history":[{"count":6,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/198476\/revisions"}],"predecessor-version":[{"id":205892,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/198476\/revisions\/205892"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/198479"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=198476"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=198476"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=198476"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}