{"id":206857,"date":"2026-11-10T16:47:58","date_gmt":"2026-11-10T14:47:58","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206857"},"modified":"2026-11-10T16:47:58","modified_gmt":"2026-11-10T14:47:58","slug":"preuves-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/","title":{"rendered":"Preuves ISO 27001 : ce que demande l\u2019auditeur et comment les pr\u00e9parer"},"content":{"rendered":"<p>Les preuves sont ce qui<strong> permet \u00e0 un auditeur de v\u00e9rifier que votre syst\u00e8me de management de la s\u00e9curit\u00e9 fonctionne vraiment<\/strong>. Sans elles, une politique approuv\u00e9e ou une mesure bien con\u00e7ue ne p\u00e8sent rien pour la certification.<\/p>\n<p>Le probl\u00e8me, c&#8217;est qu&#8217;elles sont souvent \u00e9parpill\u00e9es entre plusieurs outils, dossiers et bo\u00eetes mail, et les rassembler \u00e0 la derni\u00e8re minute fait partie des t\u00e2ches les plus chronophages de tout<a href=\"https:\/\/factorial.fr\/blog\/audit-iso-27001\/\"> audit ISO 27001<\/a>.<\/p>\n<p>Dans cet article, vous verrez <strong>quelles preuves demande l&#8217;auditeur<\/strong>, comment il distingue une preuve recevable d&#8217;une preuve qui ne l&#8217;est pas, la liste compl\u00e8te par exigence et par mesure de l&#8217;Annexe A, et les \u00e9tapes pour les avoir pr\u00eates le jour J.<\/p>\n<h2>Que sont les preuves dans l&#8217;ISO 27001 ?<\/h2>\n<p>Une preuve, c&#8217;est<strong> toute information v\u00e9rifiable qui d\u00e9montre que votre syst\u00e8me de management de la s\u00e9curit\u00e9 de l&#8217;information (SMSI) fonctionne<\/strong> comme vous l&#8217;avez d\u00e9crit. Si votre politique indique que les ordinateurs portables sont chiffr\u00e9s, la preuve, c&#8217;est le rapport qui montre quels postes sont chiffr\u00e9s et depuis quand.<\/p>\n<p>La norme parle d&#8217;<strong>informations document\u00e9es<\/strong> et en distingue deux types.<\/p>\n<ul>\n<li><strong>Les informations \u00e0 tenir \u00e0 jour.<\/strong> Ce sont les documents qui d\u00e9crivent le fonctionnement du syst\u00e8me, comme <a href=\"https:\/\/factorial.fr\/blog\/politique-securite-linformation\/\">la politique de s\u00e9curit\u00e9<\/a>, le p\u00e9rim\u00e8tre ou les proc\u00e9dures. On les actualise d\u00e8s que quelque chose change.<\/li>\n<li><strong>Les informations \u00e0 conserver.<\/strong> Ce sont les enregistrements qui prouvent ce qui s&#8217;est pass\u00e9, comme un rapport d&#8217;audit interne, un ticket de d\u00e9part ou un journal des acc\u00e8s. On ne les modifie pas, on les archive.<\/li>\n<\/ul>\n<p>Les documents prouvent que vous avez con\u00e7u le syst\u00e8me. Les enregistrements prouvent que vous l&#8217;appliquez. <strong>L&#8217;auditeur a besoin des deux<\/strong>, et c&#8217;est g\u00e9n\u00e9ralement du c\u00f4t\u00e9 des enregistrements que les trous apparaissent.<\/p>\n<p>Si vous \u00eates arriv\u00e9 ici en cherchant la mesure 5.28 de l&#8217;Annexe A, mieux vaut lever tout de suite l&#8217;ambigu\u00eft\u00e9. Cette mesure, intitul\u00e9e \u00ab Collecte des preuves \u00bb, porte sur un sujet bien plus pr\u00e9cis. Elle impose une proc\u00e9dure pour identifier, recueillir et pr\u00e9server les preuves apr\u00e8s un incident de s\u00e9curit\u00e9, afin qu&#8217;elles soient recevables dans une proc\u00e9dure disciplinaire ou judiciaire. C&#8217;est une exigence propre \u00e0 la gestion des incidents, \u00e0 ne pas confondre avec les preuves que l&#8217;auditeur examine pour vous certifier.<\/p>\n<h2>Quels types de preuves l&#8217;auditeur examine-t-il ?<\/h2>\n<p>L&#8217;audit de certification se d\u00e9roule en deux \u00e9tapes. Lors de l&#8217;<strong>\u00e9tape 1<\/strong>, l&#8217;auditeur passe en revue la documentation du <a href=\"https:\/\/factorial.fr\/blog\/systeme-management-securite-linformation\/\">SMSI<\/a> et v\u00e9rifie que vous \u00eates pr\u00eat. Lors de l&#8217;<strong>\u00e9tape 2<\/strong>, il s&#8217;assure que ce qui est \u00e9crit est bien appliqu\u00e9 au quotidien. Pour cela, il croise quatre types de preuves.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Type de preuve<\/th>\n<th style=\"text-align: center;\">En quoi elle consiste<\/th>\n<th style=\"text-align: center;\">Exemple<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">Documentaire<\/td>\n<td style=\"text-align: center;\">Politiques, proc\u00e9dures, comptes rendus et plans approuv\u00e9s<\/td>\n<td style=\"text-align: center;\">Politique de contr\u00f4le d&#8217;acc\u00e8s sign\u00e9e par la direction<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Enregistrements techniques<\/td>\n<td style=\"text-align: center;\">Exports, journaux et rapports g\u00e9n\u00e9r\u00e9s par les syst\u00e8mes<\/td>\n<td style=\"text-align: center;\">Rapport des correctifs en attente par appareil<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Entretiens<\/td>\n<td style=\"text-align: center;\">Questions pos\u00e9es aux responsables de chaque processus<\/td>\n<td style=\"text-align: center;\">Demander \u00e0 l&#8217;\u00e9quipe IT ce qu&#8217;elle fait quand quelqu&#8217;un quitte l&#8217;entreprise<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Observation<\/td>\n<td style=\"text-align: center;\">Constat direct de la mani\u00e8re dont une mesure est appliqu\u00e9e<\/td>\n<td style=\"text-align: center;\">Demander \u00e0 voir \u00e0 l&#8217;\u00e9cran la configuration du verrouillage d&#8217;un poste<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>L&#8217;auditeur ne v\u00e9rifie pas tout, il proc\u00e8de par \u00e9chantillonnage. Il choisit trois d\u00e9parts du dernier trimestre, cinq ordinateurs au hasard ou un incident pr\u00e9cis, et remonte le fil du d\u00e9but \u00e0 la fin. Il suffit qu&#8217;un seul \u00e9chantillon ne corresponde pas \u00e0 ce que dit la politique pour qu&#8217;il rel\u00e8ve un \u00e9cart.<\/p>\n<p>Autrement dit, il ne suffit pas que la preuve existe. Pour que l&#8217;auditeur l&#8217;accepte, elle doit remplir plusieurs conditions.<\/p>\n<ul>\n<li><strong>Dat\u00e9e.<\/strong> Une capture d&#8217;\u00e9cran sans date ne prouve pas que la mesure fonctionnait pendant la p\u00e9riode audit\u00e9e.<\/li>\n<li><strong>Dans le p\u00e9rim\u00e8tre.<\/strong> Elle doit porter sur les syst\u00e8mes, les sites et les processus inclus dans le SMSI.<\/li>\n<li><strong>Tra\u00e7able.<\/strong> On doit pouvoir savoir qui l&#8217;a produite, qui a valid\u00e9 l&#8217;action et \u00e0 quelle mesure elle se rattache.<\/li>\n<li><strong>Coh\u00e9rente avec la politique.<\/strong> Si la politique pr\u00e9voit une revue des acc\u00e8s chaque trimestre, l&#8217;auditeur s&#8217;attendra \u00e0 en trouver quatre par an.<\/li>\n<li><strong>Authentique.<\/strong> Produite au moment des faits et jamais retouch\u00e9e. Un enregistrement fabriqu\u00e9 apr\u00e8s coup est pire que pas d&#8217;enregistrement du tout.<\/li>\n<\/ul>\n<h2>Liste des preuves ISO 27001<\/h2>\n<p>La liste se divise en deux blocs. Les preuves du SMSI r\u00e9pondent<strong> aux <a href=\"https:\/\/factorial.fr\/blog\/structure-iso-27001\/\">chapitres 4 \u00e0 10<\/a> <\/strong>de la norme et sont obligatoires pour toutes les entreprises. Les preuves<strong> des mesures de l&#8217;Annexe A<\/strong> d\u00e9pendent des mesures que vous avez d\u00e9clar\u00e9es applicables dans votre <a href=\"https:\/\/factorial.fr\/blog\/declaration-applicabilite-iso-27001\/\">d\u00e9claration d&#8217;applicabilit\u00e9<\/a>.<\/p>\n<h3>1. Les preuves du SMSI<\/h3>\n<p>Ce sont celles qui d\u00e9montrent que le syst\u00e8me de management existe, qu&#8217;il a un responsable et qu&#8217;il est r\u00e9guli\u00e8rement revu. Aucun outil technique ne les produit \u00e0 votre place, d&#8217;o\u00f9 l&#8217;int\u00e9r\u00eat de savoir d\u00e8s le d\u00e9part o\u00f9 elles se trouvent.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Exigence<\/th>\n<th style=\"text-align: center;\">Ce qu&#8217;elle d\u00e9montre<\/th>\n<th style=\"text-align: center;\">Preuve habituelle<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>4.3 P\u00e9rim\u00e8tre<\/strong><\/td>\n<td style=\"text-align: center;\">Ce que couvre le SMSI et ce qui en est exclu<\/td>\n<td style=\"text-align: center;\">Document de p\u00e9rim\u00e8tre approuv\u00e9, avec les sites, processus, syst\u00e8mes et interfaces<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.2 Politique<\/strong><\/td>\n<td style=\"text-align: center;\">L&#8217;engagement de la direction<\/td>\n<td style=\"text-align: center;\">Politique de s\u00e9curit\u00e9 de l&#8217;information sign\u00e9e et communiqu\u00e9e aux collaborateurs<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.3 R\u00f4les<\/strong><\/td>\n<td style=\"text-align: center;\">Qui est responsable de quoi<\/td>\n<td style=\"text-align: center;\">Organigramme s\u00e9curit\u00e9 ou matrice des responsabilit\u00e9s<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.2 Appr\u00e9ciation des risques<\/strong><\/td>\n<td style=\"text-align: center;\">La fa\u00e7on dont vous identifiez et \u00e9valuez les risques<\/td>\n<td style=\"text-align: center;\">M\u00e9thodologie document\u00e9e et r\u00e9sultats de la derni\u00e8re <a href=\"https:\/\/factorial.fr\/blog\/appreciation-des-risques-iso-27001\/\">appr\u00e9ciation des risques<\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.3 Traitement des risques<\/strong><\/td>\n<td style=\"text-align: center;\">Ce que vous d\u00e9cidez de faire pour chaque risque<\/td>\n<td style=\"text-align: center;\">Plan de traitement, d\u00e9claration d&#8217;applicabilit\u00e9 et acceptation des risques r\u00e9siduels par leurs propri\u00e9taires<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Objectifs<\/strong><\/td>\n<td style=\"text-align: center;\">Ce que vous voulez atteindre et comment vous le mesurez<\/td>\n<td style=\"text-align: center;\">Objectifs de s\u00e9curit\u00e9 avec responsable, \u00e9ch\u00e9ance et indicateur<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.2 Comp\u00e9tences<\/strong><\/td>\n<td style=\"text-align: center;\">Que les personnes cl\u00e9s ont les comp\u00e9tences requises<\/td>\n<td style=\"text-align: center;\">Certificats, attestations de formation et fiches de poste<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.3 Sensibilisation<\/strong><\/td>\n<td style=\"text-align: center;\">Que les collaborateurs connaissent la politique<\/td>\n<td style=\"text-align: center;\">Feuilles d&#8217;\u00e9margement et r\u00e9sultats des formations<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Ma\u00eetrise op\u00e9rationnelle<\/strong><\/td>\n<td style=\"text-align: center;\">Que les processus sont ex\u00e9cut\u00e9s comme pr\u00e9vu<\/td>\n<td style=\"text-align: center;\">Registres des changements, tickets et plans d&#8217;action<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.1 Surveillance et mesure<\/strong><\/td>\n<td style=\"text-align: center;\">Que vous mesurez la performance du SMSI<\/td>\n<td style=\"text-align: center;\">Tableau de bord des indicateurs avec les r\u00e9sultats par p\u00e9riode<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.2 Audit interne<\/strong><\/td>\n<td style=\"text-align: center;\">Que vous contr\u00f4lez le syst\u00e8me avant tout le monde<\/td>\n<td style=\"text-align: center;\">Programme d&#8217;audit, rapport du dernier audit interne et constats<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.3 Revue de direction<\/strong><\/td>\n<td style=\"text-align: center;\">Que la direction pilote le syst\u00e8me<\/td>\n<td style=\"text-align: center;\">Compte rendu de la derni\u00e8re revue avec les d\u00e9cisions prises et les actions d\u00e9cid\u00e9es<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>10.2 Non-conformit\u00e9s<\/strong><\/td>\n<td style=\"text-align: center;\">Que vous corrigez ce qui ne va pas<\/td>\n<td style=\"text-align: center;\">Registre des non-conformit\u00e9s avec analyse des causes, action corrective et v\u00e9rification de son efficacit\u00e9<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>La revue de direction et l&#8217;audit interne sont les deux preuves les plus souvent oubli\u00e9es lors d&#8217;une premi\u00e8re certification. Toutes deux doivent avoir eu lieu avant l&#8217;\u00e9tape 2, en laissant assez de temps pour traiter les constats.<\/p>\n<h3>2. Les preuves des mesures de l&#8217;Annexe A<\/h3>\n<p>L&#8217;Annexe A de l&#8217;ISO\/IEC 27001:2022 regroupe <strong>93 mesures <\/strong>r\u00e9parties en quatre th\u00e8mes. Elles ne s&#8217;appliquent pas toutes \u00e0 toutes les entreprises, mais chaque mesure que vous d\u00e9clarez applicable doit s&#8217;appuyer sur au moins une preuve de son fonctionnement. Voici celles que l&#8217;on retrouve le plus souvent en audit.<\/p>\n<h4><strong>Mesures organisationnelles<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Mesure<\/th>\n<th style=\"text-align: center;\">Preuve g\u00e9n\u00e9ralement demand\u00e9e par l&#8217;auditeur<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>5.9 Inventaire des actifs<\/strong><\/td>\n<td style=\"text-align: center;\">Inventaire \u00e0 jour avec un propri\u00e9taire attribu\u00e9 \u00e0 chaque actif et la date de la derni\u00e8re revue<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.10 Utilisation correcte des actifs<\/strong><\/td>\n<td style=\"text-align: center;\">R\u00e8gles d&#8217;utilisation acceptable et trace de leur acceptation par les collaborateurs<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.11 Restitution des actifs<\/strong><\/td>\n<td style=\"text-align: center;\">Registre de restitution du mat\u00e9riel lors des derniers d\u00e9parts<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.15 \u00e0 5.18 Contr\u00f4le d&#8217;acc\u00e8s<\/strong><\/td>\n<td style=\"text-align: center;\">Politique d&#8217;acc\u00e8s, demandes approuv\u00e9es, revues p\u00e9riodiques des droits et retrait des acc\u00e8s lors des d\u00e9parts<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.19 \u00e0 5.22 Fournisseurs<\/strong><\/td>\n<td style=\"text-align: center;\">Registre des fournisseurs critiques, clauses de s\u00e9curit\u00e9 dans les contrats et \u00e9valuations p\u00e9riodiques<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.23 Services cloud<\/strong><\/td>\n<td style=\"text-align: center;\">Liste des services cloud utilis\u00e9s, responsable de chacun et crit\u00e8res de s\u00e9lection<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.24 \u00e0 5.27 Incidents<\/strong><\/td>\n<td style=\"text-align: center;\">Proc\u00e9dure de gestion des incidents, registre des incidents avec leur chronologie et retours d&#8217;exp\u00e9rience<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.29 et 5.30 Continuit\u00e9<\/strong><\/td>\n<td style=\"text-align: center;\">Plan de continuit\u00e9 et compte rendu du dernier test r\u00e9alis\u00e9<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Mesures li\u00e9es aux personnes<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Mesure<\/th>\n<th style=\"text-align: center;\">Preuve g\u00e9n\u00e9ralement demand\u00e9e par l&#8217;auditeur<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1 S\u00e9lection des candidats<\/strong><\/td>\n<td style=\"text-align: center;\">Proc\u00e9dure de v\u00e9rification \u00e0 l&#8217;embauche et traces de son application<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Conditions d&#8217;emploi<\/strong><\/td>\n<td style=\"text-align: center;\">Contrats ou avenants sign\u00e9s comportant des obligations de s\u00e9curit\u00e9 et de confidentialit\u00e9<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.3 Sensibilisation et formation<\/strong><\/td>\n<td style=\"text-align: center;\">Plan de formation, participation et r\u00e9sultats par collaborateur<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.5 Responsabilit\u00e9s apr\u00e8s le d\u00e9part<\/strong><\/td>\n<td style=\"text-align: center;\">Checklist d&#8217;offboarding compl\u00e9t\u00e9e pour les d\u00e9parts r\u00e9cents<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.7 Travail \u00e0 distance<\/strong><\/td>\n<td style=\"text-align: center;\">Politique de t\u00e9l\u00e9travail et configuration de s\u00e9curit\u00e9 des postes utilis\u00e9s \u00e0 distance<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Mesures physiques<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Mesure<\/th>\n<th style=\"text-align: center;\">Preuve g\u00e9n\u00e9ralement demand\u00e9e par l&#8217;auditeur<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>7.1 et 7.2 P\u00e9rim\u00e8tre et acc\u00e8s physiques<\/strong><\/td>\n<td style=\"text-align: center;\">Registre des entr\u00e9es dans les bureaux ou les zones \u00e0 acc\u00e8s restreint<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.9 Actifs hors des locaux<\/strong><\/td>\n<td style=\"text-align: center;\">Liste des \u00e9quipements utilis\u00e9s hors des bureaux et mesures appliqu\u00e9es, comme le chiffrement ou le verrouillage \u00e0 distance<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.10 Supports de stockage<\/strong><\/td>\n<td style=\"text-align: center;\">Politique d&#8217;utilisation des supports amovibles et sa mise en \u0153uvre technique<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.14 \u00c9limination ou recyclage du mat\u00e9riel<\/strong><\/td>\n<td style=\"text-align: center;\">Trace de l&#8217;effacement s\u00e9curis\u00e9 ou certificat de destruction du mat\u00e9riel mis au rebut<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Mesures technologiques<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Mesure<\/th>\n<th style=\"text-align: center;\">Preuve g\u00e9n\u00e9ralement demand\u00e9e par l&#8217;auditeur<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Terminaux des utilisateurs<\/strong><\/td>\n<td style=\"text-align: center;\">\u00c9tat de conformit\u00e9 de chaque appareil aux politiques de s\u00e9curit\u00e9, comme le verrouillage de l&#8217;\u00e9cran, le mot de passe ou la version du syst\u00e8me d&#8217;exploitation<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.2 Droits d&#8217;acc\u00e8s privil\u00e9gi\u00e9s<\/strong><\/td>\n<td style=\"text-align: center;\">Liste des comptes administrateurs et justification de chacun<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.5 Authentification s\u00e9curis\u00e9e<\/strong><\/td>\n<td style=\"text-align: center;\">Configuration de l&#8217;authentification multifacteur et syst\u00e8mes sur lesquels elle est active<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.7 Protection contre les logiciels malveillants<\/strong><\/td>\n<td style=\"text-align: center;\">Couverture de l&#8217;antimalware ou de l&#8217;EDR par appareil et journal des alertes<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.8 Vuln\u00e9rabilit\u00e9s techniques<\/strong><\/td>\n<td style=\"text-align: center;\">Rapport des correctifs appliqu\u00e9s et en attente, avec les dates<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.9 Gestion de la configuration<\/strong><\/td>\n<td style=\"text-align: center;\">Configurations de r\u00e9f\u00e9rence approuv\u00e9es et v\u00e9rification de leur respect sur les postes<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.10 Suppression des informations<\/strong><\/td>\n<td style=\"text-align: center;\">Traces de l&#8217;effacement des donn\u00e9es sur les postes retir\u00e9s ou r\u00e9attribu\u00e9s<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.13 Sauvegarde des informations<\/strong><\/td>\n<td style=\"text-align: center;\">Politique de sauvegarde, journal d&#8217;ex\u00e9cution et test de restauration<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.15 Journalisation<\/strong><\/td>\n<td style=\"text-align: center;\">Journaux des syst\u00e8mes critiques et dur\u00e9e de conservation<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.24 Utilisation de la cryptographie<\/strong><\/td>\n<td style=\"text-align: center;\">\u00c9tat du chiffrement des disques par appareil et gestion des cl\u00e9s de r\u00e9cup\u00e9ration<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.32 Gestion des changements<\/strong><\/td>\n<td style=\"text-align: center;\">Registre des changements avec \u00e9valuation, approbation et tests<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Si vous voulez revoir le contenu de chaque th\u00e8me avant de construire votre propre liste, l&#8217;article consacr\u00e9 aux <a href=\"https:\/\/factorial.fr\/blog\/domaines-iso-27001\/\">domaines de l&#8217;ISO 27001<\/a> les d\u00e9taille un par un.<\/p>\n<h2>Comment rassembler les preuves pour l&#8217;audit ?<\/h2>\n<p>Les entreprises qui passent l&#8217;audit sans mauvaise surprise ont un point commun. <strong>Elles d\u00e9cident quelle preuve correspond \u00e0 chaque mesure bien avant que l&#8217;auditeur ne la r\u00e9clame<\/strong>. Voici les \u00e9tapes pour y parvenir.<\/p>\n<h3>1. Partez de la d\u00e9claration d&#8217;applicabilit\u00e9<\/h3>\n<p>La d\u00e9claration d&#8217;applicabilit\u00e9 (SoA) liste les mesures de l&#8217;Annexe A que vous avez choisi d&#8217;appliquer, avec la justification de chaque choix. C&#8217;est le meilleur point de d\u00e9part, puisqu&#8217;elle vous dit pr\u00e9cis\u00e9ment ce que vous aurez \u00e0 d\u00e9montrer.<\/p>\n<p><strong>Reprenez la SoA mesure par mesure et notez en face la preuve qui en d\u00e9montre le fonctionnement<\/strong>. Si une mesure applicable n&#8217;a aucune preuve associ\u00e9e, vous tenez votre premier trou. Et si vous d\u00e9clarez une mesure comme mise en \u0153uvre sans rien pouvoir montrer pour l&#8217;\u00e9tayer, l&#8217;auditeur s&#8217;en apercevra \u00e0 l&#8217;\u00e9tape 2.<\/p>\n<h3>2. Attribuez un responsable et une fr\u00e9quence \u00e0 chaque preuve<\/h3>\n<p>Une preuve sans responsable finit toujours par ne plus \u00eatre mise \u00e0 jour. <strong>Chaque preuve a besoin d&#8217;une personne qui la produit et d&#8217;une autre qui la v\u00e9rifie<\/strong>, ainsi que d&#8217;une fr\u00e9quence conforme \u00e0 ce que pr\u00e9voit votre politique.<\/p>\n<p>Certaines preuves se produisent une fois par an, comme la revue de direction. D&#8217;autres \u00e9voluent chaque semaine, comme l&#8217;\u00e9tat des correctifs. R\u00e9unir ces informations dans une cartographie des preuves vous permet de voir d&#8217;un coup d&#8217;\u0153il ce qui est couvert et ce qui ne l&#8217;est pas. Elle peut \u00eatre aussi simple que celle-ci.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Mesure<\/th>\n<th>Preuve<\/th>\n<th>Source<\/th>\n<th>Responsable<\/th>\n<th>Fr\u00e9quence<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">5.9<\/td>\n<td>Inventaire des actifs avec propri\u00e9taire<\/td>\n<td>Outil de gestion des actifs<\/td>\n<td>Responsable IT<\/td>\n<td>En continu, revue trimestrielle<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">5.18<\/td>\n<td>Revue des droits d&#8217;acc\u00e8s<\/td>\n<td>Annuaire et applications SaaS<\/td>\n<td>Responsables de service<\/td>\n<td>Trimestrielle<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">8.8<\/td>\n<td>Rapport des correctifs<\/td>\n<td>MDM<\/td>\n<td>Responsable IT<\/td>\n<td>Mensuelle<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">9.3<\/td>\n<td>Compte rendu de la revue de direction<\/td>\n<td>Document interne<\/td>\n<td>RSSI<\/td>\n<td>Annuelle<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>3. Centralisez et automatisez les preuves<\/h3>\n<p>Quand les preuves sont dispers\u00e9es entre la messagerie, des dossiers personnels et plusieurs outils, les retrouver prend des heures. Et si la seule personne qui sait o\u00f9 tout se trouve est absente le jour de l&#8217;audit, les choses se compliquent s\u00e9rieusement.<\/p>\n<p>Stockez-les dans <strong>un r\u00e9f\u00e9rentiel unique<\/strong>, avec un dossier par exigence ou par mesure et la date dans le nom de chaque fichier. Limitez l&#8217;acc\u00e8s aux seules personnes qui en ont besoin, car beaucoup contiennent des informations sensibles.<\/p>\n<p>Pour les preuves techniques, comme l&#8217;inventaire des actifs, le chiffrement des postes ou les correctifs, l&#8217;id\u00e9al est qu&#8217;elles sortent directement de<strong> vos outils de gestion des appareils<\/strong>. Un export manuel est p\u00e9rim\u00e9 en quelques semaines, alors qu&#8217;un rapport automatique refl\u00e8te toujours la situation r\u00e9elle et porte sa date. Si vous n&#8217;avez pas encore d&#8217;outil, notre comparatif des <a href=\"https:\/\/factorial.fr\/blog\/meilleurs-logiciels-iso-27001\/\">meilleurs logiciels pour se conformer \u00e0 l&#8217;ISO 27001<\/a> vous aidera \u00e0 choisir.<\/p>\n<h3>4. Faites un audit \u00e0 blanc sur des cas r\u00e9els<\/h3>\n<p>Avant l&#8217;\u00e9tape 2, mettez-vous \u00e0 la place de l&#8217;auditeur. Prenez une arriv\u00e9e r\u00e9cente, un d\u00e9part du dernier trimestre et un ordinateur au hasard, et<strong> v\u00e9rifiez que vous pouvez reconstituer toute la cha\u00eene<\/strong> pour chacun d&#8217;eux.<\/p>\n<p>Pour un d\u00e9part, par exemple, vous devez pouvoir pr\u00e9senter la notification des RH, <a href=\"https:\/\/factorial.fr\/blog\/controle-dacces-iso-27001\/\">le retrait des acc\u00e8s<\/a>, la restitution du mat\u00e9riel et l&#8217;effacement des donn\u00e9es, le tout dat\u00e9. Si l&#8217;une de ces \u00e9tapes manque ou ne colle pas avec ce que dit la politique, mieux vaut le d\u00e9couvrir maintenant. Ce que vous ne trouvez pas, l&#8217;auditeur ne le trouvera pas non plus.<\/p>\n<h3>5. Entretenez les preuves entre deux audits<\/h3>\n<p>La <a href=\"https:\/\/factorial.fr\/blog\/comment-obtenir-iso-27001\/\">certification<\/a> est <strong>valable trois ans<\/strong>, avec un audit de surveillance chaque ann\u00e9e et un audit de renouvellement en fin de cycle. L&#8217;auditeur examinera des preuves couvrant toute la p\u00e9riode \u00e9coul\u00e9e depuis sa derni\u00e8re visite, et pas seulement le mois pr\u00e9c\u00e9dent.<\/p>\n<p>Si les preuves ne sont produites qu&#8217;\u00e0 l&#8217;approche de l&#8217;audit, chaque surveillance redevient une course contre la montre. <strong>Celles qui se produisent en continu<\/strong>, avec des responsables et des fr\u00e9quences bien d\u00e9finis, r\u00e8glent ce probl\u00e8me et font vivre le syst\u00e8me le reste de l&#8217;ann\u00e9e.<\/p>\n<h2>Les erreurs les plus fr\u00e9quentes avec les preuves<\/h2>\n<p>La plupart des non-conformit\u00e9s relev\u00e9es en audit n&#8217;ont pas grand-chose \u00e0 voir avec des mesures inexistantes. Elles viennent le plus souvent de mesures qui existent bel et bien, mais qu&#8217;on ne sait pas d\u00e9montrer. Voici les erreurs que l&#8217;on croise le plus souvent.<\/p>\n<ul>\n<li><strong>Des captures d&#8217;\u00e9cran sans contexte.<\/strong> Une image affichant \u00ab chiffrement activ\u00e9 \u00bb ne dit ni sur quel poste, ni \u00e0 quelle date, ni si le reste du parc est concern\u00e9. Les captures peuvent compl\u00e9ter un dossier, mais elles suffisent rarement \u00e0 elles seules.<\/li>\n<li><strong>Des preuves fabriqu\u00e9es \u00e0 la derni\u00e8re minute.<\/strong> Un compte rendu de revue r\u00e9dig\u00e9 la semaine qui pr\u00e9c\u00e8de l&#8217;audit ou un registre rempli avec des dates ant\u00e9rieures se rep\u00e8rent facilement. Et ils entament la cr\u00e9dibilit\u00e9 de tout le reste du syst\u00e8me.<\/li>\n<li><strong>Une politique qui dit une chose et une pratique qui en fait une autre.<\/strong> Si la politique pr\u00e9voit des revues d&#8217;acc\u00e8s trimestrielles et qu&#8217;il n&#8217;y en a qu&#8217;une par an, l&#8217;auditeur rel\u00e8vera une non-conformit\u00e9, m\u00eame si la revue est bien faite. Mieux vaut caler la politique sur une fr\u00e9quence r\u00e9aliste que ne pas la respecter.<\/li>\n<li><strong>Des preuves \u00e9parpill\u00e9es.<\/strong> Des validations noy\u00e9es dans les e-mails, des exports sur l&#8217;ordinateur d&#8217;un collaborateur et des tickets r\u00e9partis dans trois outils diff\u00e9rents. Quand la personne qui savait o\u00f9 tout se trouvait part en cong\u00e9s ou quitte l&#8217;entreprise, les preuves disparaissent avec elle.<\/li>\n<li><strong>Des actifs absents de l&#8217;inventaire.<\/strong> Un ordinateur que personne n&#8217;a enregistr\u00e9 ou une application SaaS souscrite par un service sans passer par l&#8217;IT. Si l&#8217;actif ne figure pas dans l&#8217;<a href=\"https:\/\/factorial.fr\/blog\/inventaire-des-actifs-iso-27001\/\">inventaire des actifs<\/a>, aucune mesure ne s&#8217;y applique, et l&#8217;auditeur finit g\u00e9n\u00e9ralement par le rep\u00e9rer en recoupant les donn\u00e9es.<\/li>\n<li><strong>Des d\u00e9parts mal boucl\u00e9s.<\/strong> Le compte principal est bien d\u00e9sactiv\u00e9, mais l&#8217;acc\u00e8s \u00e0 un outil SaaS reste ouvert ou l&#8217;ordinateur n&#8217;a jamais \u00e9t\u00e9 rendu. Les d\u00e9parts font partie des tout premiers \u00e9chantillons demand\u00e9s par l&#8217;auditeur, parce qu&#8217;ils montrent tr\u00e8s vite si les processus RH et IT communiquent.<\/li>\n<\/ul>\n<h2>Comment Factorial IT vous aide avec les preuves ISO 27001 ?<\/h2>\n<p>Une bonne partie des preuves de l&#8217;Annexe A sont techniques. Elles d\u00e9crivent l&#8217;\u00e9tat des appareils, des acc\u00e8s et des actifs de l&#8217;entreprise \u00e0 un instant donn\u00e9. Les collecter \u00e0 la main oblige \u00e0 exporter les donn\u00e9es de plusieurs outils, \u00e0 les recouper et \u00e0 tout recommencer avant chaque audit.<\/p>\n<p><a href=\"https:\/\/factorial.fr\/factorial-it\">Factorial IT<\/a> produit ces preuves en continu \u00e0 partir de la gestion quotidienne du parc, et chaque rapport porte sa date.<\/p>\n<ul>\n<li><strong>Un inventaire des actifs toujours \u00e0 jour (5.9).<\/strong> Les appareils sont enregistr\u00e9s automatiquement avec leur propri\u00e9taire, sur des parcs mixtes macOS, Windows, Linux, iOS et Android. L&#8217;inventaire se t\u00e9l\u00e9charge avec sa date et son taux de couverture.<\/li>\n<li><strong>L&#8217;\u00e9tat de s\u00e9curit\u00e9 de chaque appareil (8.1, 8.9 et 8.24).<\/strong> Les politiques de s\u00e9curit\u00e9 sont appliqu\u00e9es depuis le MDM, et l&#8217;\u00e9tat de conformit\u00e9 de chaque poste, chiffrement du disque compris, est enregistr\u00e9.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201960 aligncenter\" src=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png\" alt=\"inventaire Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png 1024w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-300x146.png 300w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-768x373.png 768w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Correctifs et vuln\u00e9rabilit\u00e9s (8.8).<\/strong> Une vue claire sur les mises \u00e0 jour appliqu\u00e9es et en attente par appareil, avec leur historique.<\/li>\n<li><strong>Protection contre les logiciels malveillants (8.7).<\/strong> L&#8217;EDR int\u00e9gr\u00e9 affiche la couverture poste par poste ainsi que le journal des alertes et des r\u00e9ponses apport\u00e9es.<\/li>\n<li><strong>Des d\u00e9parts reli\u00e9s aux RH (5.11, 6.5 et 7.14).<\/strong> Comme Factorial IT est synchronis\u00e9 avec les arriv\u00e9es et les d\u00e9parts g\u00e9r\u00e9s dans Factorial, chaque d\u00e9part d\u00e9clenche le retrait des acc\u00e8s, la restitution du mat\u00e9riel et l&#8217;effacement \u00e0 distance. Le d\u00e9lai entre le d\u00e9part enregistr\u00e9 par les RH et la coupure du dernier acc\u00e8s est trac\u00e9, et c&#8217;est pr\u00e9cis\u00e9ment l&#8217;\u00e9chantillon que l&#8217;auditeur a l&#8217;habitude de demander.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201970 aligncenter\" src=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png\" alt=\"preuves Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png 1024w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-300x146.png 300w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-768x372.png 768w, https:\/\/factorial.fr\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Applications SaaS et acc\u00e8s (5.15 et 5.23).<\/strong> Une vue sur les applications utilis\u00e9es, sur qui a acc\u00e8s \u00e0 chacune et sur les outils adopt\u00e9s sans passer par l&#8217;IT.<\/li>\n<li><strong>Module Compliance.<\/strong> Il regroupe l&#8217;\u00e9tat de ces mesures en un seul endroit, pour que pr\u00e9parer l&#8217;audit revienne \u00e0 v\u00e9rifier et t\u00e9l\u00e9charger plut\u00f4t qu&#8217;\u00e0 chercher.<\/li>\n<\/ul>\n<p>Soyons clairs sur la limite. Factorial IT intervient sur la couche technique de la conformit\u00e9. Les preuves du SMSI, comme l&#8217;appr\u00e9ciation des risques, la d\u00e9claration d&#8217;applicabilit\u00e9, l&#8217;audit interne ou la revue de direction, d\u00e9pendent de votre \u00e9quipe et de votre processus de management. Aucun outil ne peut les remplacer.<\/p>\n<p>Pour couvrir cette partie, Factorial propose un <a href=\"https:\/\/factorial.fr\/iso-27001\">accompagnement \u00e0 la certification ISO 27001 de bout en bout<\/a> avec des partenaires sp\u00e9cialis\u00e9s, du diagnostic jusqu&#8217;\u00e0 l&#8217;audit. Et si vous voulez voir, mesure par mesure, quelle preuve produit la plateforme, tout est d\u00e9taill\u00e9 dans notre article sur <a href=\"https:\/\/factorial.fr\/blog\/comment-factorial-it-aide-iso-27001\/\">la mani\u00e8re dont Factorial IT aide \u00e0 se conformer \u00e0 l&#8217;ISO 27001<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Les preuves sont ce qui permet \u00e0 un auditeur de v\u00e9rifier que votre syst\u00e8me de management de la s\u00e9curit\u00e9 fonctionne vraiment. Sans elles, une politique approuv\u00e9e ou une mesure bien con\u00e7ue ne p\u00e8sent rien pour la certification. Le probl\u00e8me, c&#8217;est qu&#8217;elles sont souvent \u00e9parpill\u00e9es entre plusieurs outils, dossiers et bo\u00eetes mail, et les rassembler \u00e0<a href=\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":206860,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1092],"tags":[],"class_list":["post-206857","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001-fr"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Preuves ISO 27001 : ce que demande l\u2019auditeur | Factorial<\/title>\n<meta name=\"description\" content=\"Des questions sur les preuves ISO 27001 ? On vous explique tout pour bien pr\u00e9parer votre audit. D\u00e9couvrez-le ici !\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorial.fr\/blog\/preuves-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Preuves ISO 27001 : ce que demande l\u2019auditeur et comment les pr\u00e9parer\" \/>\n<meta property=\"og:description\" content=\"Des questions sur les preuves ISO 27001 ? On vous explique tout pour bien pr\u00e9parer votre audit. D\u00e9couvrez-le ici !\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorial.fr\/blog\/preuves-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-10T14:47:58+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/10164741\/preuves-iso-27001.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"14 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Preuves ISO 27001 : ce que demande l\u2019auditeur et comment les pr\u00e9parer\",\"datePublished\":\"2026-11-10T14:47:58+00:00\",\"dateModified\":\"2026-11-10T14:47:58+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/\"},\"wordCount\":3428,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/\",\"url\":\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/\",\"name\":\"Preuves ISO 27001 : ce que demande l\u2019auditeur | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-11-10T14:47:58+00:00\",\"dateModified\":\"2026-11-10T14:47:58+00:00\",\"description\":\"Des questions sur les preuves ISO 27001 ? On vous explique tout pour bien pr\u00e9parer votre audit. D\u00e9couvrez-le ici !\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Preuves ISO 27001 : ce que demande l\u2019auditeur | Factorial","description":"Des questions sur les preuves ISO 27001 ? On vous explique tout pour bien pr\u00e9parer votre audit. D\u00e9couvrez-le ici !","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorial.fr\/blog\/preuves-iso-27001\/","og_locale":"en_US","og_type":"article","og_title":"Preuves ISO 27001 : ce que demande l\u2019auditeur et comment les pr\u00e9parer","og_description":"Des questions sur les preuves ISO 27001 ? On vous explique tout pour bien pr\u00e9parer votre audit. D\u00e9couvrez-le ici !","og_url":"https:\/\/factorial.fr\/blog\/preuves-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-11-10T14:47:58+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/10164741\/preuves-iso-27001.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"14 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Preuves ISO 27001 : ce que demande l\u2019auditeur et comment les pr\u00e9parer","datePublished":"2026-11-10T14:47:58+00:00","dateModified":"2026-11-10T14:47:58+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/"},"wordCount":3428,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/","url":"https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/","name":"Preuves ISO 27001 : ce que demande l\u2019auditeur | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-11-10T14:47:58+00:00","dateModified":"2026-11-10T14:47:58+00:00","description":"Des questions sur les preuves ISO 27001 ? On vous explique tout pour bien pr\u00e9parer votre audit. D\u00e9couvrez-le ici !","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/fr\/preuves-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206857"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=206857"}],"version-history":[{"count":2,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206857\/revisions"}],"predecessor-version":[{"id":206861,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206857\/revisions\/206861"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/206860"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=206857"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=206857"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=206857"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}