L'outil ISO 27001 pour piloter les risques de votre SMSI

L'ISO/IEC 27001 est la norme d'exigences : elle décrit ce que doit contenir un SMSI, et c'est elle qui est certifiable. L'ISO/IEC 27002 est un recueil de lignes directrices qui explique, mesure par mesure, comment mettre en œuvre celles que liste l'Annexe A de l'ISO 27001. Aucun organisme ne délivre de certificat ISO 27002. En pratique, l'audit porte sur l'ISO 27001, et l'ISO 27002 sert de manuel de mise en œuvre à vos équipes.

L'édition ISO/IEC 27001:2022 a restructuré l'Annexe A en 93 mesures réparties en quatre thèmes : organisationnel, personnes, physique et technologique. L'édition précédente, publiée en 2013, en comptait 114 réparties en 14 chapitres. Ces mesures ne s'appliquent pas toutes d'office : vous retenez celles que votre appréciation des risques justifie et vous motivez chaque exclusion dans la déclaration d'applicabilité, en général le premier document que consulte l'auditeur.

Non, l'ISO 27001 est une norme volontaire : aucune obligation légale générale n'impose de s'y certifier. Ce qui la rend nécessaire est le plus souvent commercial : clauses contractuelles, appels d'offres, questionnaires de sécurité clients. Les premières concernées sont donc les organisations qui vendent à de grands comptes, à des acteurs régulés ou au secteur public. La norme sert aussi de socle documenté pour répondre à NIS2 ou DORA, sans valoir preuve de conformité à ces textes : leurs obligations propres restent à démontrer séparément.

L'audit initial est conduit par un organisme de certification accrédité et se déroule en deux étapes. L'étape 1, essentiellement documentaire, vérifie que le SMSI existe et que la déclaration d'applicabilité tient debout. L'étape 2 examine si les mesures retenues fonctionnent réellement. Le certificat porte ensuite sur un cycle de trois ans, ponctué d'audits de surveillance et refermé par un audit de renouvellement : le SMSI doit rester vivant toute l'année, et non se réveiller à l'approche de chaque visite.

Aucune en particulier. La norme exige un processus d'appréciation des risques défini, documenté et reproductible, assorti de critères d'acceptation explicites, mais elle laisse le choix de la méthode. L'ISO/IEC 27005 fournit des lignes directrices, et la méthode EBIOS Risk Manager, publiée par l'ANSSI, est largement pratiquée en France. Ce que l'auditeur contrôle n'est pas la méthode elle-même, mais le fait que vous l'appliquiez de façon cohérente d'un exercice à l'autre.

Il suffit pour démarrer, rarement pour tenir dans la durée. Un SMSI à jour suppose de garder reliés en permanence les risques, les mesures retenues, le plan de traitement et les preuves associées. Dès que ces liens se répartissent entre plusieurs classeurs, la déclaration d'applicabilité se désynchronise et les preuves collectées pour l'audit initial vieillissent sans que personne s'en aperçoive. Un outil dédié conserve en plus un historique daté des décisions, ce qu'un fichier partagé ne restitue pas.

Dans Vailor, elle intervient sur l'appréciation des risques : l'IA lit vos documents (architecture, politiques, contrats) et préremplit les champs de l'analyse à partir d'extraits, ce qui réduit la part de rapprochement et de recopie. La partie conformité, elle, ne repose pas sur une IA générative : vos contrôles, vos preuves et vos actions restent tenus par vos équipes. La décision reste humaine : c'est vous qui arbitrez les exclusions et les assumez devant l'auditeur. À ne pas confondre avec l'ISO/IEC 42001, publiée en 2023, qui encadre le management des systèmes d'IA eux-mêmes.