Accompagnement ISO 27001 à Paris et en petite couronne : devis gratuit en 2 minutes

La norme décrit un système de management de la sécurité de l’information, appelé SMSI. Il s’agit d’un ensemble de règles, de rôles et de processus par lequel l’entreprise identifie ses risques liés à l’information, décide comment les traiter et vérifie dans la durée que ses décisions sont appliquées. Accompagner l’entreprise consiste à construire ce système, à le rendre proportionné à sa taille et à produire les preuves de son fonctionnement.

Un système qui tourne, pas une liste de documents

La norme attend un système vivant et documenté, pas un classeur rempli d’exemples téléchargés. Les procédures doivent correspondre à la façon dont l’entreprise travaille, et chaque document doit servir à quelque chose : décider, transmettre une consigne, prouver un contrôle. Un SMSI qui n’a jamais été mis en pratique ne résiste pas à un audit, car les auditeurs demandent des traces de fonctionnement, pas seulement des textes.

Ce que l’accompagnement ne fait pas à la place de l’entreprise

Accepter un risque, arbitrer un budget ou désigner un responsable reste une décision de la direction. L’accompagnant aide à préparer ces choix et à en garder la trace. La certification, elle, est décidée par un organisme de certification indépendant de l’accompagnant, qui ne peut pas en promettre l’issue. Le SMSI doit ensuite être maintenu, car le certificat s’accompagne d’audits de surveillance.

Le besoin se manifeste rarement sous la forme d’un projet ISO. Il apparaît plutôt dans les situations suivantes :

• Un appel d’offres exigeant : la certification figure parmi les critères, et l’équipe n’a pas de dossier prêt pour y répondre.
• Un client qui demande des preuves : les questionnaires de sécurité se multiplient, mais les réponses reposent sur la mémoire des personnes.
• Une documentation éparpillée : les consignes existent dans des courriels, des fichiers isolés et des habitudes, sans version de référence.
• Un projet précédent resté en plan : une première tentative a été lancée, puis abandonnée faute de temps disponible.
• Une analyse de risques ancienne : elle a été réalisée une fois, puis plus jamais relue alors que les outils et les activités ont changé.
• Des modèles importés : les procédures ont été achetées ou copiées, et personne ne les applique réellement.
• Un audit qui approche : aucun contrôle interne n’a encore été fait, et les écarts potentiels restent inconnus.
• Des écarts déjà relevés : une visite de surveillance ou un client a signalé des points à corriger, sans plan clair pour y répondre.

Dans chacun de ces cas, l’enjeu est moins le document à produire que la capacité à montrer, de façon datée et vérifiable, comment l’entreprise protège son information.

Un projet ISO 27001 se déroule en trois temps. Chaque étape produit des éléments que la direction doit valider, et chacun conditionne la suite.

Avant : cadrer le périmètre et l’existant

Le premier travail consiste à décider ce que couvre le SMSI : quels sites, quelles activités, quels systèmes et quelles équipes. Un périmètre trop large allonge le projet sans bénéfice proportionné ; un périmètre trop étroit peut laisser de côté les données qui intéressent précisément les clients. L’existant est recensé en parallèle : pratiques déjà en place, documents, exigences contractuelles et engagements pris envers les partenaires.

Pendant : risques, déclaration d’applicabilité et documentation

L’analyse de risques identifie les informations et les systèmes qui comptent, les menaces qui les visent et les mesures déjà en place. Les décisions de traitement sont ensuite consignées dans la déclaration d’applicabilité, qui précise pour chaque mesure de la norme si elle est retenue ou exclue, et pourquoi. La documentation est rédigée à partir de ces choix, avec les équipes qui vont réellement s’en servir. L’audit interne intervient quand le système fonctionne déjà : il vérifie que les règles sont suivies et relève les écarts avant l’auditeur externe.

Après : revue de direction et suivi dans la durée

La revue de direction examine les résultats des contrôles, les incidents, les évolutions de l’entreprise et les actions correctives. C’est le moment où la direction confirme que le SMSI reste adapté. Après la certification, les audits de surveillance vérifient que le système continue de fonctionner. Un projet bien mené prévoit donc un calendrier de révision et un responsable désigné pour ce suivi.

Deux propositions peuvent sembler proches sur le papier et produire des résultats très différents. Quelques points permettent de les comparer à périmètre égal.

La méthode d’analyse de risques doit être expliquée avant le démarrage : quels critères, quelle échelle, qui valide les décisions. Une méthode opaque ne permet ni de la contester ni de la reprendre plus tard. Il est également utile de savoir qui rédige les documents. Un accompagnement qui laisse la documentation à l’entreprise, sans l’accompagner, produit un système que personne ne maîtrise ; un accompagnement qui rédige tout sans les équipes produit un système que personne n’applique. Le bon équilibre se discute dès l’offre.

La déclaration d’applicabilité doit justifier chaque choix d’exclusion par l’analyse de risques, et non par commodité. Un auditeur la lit en premier. Enfin, l’indépendance de l’audit interne mérite une question directe : s’il est mené par la même personne que celle qui a rédigé le système, la vérification perd une grande partie de sa valeur. Il faut aussi savoir ce qui est prévu après la certification, car c’est là que le SMSI vit réellement.

• Un périmètre décidé sans la direction : le projet avance, mais les arbitrages sont contestés au moment de la validation. Parade : faire trancher le périmètre par la direction dès le premier atelier, avec un compte rendu signé.
• Des procédures copiées d’un modèle : elles décrivent une entreprise qui n’existe pas et sont repérées en audit. Parade : rédiger chaque procédure à partir de la façon réelle de travailler, puis la tester avec la personne concernée.
• Une analyse de risques figée : elle devient fausse dès qu’un outil change ou qu’une activité s’ajoute. Parade : fixer une revue annuelle et une revue à chaque changement significatif.
• Un audit interne fait en interne sans recul : les mêmes personnes contrôlent leur propre travail. Parade : confier au moins une partie du contrôle à une personne extérieure à la rédaction.
• Une attente de certification comme point de départ : l’équipe découvre trop tard qu’il manque des preuves. Parade : vérifier, avant l’audit, que chaque mesure retenue dispose d’une trace datée.

Avant de choisir un accompagnement, il est utile de poser quelques questions précises. Les réponses permettent de voir si la proposition correspond au besoin.

Comment l’analyse de risques est-elle menée, et avec quelle méthode ? La réponse doit décrire les étapes, les critères et les personnes qui valident les décisions.

Quelle part de la documentation l’entreprise rédige-t-elle elle-même, et quelle part est produite par l’accompagnant ? Cette répartition détermine la capacité de l’équipe à faire vivre le système ensuite.

Qui réalise l’audit interne, et avec quelle indépendance vis-à-vis de la rédaction du système ? Cette question révèle si la vérification sera réellement un contrôle.

Quel accompagnement est prévu pendant l’audit de certification, et après la certification pour les audits de surveillance ? Un projet qui s’arrête à la remise des documents laisse l’entreprise seule au moment où la norme demande de la continuité.