Guide · ISO 27001 · Hauts-de-Seine
Le questionnaire d’un grand compte arrive sur le bureau du dirigeant : il demande des preuves de sécurité, et l’entreprise n’a rien d’écrit à montrer. Ce scénario peut toucher des sociétés très différentes, du cabinet de services à l’éditeur. Cette page décrit comment un accompagnement ISO 27001 transforme les pratiques en preuves, du périmètre jusqu’à l’audit de certification.
Sommaire
- Contexte local : les locaux professionnels dans les Hauts-de-Seine
- Quand faut-il s’en occuper ?
- Ce que recouvre l’accompagnement ISO 27001
- Combien coûte l’accompagnement ISO 27001 ?
- Les prestations, étape par étape
- Les questions à poser avant de signer
- Comment se déroule un projet dans les Hauts-de-Seine
- Questions fréquentes
Contexte local · Hauts-de-Seine
Contexte local : les locaux professionnels dans les Hauts-de-Seine
Le département compte deux pôles : La Défense, et Seine Ouest, qui couvre Boulogne-Billancourt et Issy-les-Moulineaux. Il jouxte Paris, la Seine-Saint-Denis et le Val-de-Marne. Plusieurs villes du département, comme Puteaux, Courbevoie ou Nanterre, peuvent accueillir le siège d’une société tandis que ses équipes travaillent dans une autre commune. Le périmètre doit alors le préciser.
Dans un bâtiment d’affaires, la personne qui signe la politique de sécurité et celle qui gère l’immeuble ne sont pas toujours les mêmes. Il faut savoir qui valide les règles d’accès et qui répond des équipements partagés, comme les salles techniques ou les baies de brassage. Ces responsabilités se consignent avant l’analyse de risques.
Si l’entreprise a son siège à La Défense et une équipe à Boulogne-Billancourt, les deux sites n’ont pas forcément les mêmes accès, prestataires ni réseaux. Une liste des sites, avec leurs responsables, évite de découvrir un oubli pendant l’audit interne, et elle sert de base aux entretiens prévus pour chaque lieu.
- Repères
- La Défense, Seine Ouest (Boulogne-Billancourt, Issy-les-Moulineaux)
- Zones voisines
- Paris, Seine-Saint-Denis, Val-de-Marne
Quand faut-il s’en occuper ?
- Des documents dispersés : une procédure dans un dossier partagé, une autre dans une boîte e-mail, et aucune version à jour.
- Une analyse ancienne : les risques ont été recensés une fois, puis les nouveaux outils et les nouveaux sites n’y figurent plus.
- Un audit officiel trop proche : la date est fixée, mais l’audit interne n’a pas encore été conduit.
- Une direction en retrait : la norme passe pour une formalité, et les décisions sur le traitement des risques ne sont jamais validées.
Ce que recouvre l’accompagnement ISO 27001
Un SMSI qui se prouve
Un système de management de la sécurité de l’information décrit la manière dont l’entreprise protège ses informations : qui décide, quels risques sont acceptés, quelles mesures sont appliquées et comment on le vérifie. La norme ISO 27001 fixe ce cadre, et elle attend des preuves plutôt que des intentions.
Ce que l’accompagnement ne promet pas
Il prépare le système et la documentation, mais il ne garantit pas la certification. Celle-ci relève d’un organisme indépendant de l’accompagnant. Le sérieux du projet se mesure à la qualité des preuves, pas au nombre de documents produits.
Combien coûte l’accompagnement ISO 27001 ?
Aucun montant ne peut être annoncé avant le cadrage, car le coût dépend d’abord de ce qui est demandé. Les éléments qui pèsent le plus sont :
- la taille du périmètre, en sites, en activités et en systèmes ;
- la solidité des pratiques déjà en place, écrites ou seulement connues ;
- la disponibilité des personnes qui valident les décisions côté entreprise ;
- la rédaction, confiée à l’accompagnant ou assurée par l’entreprise ;
- l’audit interne, réalisé en interne ou par un tiers.
Pour comparer deux propositions, ramenez-les au même périmètre et à la même répartition de la documentation.
Les prestations, étape par étape
Recenser avant d’écrire
Le recueil de l’existant passe en revue les règles déjà appliquées, les documents épars et les exigences des clients ou de l’assureur. Ce point de départ montre vite ce qui manque, et il permet de désigner les personnes qui valideront les décisions.
Analyser les risques et formaliser les choix
Les actifs sont recensés, les menaces évaluées, puis chaque risque reçoit un traitement validé par la direction. La déclaration d’applicabilité en découle : chaque mesure de l’annexe est retenue ou exclue, avec sa justification écrite.
Contrôler avant l’audit officiel
Un audit interne teste le fonctionnement réel du système. Les écarts remontent en revue de direction, qui arbitre les actions correctives. Pour finir, les preuves et les entretiens sont préparés, l’entreprise restant maîtresse de ses réponses.
Les questions à poser avant de signer
Avant de signer, posez ces questions :
- Quelle méthode d’analyse de risques sera utilisée, et qui la valide ?
- Qui rédige les documents, et que reste-t-il à faire à l’entreprise ?
- L’audit interne est-il conduit par un intervenant indépendant du projet ?
- Quelle aide est prévue pendant l’audit de certification, puis pendant les audits de surveillance ?
Comment se déroule un projet dans les Hauts-de-Seine
- Préciser les sites concernés : siège, bureaux, salles techniques et hébergements.
- Transmettre les documents existants : politiques, procédures et questionnaires reçus.
- Recevoir une proposition qui détaille le périmètre et la répartition du travail.
- Valider le cadrage avec la direction avant l’analyse de risques.
- Programmer l’audit interne avant toute demande de certification.
Pour approfondir, la page accompagnement ISO 27001 présente l’ensemble du projet, et la page accompagnement ISO 27001 à Puteaux traite une commune du pôle de La Défense. Les départements voisins ont leurs pages : Paris et Seine-Saint-Denis. Pour lancer votre demande, décrivez votre besoin dans le formulaire : un spécialiste de l’accompagnement ISO 27001 dans les Hauts-de-Seine vous recontacte, gratuitement et sans engagement.