On me demande encore souvent si ISO 27001 est un logiciel qu’on installe ou une police d’assurance qu’on signe. Ce n’est ni l’un ni l’autre.

ISO/IEC 27001 est une norme internationale qui encadre la façon dont une entreprise gère les risques liés à la sécurité de son information. Ce n’est pas une case à cocher. C’est un système de gestion qui doit rester vivant, minimalement revu chaque année.

Pour rappel, la norme est parue en 2005, dérivée de la BS 7799 britannique. Elle a été révisée en profondeur en 2013 pour s’aligner sur les autres familles ISO. Une nouvelle édition est parue en 2022, qui simplifie beaucoup la structure des contrôles. C’est la version actuelle, celle que les auditeurs utilisent aujourd’hui.

C’est quoi un SGSI, en clair?

SGSI veut dire système de gestion de la sécurité de l’information. En anglais, on parle d’ISMS. En France, on dit parfois SMSI. Les trois désignent la même chose : un cadre à travers lequel votre entreprise identifie ses risques, choisit des contrôles pour les traiter, puis vérifie et ajuste dans le temps.

La norme suit un cycle en quatre temps : planifier (identifier les risques et choisir les contrôles), faire (mettre les contrôles en place), vérifier (auditer et mesurer les résultats) et réagir (corriger ce qui ne fonctionne pas). Ce cycle ne se termine jamais. Une entreprise qui pense avoir « fini » sa certification n’a rien compris à la logique de la norme.

Puisque la conformité appartient à l’entreprise et non au consultant qui l’accompagne, ce cycle doit être porté par vos équipes, pas seulement par un cartable de politiques signées une fois et rangées dans un tiroir.

L’annexe A : le vrai visage de la norme

ISO 27001 n’impose pas de contrôles techniques précis. Elle propose plutôt une banque de contrôles, dans l’annexe A, que vous choisissez selon vos risques réels. Depuis la révision 2022, cette annexe compte 93 contrôles répartis en 4 thèmes : organisationnels, humains, physiques et technologiques.

Vous n’êtes pas obligé d’appliquer les 93. Vous devez par contre justifier, par écrit, pourquoi vous en excluez un si c’est le cas. C’est exactement ce qu’un auditeur externe va vérifier : pas seulement que vous avez une politique, mais que le choix des contrôles est justifié par une vraie analyse de risque.

ISO 27001 contre ISO 27002, la question qui revient tout le temps

ISO 27001 décrit les exigences pour mettre en place un SGSI. C’est la norme certifiable : c’est elle qui vous donne un certificat. ISO 27002 est un guide qui détaille comment implémenter chaque contrôle de l’annexe A, avec des exemples concrets. On ne se fait pas certifier ISO 27002. On l’utilise comme mode d’emploi pour bien appliquer ISO 27001.

Pourquoi j’insiste autant là-dessus

J’ai vécu cette norme des quatre côtés possibles. Je l’ai implémentée dans ma propre entreprise en 2007, quand elle est devenue une des premières firmes de service-conseil certifiées ISO 27001 au Canada. J’ai ensuite accompagné d’autres organisations à l’obtenir. J’ai fait des dizaines d’audits internes. Et depuis quelques années, je suis aussi sous-traitant pour des organismes de certification, celui qui décide si le certificat est accordé ou non.

Ça change la façon dont j’explique la norme. Je ne la lis pas seulement comme un consultant qui vend un mandat. Je la lis aussi comme l’auditeur qui va la vérifier chez vous dans deux ans.

La tension qu’on ne règle jamais complètement

La flexibilité d’ISO 27001 est à la fois sa plus grande qualité et son plus grand piège pour une PME sans CISO à l’interne. Puisque la norme ne dicte rien de précis, plusieurs entreprises remplissent ce vide avec des gabarits génériques achetés en ligne, jamais adaptés à leur réalité.

J’ai déjà vu une politique de sécurité imprimée, glissée dans un cartable, jamais rouverte depuis la signature. Elle répondait à la case « conforme » sur papier. Elle n’aurait pas passé mon audit.

Combien ça coûte, réellement

Les coûts se divisent en plusieurs morceaux. L’achat de la norme elle-même sur iso.org, autour de 300$. L’effort d’un consultant externe, habituellement entre 80 et 200 heures pour la rédaction des documents et la coordination. Le temps interne de votre organisation, souvent 1,5 fois le temps du consultant. L’audit interne annuel, entre 2 et 8 jours d’effort. Et l’audit externe annuel, entre 3 et 15 jours selon la taille et la complexité de l’entreprise.

En pratique, pour une PME québécoise sans CISO à l’interne, la partie la plus lourde n’est jamais la technologie. C’est de savoir par où commencer, puis de garder la documentation vivante après la première certification. C’est exactement le trou que je comble avec les PME que j’accompagne, du diagnostic initial jusqu’à l’audit de certification.

Bref, ISO 27001 ne vous dit pas quoi faire dans le détail. Elle vous force à documenter, en bonne et due forme, ce que vous faites déjà à moitié. Je suis curieux de savoir combien de PME au Québec pensent être conformes sans jamais avoir passé un audit formel.