SMSI & Certification ISO 27001

Structurez votre Système de Management de la Sécurité de l’Information et préparez durablement votre organisation à la certification ISO/IEC 27001.

Déployez une approche basée sur les risques, des politiques de sécurité solides et des contrôles pertinents pour atteindre la maturité et prouver votre conformité.

Qu’est-ce que la certification ISO 27001 ?

L’ISO/IEC 27001 est la norme internationale de référence pour la mise en place d’un Système de Management de la Sécurité de l’Information. Elle permet à votre organisation d’identifier et de traiter ses risques, de maîtriser et sécuriser ses données, de se mettre en conformité avec les exigences réglementaires et de renforcer la confiance de vos clients, partenaires et parties prenantes.

93mesures

L’Annexe A de l’ISO/IEC 27001:2022 recense 93 mesures de sécurité.

4thèmes

Organisationnel • Humain • Physique • Technologique

3ans

Durée de validité typique de la certification, avec un suivi annuel.

Notre méthodologie

Notre chemin vers la certification ISO 27001

Diagnostic initial
et cadrage

Analyse de l’existant, définition du périmètre et identification des écarts par rapport aux exigences ISO/IEC 27001.

Conception du SMSI

Analyse des risques, définition des politiques et procédures SSI, gouvernance et Déclaration d’Applicabilité (SoA).

Mise en œuvre du SMSI

Déploiement des mesures de sécurité, formalisation des processus et accompagnement des équipes dans leur mise en application.

Accompagnement
à la certification

Audit interne, revue de direction, audit à blanc et accompagnement jusqu’à l’audit de certification par un organisme accrédité.

Notre méthodologie

Les phases de votre projet

01
Analyse des écarts
Évaluation de votre niveau de conformité par rapport à la norme ISO 27001.
02
Analyse et traitement des risques
Identification, évaluation et priorisation des risques liés à la sécurité de l’information.
03
Politiques et procédures SSI
Définition et documentation des règles, processus et contrôles nécessaires à la maîtrise de la sécurité.
04
Déclaration d’Applicabilité (SoA)
Sélection et justification des contrôles applicables en fonction des risques et du contexte de l’organisation.
05
Mise en œuvre des mesures applicables
Déploiement opérationnel des contrôles et sensibilisation des parties prenantes.
06
Audit interne
Vérification de la conformité du SMSI et identification des axes d’amélioration.
07
Revue de direction
Analyse des résultats, prise de décisions et validation de l’efficacité du SMSI.
08
Préparation à l’audit de certification
Préparation documentaire, revue finale et accompagnement jusqu’à l’audit de l’organisme certificateur.

FAQ

Questions fréquentes

Combien de temps faut-il pour obtenir une certification ISO 27001 ?

La durée dépend du périmètre, de la maturité initiale du SMSI, des écarts identifiés et de la disponibilité des équipes. Un diagnostic initial permet d’établir une feuille de route réaliste et de prioriser les actions nécessaires avant l’audit de certification. ISO/IEC 27001 s’applique à tout type d’organisation et repose sur une démarche structurée de gestion des risques.

Faut-il mettre en œuvre les 93 mesures de l’Annexe A ?

Non. Les 93 mesures de l’Annexe A servent de référence pour vérifier qu’aucun contrôle nécessaire n’a été oublié. L’organisation détermine les mesures réellement applicables en fonction de ses risques et justifie ses choix dans la Déclaration d’Applicabilité (SoA).

Quels sont les avantages de la certification ISO 27001 ?

Elle permet de structurer durablement la gouvernance de la sécurité de l’information, de mieux maîtriser les risques, de renforcer la confiance des clients et partenaires et de démontrer l’existence d’un système de management conforme à un standard international reconnu.

Quelle différence entre ISO 27001 et certification HDS ?

ISO/IEC 27001 est une norme internationale de management de la sécurité de l’information applicable à tous les secteurs. HDS est un dispositif spécifique à l’hébergement de données de santé en France ; son référentiel s’appuie notamment sur ISO 27001 et ajoute des exigences propres aux données de santé.

Dois-je refaire l’audit chaque année ?

La certification ne nécessite pas de refaire l’audit initial complet tous les ans. Elle s’inscrit généralement dans un cycle de certification avec des audits de surveillance périodiques, puis un audit de renouvellement en fin de cycle. Le SMSI doit toutefois être piloté et amélioré en continu entre les audits.

ISO 27001 peut-elle m’aider à être en conformité avec d’autres référentiels ?

Oui. ISO/IEC 27001 constitue un socle solide de gouvernance, de gestion des risques et de contrôles de sécurité. Elle peut faciliter l’alignement avec d’autres exigences réglementaires ou sectorielles, mais ne remplace pas les obligations spécifiques de chaque référentiel.