ISO 27001 : les étapes pour obtenir la certification, du diagnostic à l’audit

La certification ISO 27001 est devenue un argument de confiance majeur, exigé par de plus en plus de clients et de donneurs d’ordre. Mais le parcours intimide. Voici, étape par étape, comment une organisation passe du premier diagnostic à l’audit de certification.

De plus en plus d’appels d’offres, de partenaires et de clients demandent une preuve que leurs données sont entre de bonnes mains. La certification ISO 27001, norme internationale de référence pour la sécurité de l’information, apporte cette preuve reconnue partout dans le monde. Pour une entreprise béninoise qui vise des marchés exigeants ou des clients internationaux, elle fait souvent la différence.

Obtenir cette certification n’a rien d’insurmontable, mais cela suit un chemin précis. Cet article détaille les grandes étapes du projet, du diagnostic initial jusqu’à l’audit de certification, pour savoir à quoi s’attendre et comment s’y préparer.

ISO 27001 : qu’est-ce que c’est ?

ISO/IEC 27001 est la norme internationale qui définit les exigences d’un système de management de la sécurité de l’information, le SMSI. Plutôt qu’une simple liste de mesures techniques, elle décrit une démarche d’ensemble : identifier ses risques, décider comment les traiter, documenter, puis améliorer en continu. Sa version en vigueur est l’édition 2022, dont l’annexe A compte 93 mesures de sécurité réparties en quatre thèmes (organisationnel, humain, physique, technologique).

Le point clé à comprendre : on ne certifie pas un produit ou un logiciel, mais la façon dont l’organisation gère sa sécurité. La certification est délivrée par un organisme accrédité indépendant, à l’issue d’un audit.

La certification atteste de la maturité du système de management de la sécurité.

Pourquoi obtenir la certification ISO 27001 ?

Au-delà du logo sur un site web, la certification apporte des bénéfices concrets.

• Un avantage commercial : elle rassure clients et partenaires, et ouvre des appels d’offres qui l’exigent.
• Une réduction réelle des risques : la démarche force à identifier et traiter les failles avant qu’elles ne soient exploitées.
• Une conformité facilitée : le SMSI recoupe de nombreuses obligations, dont la protection des données personnelles.
• Une organisation plus solide : rôles, procédures et réflexes de sécurité sont clarifiés et partagés.

Le parcours de certification en bref

Le projet se déroule en plusieurs phases, du diagnostic à l’audit. En voici la vue d’ensemble, avant le détail de chaque étape.

• Diagnostic : mesurer l’écart avec la norme (rapport d’écart ou gap analysis).
• Cadrage : définir le périmètre du SMSI et obtenir l’engagement de la direction.
• Risques : identifier et traiter les risques (analyse des risques, plan de traitement).
• Mise en œuvre : déployer les mesures et produire les documents (déclaration d’applicabilité, procédures).
• Vérification : contrôler avant l’audit (audit interne, revue de direction).
• Certification : audit par un organisme accrédité, puis certificat valable trois ans.

Étape 1 : le diagnostic initial (gap analysis)

Tout commence par un état des lieux. Le diagnostic, ou analyse d’écart, compare les pratiques existantes aux exigences de la norme pour mesurer le chemin à parcourir. Il met en lumière ce qui est déjà en place, ce qui manque, et l’effort à prévoir.

C’est une étape de lucidité : elle évite de se lancer à l’aveugle et permet de chiffrer le projet, en temps comme en budget. Beaucoup d’organisations la confient à un consultant externe pour un regard objectif.

Étape 2 : définir le périmètre et engager la direction

On ne certifie pas forcément toute l’entreprise d’un coup. Il faut délimiter le périmètre du SMSI : quels sites, quelles activités, quels systèmes sont concernés. Un périmètre clair et réaliste est la clé d’un projet maîtrisé.

À ce stade, l’engagement de la direction est indispensable. Sans soutien visible du sommet, et sans moyens alloués, un projet ISO 27001 s’enlise. La direction valide le périmètre, nomme un responsable et pose la politique de sécurité de l’information.

Étape 3 : l’analyse des risques

C’est le cœur de la norme. Il s’agit d’identifier les risques pesant sur l’information (vol, fuite, indisponibilité, altération), puis de les évaluer selon leur probabilité et leur impact. Cette analyse structurée remplace l’intuition par une hiérarchisation objective.

Pour chaque risque, l’organisation choisit un traitement : le réduire par une mesure, l’accepter, le transférer (par exemple via une assurance) ou l’éviter. Ces décisions forment le plan de traitement des risques.

Étape 4 : la déclaration d’applicabilité et le plan de traitement

À partir de l’analyse des risques, on passe en revue les 93 mesures de l’annexe A pour décider lesquelles s’appliquent, et justifier les éventuelles exclusions. Ce document central s’appelle la déclaration d’applicabilité (SoA, pour Statement of Applicability).

La SoA et le plan de traitement des risques sont deux pièces maîtresses que l’auditeur examinera de près : ils montrent que les mesures retenues découlent bien d’une analyse, et non d’un catalogue appliqué sans réflexion.

Étape 5 : déployer les mesures et rédiger la documentation

Vient alors la mise en œuvre concrète : déployer les mesures de sécurité décidées (techniques, organisationnelles, humaines) et produire la documentation exigée, politiques, procédures, registres. La norme demande des preuves écrites, mais vise l’efficacité, pas la paperasse.

C’est souvent la phase la plus longue. Elle gagne à être menée par étapes, en priorisant les mesures à plus fort impact identifiées lors de l’analyse des risques.

Politiques et procédures forment la documentation exigée par la norme.

Étape 6 : former et sensibiliser les équipes

Un SMSI ne vit que si les collaborateurs se l’approprient. La sensibilisation à la sécurité et la formation aux nouvelles procédures sont une exigence de la norme, mais surtout une condition de réussite. Des équipes qui comprennent le pourquoi appliquent mieux les règles.

Étape 7 : l’audit interne et la revue de direction

Avant de convoquer l’organisme certificateur, l’organisation doit se vérifier elle-même. L’audit interne contrôle que le SMSI fonctionne comme prévu et repère les écarts à corriger. La revue de direction, elle, réunit les responsables pour faire le bilan et décider des améliorations.

Ces deux exercices sont obligatoires : ils démontrent la logique d’amélioration continue au cœur de la norme, et préparent sereinement l’audit de certification.

L’audit interne et la revue de direction vérifient le système avant l’audit final.

Étape 8 : l’audit de certification

L’audit final est mené par un organisme de certification accrédité et se déroule en deux temps.

• Audit étape 1 : revue documentaire. L’auditeur vérifie que le SMSI est en place et que les documents clés (périmètre, SoA, analyse des risques) existent et sont cohérents.
• Audit étape 2 : audit sur site. L’auditeur contrôle la mise en œuvre réelle, interroge les équipes et collecte des preuves de fonctionnement.

À l’issue, l’auditeur peut relever des non-conformités à corriger. Une fois levées, le certificat ISO 27001 est délivré. Il est valable trois ans, sous réserve d’audits de surveillance annuels, et se renouvelle au terme par un nouvel audit complet.

Après la certification : maintenir le système dans le temps

La certification n’est pas une fin, mais le début d’un cycle. Le SMSI doit vivre : les risques sont réévalués, les incidents traités, les mesures ajustées. Les audits de surveillance annuels et le renouvellement triennal rythment cette amélioration continue. Une certification obtenue puis délaissée se perd au premier audit de surveillance.

Checklist du projet de certification ISO 27001

Les jalons essentiels pour mener un projet de certification de bout en bout.

• Diagnostic initial (analyse d’écart) réalisé.
• Périmètre du SMSI défini et validé par la direction.
• Engagement de la direction et moyens alloués.
• Analyse des risques menée et plan de traitement établi.
• Déclaration d’applicabilité (SoA) rédigée et justifiée.
• Mesures de sécurité déployées et documentées.
• Équipes formées et sensibilisées.
• Audit interne réalisé et écarts corrigés.
• Revue de direction tenue.
• Audit de certification (étapes 1 et 2) passé avec succès.
• Audits de surveillance planifiés pour les années suivantes.

Un projet exigeant, mais à la portée des organisations préparées

Obtenir la certification ISO 27001 demande de la méthode et de la constance, mais chaque étape a sa logique : diagnostiquer, cadrer, analyser les risques, déployer, vérifier, puis se faire auditer. Bien conduit, le projet renforce durablement la sécurité de l’organisation, bien au-delà du certificat lui-même. L’essentiel est de s’y préparer sérieusement, au besoin avec un accompagnement, pour aborder l’audit avec un système qui tient dans le temps.

Foire aux questions

Combien de temps faut-il pour obtenir la certification ISO 27001 ?

Cela dépend de la taille de l’organisation et de sa maturité de départ, mais il faut généralement compter de six mois à un an entre le diagnostic et l’audit de certification.

La certification ISO 27001 est-elle obligatoire ?

Non, elle est volontaire. Mais elle est de plus en plus souvent exigée par des clients, des partenaires ou des appels d’offres, ce qui la rend quasi incontournable sur certains marchés.

Quelle différence entre ISO 27001 et ISO 27002 ?

ISO 27001 fixe les exigences certifiables du système de management. ISO 27002 est un guide de bonnes pratiques qui détaille comment mettre en œuvre les mesures de sécurité. On se certifie sur la 27001, en s’appuyant sur la 27002.

Combien de temps le certificat est-il valable ?

Le certificat est valable trois ans, à condition de réussir les audits de surveillance annuels. Au terme des trois ans, un audit de renouvellement complet est nécessaire.

Sources

1. ISO/IEC 27001:2022, Sécurité de l’information, management de la sécurité de l’information, https://www.iso.org/standard/27001

2. ISO/IEC 27002:2022, Mesures de sécurité de l’information, https://www.iso.org/standard/75652.html

3. ANSSI, Recommandations sur la gouvernance et la sécurité des systèmes d’information, https://cyber.gouv.fr

Les étapes décrites sont indicatives ; le déroulé précis dépend de l’organisation et de l’organisme de certification choisi.