Pourquoi vos clients vous demandent ISO 27001
ISO 27001 n'est pas un badge pour votre site. C'est un sésame commercial. Il répond en une pièce jointe à la question que tout acheteur se pose : « Mes données sont-elles en sécurité chez vous ? »
Trois situations reviennent sans cesse :
- L'appel d'offres. Le cahier des charges exige un certificat ISO 27001. Sans lui, votre dossier est écarté avant d'être lu.
- Le contrat grand compte. Les achats vous envoient un questionnaire sécurité interminable. Avec un certificat, une bonne partie des réponses est déjà couverte.
- La due diligence fournisseur. Un client ou un investisseur audite votre sécurité avant de s'engager. Le certificat prouve qu'un tiers indépendant l'a déjà fait.
Le bénéfice caché : vos équipes arrêtent de remplir des questionnaires au cas par cas. Elles se remettent à vendre et à livrer.
Un appel d'offres en vue ?
Vérifiez ce qu'il vous faut en 30 minutesISO 27001 en clair : ce que la norme exige vraiment
ISO/IEC 27001 est une norme internationale. Elle décrit comment piloter la sécurité de l'information dans une entreprise. Elle n'impose aucun outil. Elle vous demande de prouver que vous maîtrisez vos risques.
Son cœur, c'est le SMSI ISO 27001. SMSI signifie Système de Management de la Sécurité de l'Information : l'ensemble des règles, rôles et routines qui encadrent votre sécurité. En pratique, vous devez :
- Définir un périmètre, c'est-à-dire les activités, équipes et systèmes couverts par la certification.
- Analyser vos risques et décider comment traiter chacun d'eux.
- Écrire les politiques utiles, puis les appliquer.
- Mesurer, auditer en interne et corriger.
- Faire revoir l'ensemble par la direction, à intervalles réguliers.
L'Annexe A est le catalogue des mesures de sécurité de la norme. Sa version 2022 en compte 93, rangées en quatre familles. Quelques exemples pour chacune :
- Organisationnelles : politiques, gestion des fournisseurs, réponse aux incidents, continuité d'activité, etc.
- Humaines : sensibilisation, arrivées et départs, engagements de confidentialité, etc.
- Physiques : accès aux locaux, protection du matériel, etc.
- Technologiques : gestion des accès, chiffrement, sauvegardes, journalisation, développement sécurisé, etc.
Vous n'appliquez pas tout à l'aveugle. Vous justifiez chaque choix dans la déclaration d'applicabilité : le document qui liste chaque mesure, dit si elle s'applique et pourquoi.
Ce que ISO 27001 n'est pas :
- Pas un test d'intrusion. L'auditeur évalue votre organisation, pas seulement votre code.
- Pas une pile de classeurs. L'auditeur veut voir des règles appliquées, pas des documents qui dorment.
- Pas un projet réservé aux grands groupes. La norme s'adapte à votre taille et à vos risques.
- Pas une obligation légale générale en France. C'est d'abord une exigence de vos clients.
Combien de temps prend une certification ISO 27001 ?
- La mise en conformité, c'est le travail. Cadrer, analyser les risques, rédiger, déployer les mesures, collecter les preuves. C'est ici que le délai se gagne ou se perd.
- L'audit ISO 27001, c'est la validation. Un organisme de certification indépendant le mène en deux temps. L'audit stage 1 vérifie votre documentation et votre préparation. L'audit stage 2 vérifie que les mesures fonctionnent réellement. ouwba vous prépare aux deux. L'organisme, lui, décide de la certification.
La durée de l'audit dépend de votre effectif et de votre périmètre. L'organisme la calcule selon une méthode encadrée par la norme ISO/IEC 27006.
Pourquoi tant de projets dérapent :
- Un périmètre trop large dès le départ.
- Des preuves collectées à la main, dans des tableurs, au dernier moment.
- Personne n'a de temps dédié. Le projet passe toujours après le produit.
- Des politiques copiées d'un modèle, que l'équipe n'applique pas. L'auditeur le voit.
- Un audit interne et une revue de direction oubliés. La norme les exige avant la certification.
ISO 27001, SOC 2, HDS, NIS 2 : laquelle vous faut-il ?
Tout dépend de vos clients et de vos données.
- Vous vendez en Europe, à des grands comptes ou au secteur public : ISO 27001 est la référence attendue.
- Vos clients sont américains : ils demandent souvent un rapport SOC 2 (System and Organization Controls 2). C'est une attestation émise par un cabinet d'audit, pas une certification. Découvrez notre accompagnement SOC 2.
- Vous hébergez des données de santé pour le compte de tiers : la certification HDS (hébergeur de données de santé) est obligatoire en France. Son référentiel s'appuie sur ISO 27001. Voir notre accompagnement à la certification HDS.
- Vous opérez dans un secteur régulé : la directive européenne NIS 2 (sécurité des réseaux et des systèmes d'information) peut vous concerner. Un SMSI ISO 27001 en est une base solide. Voir notre accompagnement à la mise en conformité NIS 2.
Les exigences se recoupent : le travail fait pour ISO 27001 se réutilise.
Vous hésitez entre ISO 27001 et SOC 2 ?
Posez la question à un expertVos questions sur la certification ISO 27001
Qu'est-ce que la certification ISO 27001 ?
C'est la reconnaissance, par un organisme indépendant, que votre entreprise pilote correctement la sécurité de ses informations. Elle repose sur la norme internationale ISO/IEC 27001. L'organisme vérifie que vous avez mis en place un SMSI, c'est-à-dire un Système de Management de la Sécurité de l'Information, et qu'il fonctionne réellement. Le certificat rassure vos clients, vos partenaires et vos investisseurs sur la protection de leurs données.
La certification ISO 27001 est-elle obligatoire ?
Non, aucune loi française ne l'impose de façon générale. En pratique, elle devient obligatoire dès qu'un client l'exige : appel d'offres, contrat grand compte, référencement fournisseur. Certaines réglementations s'en rapprochent. Le référentiel HDS, pour les données de santé, s'appuie sur ISO 27001. La directive NIS 2 impose des mesures qu'un SMSI ISO 27001 aide à couvrir.
Combien de temps faut-il pour être certifié ISO 27001 ?
Cela dépend surtout de la mise en conformité, pas de l'audit. Avec ouwba, comptez quelques semaines, selon le périmètre et la disponibilité des équipes. L'audit se déroule ensuite en deux temps : stage 1 pour la documentation, stage 2 pour l'efficacité des mesures. Les projets dérapent surtout quand le périmètre est trop large ou que personne n'a de temps dédié.
Quelle est la différence entre ISO 27001 et SOC 2 ?
ISO 27001 est une norme internationale. Elle aboutit à un certificat délivré par un organisme accrédité, reconnu surtout en Europe. SOC 2 (System and Organization Controls 2) est un cadre américain. Il aboutit à un rapport d'attestation rédigé par un cabinet d'audit. Si vos clients sont européens, visez ISO 27001. S'ils sont américains, ils demanderont souvent SOC 2. Les deux partagent beaucoup d'exigences.
Faut-il un RSSI en interne pour être certifié ?
Non. La norme exige des rôles et des responsabilités clairs, pas un poste de RSSI (responsable de la sécurité des systèmes d'information) à temps plein. Dans une startup, le CTO ou le COO porte souvent ce rôle. Les experts ouwba apportent l'expertise sécurité qui manque en interne. Vous gardez les décisions, ils préparent le travail et vérifient chaque élément avant l'audit.
La certification ISO 27001 expire-t-elle ?
Oui. Le certificat est valable trois ans. Pendant ce cycle, l'organisme mène un audit de surveillance chaque année pour vérifier que votre SMSI continue de fonctionner. Au bout de trois ans, un audit de renouvellement relance un nouveau cycle. La conformité n'est donc pas un projet ponctuel. Les preuves collectées automatiquement facilitent beaucoup les audits des années suivantes.
Que se passe-t-il pendant l'audit de certification ?
L'audit se déroule en deux temps. Lors de l'audit stage 1, l'auditeur examine votre documentation et vérifie que vous êtes prêt. Lors de l'audit stage 2, il interroge vos équipes, consulte vos preuves et vérifie que les mesures fonctionnent réellement. Il relève d'éventuels écarts, que vous corrigez dans un délai défini. L'organisme décide ensuite de délivrer le certificat.
Une startup de 10 personnes peut-elle être certifiée ISO 27001 ?
Oui. La norme s'adapte à la taille et aux risques de l'entreprise. Une petite structure a moins de systèmes, moins de fournisseurs et moins de personnes à former. Le périmètre est donc plus simple à couvrir. La vraie difficulté, c'est le temps : à dix, personne n'est dédié à la conformité. C'est précisément la charge qu'ouwba prend en main avec ses experts.
Par où commencer ?
Commencez par cadrer votre besoin. Quel client exige la certification ? Pour quelle échéance ? Quelles activités doivent entrer dans le périmètre ? Le diagnostic ouwba répond à ces questions en 30 minutes avec un expert. Vous repartez avec un périmètre proposé, vos priorités et une première estimation du calendrier. Si votre échéance est serrée, vous saurez aussi si elle est tenable.