ISO 27001 : ce qu'on accompagne, ce qu'on ne vend pas

Une confusion fréquente, et pourquoi elle coûte cher

Un dirigeant qui entend parler d'ISO 27001 pour la première fois fait presque toujours la même hypothèse : le prestataire qui l'accompagne va, au bout du projet, lui délivrer la certification. C'est une confusion compréhensible — le nom de la norme circule plus que le détail de son fonctionnement — mais elle mène régulièrement à des attentes qu'aucun cabinet de conseil sérieux ne peut satisfaire honnêtement.

La certification ISO 27001 n'est délivrée que par un organisme certificateur accrédité (en France, accrédité par le Cofrac), totalement indépendant du prestataire qui a aidé à construire le système de management de la sécurité de l'information. Ce n'est pas un détail administratif : c'est le principe même qui donne sa valeur à la certification. Si le cabinet qui a construit votre système pouvait aussi le certifier, la certification ne prouverait plus rien — elle confirmerait seulement que le prestataire est content de son propre travail.

Ce que couvre un accompagnement, concrètement

L'accompagnement porte sur la construction du système de management de la sécurité de l'information (SMSI) — pas sur le jugement final. Concrètement, cela couvre :

• la cartographie des risques, avec une méthode reconnue comme EBIOS RM, pour identifier ce qui doit réellement être protégé plutôt que de traiter tous les actifs de la même façon ;
• la politique de sécurité et la documentation associée, formalisées de façon à être auditables — un ensemble de bonnes pratiques non écrites ne suffit jamais à un audit, même quand les pratiques elles-mêmes sont solides ;
• la sensibilisation des équipes, souvent le point le plus négligé alors qu'il pèse lourd dans l'évaluation d'un auditeur ;
• le plan de traitement des risques et la revue de direction, pour que la démarche reste pilotée dans la durée plutôt que figée dans un classeur à la fin du projet.

Le rôle du prestataire s'arrête à la préparation. Une fois le système construit et documenté, c'est un organisme extérieur, indépendant, qui vérifie et délivre — ou refuse — la certification.

Ce qui reste volontairement hors périmètre

Ne pas réaliser soi-même l'audit de certification n'est pas une limite subie, c'est une position assumée. Un cabinet qui proposerait d'accompagner la mise en conformité et de délivrer la certification se placerait en conflit d'intérêt structurel, même avec la meilleure volonté du monde. La séparation entre celui qui construit et celui qui évalue est ce qui rend la certification crédible aux yeux d'un client, d'un partenaire ou d'un marché public qui l'exige.

Faut-il vraiment la certification, ou juste le cadre ?

C'est la question qui mérite d'être posée avant de lancer une démarche, et qui est trop souvent sautée. Deux situations très différentes :

• La certification est une exigence contractuelle — un appel d'offres, un client stratégique, un secteur régulé l'imposent explicitement. Dans ce cas, la trajectoire complète (accompagnement puis audit externe) est incontournable.
• Le besoin réel est la discipline que le cadre impose, sans que personne n'exige le certificat lui-même. Beaucoup de PME sont dans ce cas sans le savoir : ce qui leur manque n'est pas un tampon, c'est une cartographie des risques à jour, une politique de sécurité écrite et des sauvegardes testées. Appliquer la structure ISO 27001 sans viser la certification coûte nettement moins cher, et couvre l'essentiel du besoin réel.

Confondre les deux fait courir un risque inverse à celui qu'on imagine : des organisations qui visent la certification par réflexe, sans en avoir besoin contractuellement, immobilisent un budget sur un audit externe alors qu'elles auraient pu obtenir le même niveau de sécurité réelle pour une fraction du coût.

Ce que ça change pour une PME qui hésite

Poser cette distinction dès le premier échange évite le malentendu le plus coûteux : découvrir, une fois le système construit, que l'organisation attendait un certificat que le prestataire n'a jamais eu vocation à délivrer. Un accompagnement bien cadré dit, dès le départ, ce qu'il couvre et ce qu'il ne couvre pas — et c'est précisément cette clarté qui rend la démarche utile, qu'elle se termine ou non par un audit externe.