ISO 27001 : ce qu'on accompagne, ce qu'on ne vend pas

Un dirigeant qui entend parler d'ISO 27001 pour la première fois fait presque toujours la même hypothèse : le prestataire qui l'accompagne lui remettra le certificat à la fin. On comprend l'idée, le nom de la norme circule bien plus que son fonctionnement. Mais aucun cabinet sérieux ne peut tenir cette promesse, et la confusion coûte cher.

ISO 27001 est la norme internationale de référence pour organiser la sécurité de l'information dans une entreprise. Elle ne vous demande pas d'acheter un logiciel. Elle vous demande de mettre en place un système de management de la sécurité de l'information (le « SMSI ») : des règles, des responsabilités et des habitudes qui protègent vos informations, et que vous pouvez prouver.

Qui délivre le certificat, et pourquoi ce n'est pas nous

Le certificat n'est délivré que par un organisme certificateur indépendant, lui-même accrédité par le Cofrac, le comité français d'accréditation, qui vérifie que les certificateurs sont fiables. Ce n'est pas un détail administratif. C'est ce qui donne sa valeur au certificat.

Imaginez un garagiste qui réparerait votre voiture, puis délivrerait lui-même le contrôle technique. Le tampon ne prouverait plus rien : il dirait seulement que le garagiste est content de son travail. Un cabinet qui construit votre SMSI et le certifie serait dans la même situation. Nous choisissons de rester du côté de ceux qui préparent, jamais de ceux qui jugent.

Ce que couvre un accompagnement

L'accompagnement porte sur la construction du SMSI, pas sur le jugement final. Il comprend :

• la cartographie des risques, avec une méthode reconnue comme EBIOS Risk Manager (la méthode française d'analyse de risques), pour identifier ce qui doit vraiment être protégé plutôt que de tout traiter au même niveau ;
• la politique de sécurité et sa documentation, écrites de façon à pouvoir être vérifiées : de bonnes pratiques que personne n'a écrites ne passent jamais un audit, même quand elles sont solides ;
• la sensibilisation des équipes, souvent négligée alors qu'elle pèse lourd aux yeux d'un auditeur ;
• le plan de traitement des risques et la revue de direction, pour que la démarche reste vivante au lieu de finir dans un classeur.

Une fois le système construit et documenté, un organisme extérieur prend le relais. C'est lui qui vérifie, puis accorde ou refuse le certificat.

Avez-vous vraiment besoin du certificat ?

Cette question devrait être posée avant de se lancer, et elle est trop souvent sautée. Deux situations se présentent.

Dans la première, le certificat est exigé : par un appel d'offres, par un client important ou par votre secteur d'activité. La démarche complète s'impose alors, accompagnement puis audit externe.

Dans la seconde, personne ne réclame le certificat. Ce dont vous avez besoin, c'est de la discipline que la norme impose : une liste des risques à jour, une politique de sécurité écrite, des sauvegardes réellement testées. De nombreuses PME (petites et moyennes entreprises) se trouvent dans ce cas sans le savoir. Appliquer la démarche sans viser le certificat coûte bien moins cher et couvre l'essentiel.

L'erreur inverse existe aussi. Certaines entreprises visent le certificat par réflexe et immobilisent un budget dans un audit externe dont elles n'avaient pas besoin, alors qu'elles auraient obtenu le même niveau de sécurité pour une fraction du prix.

Poser la question dès le premier échange

Le malentendu le plus coûteux est de découvrir, une fois le système construit, que l'on attendait un certificat que le prestataire n'a jamais eu vocation à délivrer. Un accompagnement bien cadré dit dès le départ ce qu'il couvre et ce qu'il ne couvre pas. Cette clarté rend la démarche utile, qu'elle se termine ou non par un audit externe.