Vous pouvez mettre en œuvre l'ISO 27001 sans consultant, et des entreprises de dix à deux cents personnes le font chaque année. Les honoraires d'audit sont les mêmes dans les deux cas : pour une entreprise de 20 personnes, environ sept jours d'auditeur à 1 200 € à 2 000 € chacun, fixés par l'organisme de certification d'après l'ISO/IEC 27006 et non d'après qui a rédigé vos politiques.

Ce qui change quand vous y allez seul, c'est votre temps interne, le jugement que vous devez absorber, et le risque que le premier audit trouve les choses qu'un débutant ne sait pas chercher. Cette page est la répartition honnête, puis la séquence, puis la liste de ce que les gens manquent.

Ce qu'un consultant vend réellement

Ce que vous achetez Ce que c'est
Le périmètre Se tromper dans un sens ou dans l'autre coûte cher.
Une appréciation des risques qui résiste à l'épreuve Pas le registre lui-même, mais une méthode qu'un auditeur accepte, appliquée de façon cohérente, avec des critères que vous pouvez défendre quand on vous demande pourquoi un 3 est un 3.
Savoir ce que l'auditeur va demander C'est de l'expérience, et elle est vraiment difficile à tirer de la lecture.
Quelqu'un avec qui débattre Un regard extérieur sur la question de savoir si une mesure est mise en œuvre ou seulement écrite.

Ce qu'un bon consultant vend vraiment

Pas les documents. Les modèles de politiques sont partout et un jeu de politiques généré vous amène à peu près au même endroit. Ce qu'un bon consultant vend, c'est du jugement à quatre endroits, et il vaut la peine de les nommer parce que ce sont les quatre endroits où vous devez le fournir vous-même.

Le périmètre. Se tromper dans un sens ou dans l'autre coûte cher. Trop large, et vous payez des jours d'auditeur sur des systèmes dont aucun client ne se soucie. Trop étroit, et l'équipe sécurité d'un client lit le certificat, voit que le produit qu'elle achète en est exclu, et le rejette. La déclaration de périmètre est un paragraphe ; c'est le paragraphe le plus lourd de conséquences de tout le système.

Une appréciation des risques qui résiste à l'épreuve. Pas le registre lui-même, mais une méthode qu'un auditeur accepte, appliquée de façon cohérente, avec des critères que vous pouvez défendre quand on vous demande pourquoi un 3 est un 3.

Savoir ce que l'auditeur va demander. C'est de l'expérience, et elle est vraiment difficile à tirer de la lecture. C'est la différence entre passer l'étape 2 et s'entendre dire de revenir dans trois mois, et trois mois sans certificat, ce sont des appels d'offres auxquels vous ne pouvez pas répondre et des contrats bloqués à la revue de sécurité. Cette attente est le vrai coût d'une tentative ratée, bien plus que les honoraires.

Quelqu'un avec qui débattre. Un regard extérieur sur la question de savoir si une mesure est mise en œuvre ou seulement écrite.

Si vous avez quelqu'un en interne qui a déjà traversé un audit, vous avez l'essentiel de tout cela. Sinon, les sections ci-dessous disent où le trouver, et où en acheter une journée.

La séquence, parce que c'est dans le désordre que le temps se perd

  1. Périmètre et contexte (articles 4.1 à 4.3). Quelles parties de l'entreprise, quels sites, quels systèmes, les données de quels clients. Les parties intéressées et ce qu'elles exigent. Écrivez-le et faites-le approuver.
  2. Politique et rôles (article 5). Une politique de sécurité de l'information, approuvée et datée, et des responsables nommés pour le SMSI, le registre des risques et l'audit interne.
  3. Appréciation et traitement des risques (6.1.2, 6.1.3). Votre méthode, vos critères, votre registre, et un plan de traitement qui nomme une mesure pour chaque risque que vous avez décidé de traiter.
  4. La déclaration d'applicabilité (6.1.3 d). Pour chacune des 93 mesures de l'annexe A : applicable ou non, pourquoi, et si elle est mise en œuvre. C'est le document que l'auditeur lit en premier et celui que l'équipe sécurité d'un client demande après le certificat.
  5. Mettre en œuvre et faire fonctionner (article 8). Les mesures qui fonctionnent réellement, en produisant des preuves datées.
  6. Mesurer, auditer, revoir (article 9). Les résultats de surveillance, un audit interne, une revue de direction, le tout enregistré.
  7. Audit de certification. L'étape 1 examine les documents et la préparation ; l'étape 2 vérifie que le système fonctionne. Puis un audit de surveillance chaque année et un renouvellement tous les trois ans.

Les étapes prises dans le désordre se refont. La version la plus courante consiste à écrire les politiques avant que le périmètre soit arrêté, puis à découvrir que la moitié d'entre elles décrivent des systèmes désormais exclus.

Les deux endroits où acheter quand même une journée

Se passer de consultant n'oblige pas à se passer d'aide. Deux choses précises valent la peine d'être achetées à la journée, et coûtent cher quand on les rate.

L'audit interne (article 9.2). Il doit avoir lieu avant la certification et l'auditeur ne doit pas auditer son propre travail. Dans une entreprise de dix personnes où celui qui a construit le SMSI est le seul à le comprendre, c'est vraiment difficile, et c'est la raison la plus fréquente pour laquelle on fait venir quelqu'un pour une journée plutôt que pour un programme. Un auditeur interne sous contrat pour un ou deux jours par an est normal, accepté, et c'est une journée de travail plutôt qu'un programme.

Une répétition de l'étape 1. Une heure avec quelqu'un qui a siégé du côté de l'auditeur, à parcourir votre périmètre, votre DdA et votre méthode de risque, avant la vraie étape 1. Il trouvera l'exclusion que vous ne pouvez pas justifier et les critères que vous ne pouvez pas expliquer. Cette heure est la partie la plus utile d'une mission de conseil, et vous pouvez l'acheter seule.

Ce que les débutants manquent

C'est la liste pour laquelle le lecteur est vraiment ici. Elle vient de la relecture de questionnaires et de DdA en brouillon de petites entreprises, et les mêmes cinq choses reviennent presque à chaque fois.

Des politiques qui existent mais n'ont jamais été approuvées. Une politique sans approbateur ni date est un brouillon, et un brouillon est un constat. Chaque politique a besoin d'un nom et d'une date, puis d'une date de revue.

Une surveillance et une journalisation décrites au futur. « Nous allons centraliser les journaux » est un écart. Les mesures A.8.15 et A.8.16 veulent des journaux qui existent et sont revus, avec la preuve que quelqu'un a regardé.

Des fournisseurs listés mais jamais évalués. Presque tout le monde peut lister ses sous-traitants. Presque personne ne peut montrer qu'il en a évalué un avant de signer. Les mesures A.5.19 à A.5.23 veulent l'évaluation, l'accord et la revue périodique, datés.

« Non applicable » sans raison. Dans un questionnaire client, c'est acceptable. Dans une déclaration d'applicabilité, une exclusion injustifiée est un constat, et la justification doit être un argument, pas une préférence. « Nous sommes huit et n'avons pas de bureau physique » est un argument. « Sans objet » n'en est pas un.

Des preuves qui ont fonctionné une fois. Une mesure qui a tourné il y a dix-huit mois n'est pas en fonctionnement. Les auditeurs échantillonnent par date, et une capture d'écran du mois précédant l'audit leur dit exactement quand le système a été touché pour la dernière fois.

Puis la sixième, qui n'est pas une mesure mais qui décide si le certificat survit à sa première année : les enregistrements s'arrêtent après l'audit. La certification n'est pas l'arrivée. Les audits de surveillance reviennent chaque année et l'auditeur s'attend à ce que le registre, les revues et les preuves portent des dates entre-temps. Les entreprises qui se certifient seules avec succès sont celles qui ont tenu leurs enregistrements au fil de l'eau plutôt que de les assembler avant chaque visite.

Que vais-je manquer ? Lisez le registre

La question sous tout cela est « que vais-je manquer », et la réponse honnête est que tout outil, modèle ou consultant couvre certains articles entièrement et d'autres moins, et la différence est rarement écrite. Nous avons écrit la nôtre.

Le registre de couverture ISO 27001 liste chaque article de la norme, ce que le produit tient pour lui, et où une entrée n'était que partiellement couverte et a depuis été fermée, en langage clair, avec l'historique conservé. Il existe parce que « que vais-je manquer » mérite une liste plutôt qu'une réassurance, et parce qu'un registre qui nous flatterait ne vaudrait pas la lecture.

Utilisez-le comme liste de contrôle, que vous utilisiez le produit ou non. Chaque article qui y figure est un article sur lequel l'auditeur posera des questions.

Le coût qui ne change pas

L'audit. Les jours d'auditeur viennent des tableaux de l'ISO/IEC 27006 selon le périmètre et l'effectif, donc une entreprise de 20 personnes est autour de sept jours, qu'un consultant ait été impliqué ou non, à un tarif journalier fixé par l'organisme de certification. L'arithmétique, avec des exemples chiffrés. Le faire vous-même change votre coût interne et le jugement que vous absorbez. Cela ne change pas les honoraires d'audit, et quiconque vous dit que le logiciel rend l'audit moins cher vous vend la moitié facile.

La recommandation

Le faire vous-même est un choix raisonnable, surtout si quelqu'un en interne l'a déjà fait ou si le périmètre est petit. En faire l'essentiel vous-même et acheter l'audit interne et une répétition de l'étape 1, c'est ce que beaucoup d'entreprises font réellement, et c'est l'arrangement avec le meilleur rapport entre jugement acheté et argent dépensé. Confier une mission complète est raisonnable quand personne en interne ne peut la porter et que le certificat bloque du chiffre d'affaires maintenant.

Ce qui n'est pas raisonnable, c'est de décider en fonction du logiciel. Aucun outil ne remplace les quatre jugements ci-dessus. Ce qu'un outil doit faire, c'est rendre la moitié récurrente supportable : des politiques avec dates et responsables, des preuves collectées selon un calendrier depuis les systèmes où elles vivent déjà, une DdA qui est un document vivant, et un calendrier qui ne se tait pas entre le certificat et la première visite de surveillance.

Des enregistrements complets, datés et non modifiés le jour où l'auditeur les demande. C'est tout le travail, et il dure toute l'année.

Sources

  • ISO/IEC 27001:2022, articles 4 à 10, 6.1.3 d) (déclaration d'applicabilité), 9.2 (audit interne ; objectivité et impartialité), mesures de l'annexe A 5.1, 5.19 à 5.23, 8.15, 8.16.
  • ISO/IEC 27006-1:2024, annexe C (temps d'audit), via Combien de jours d'auditeur prend l'ISO 27001.
  • ISO/IEC 17021-1:2015, article 9.6 (surveillance au moins une fois par année civile ; cycle de renouvellement).
  • La liste « ce que les débutants manquent » : la méthode de notre revue gratuite de questionnaires, appliquée aux DdA et questionnaires de petites entreprises.