La certification ISO 27001 est devenue le langage de confiance mondial en matière de sécurité de l'information. En 2025, le nombre d'organisations certifiées ISO 27001 dans le monde dépassait 70 000, soit une augmentation de 25 % par rapport à 2023.
Fait partie de notre série Conformité et réglementation
Lire le guide completLa certification ISO 27001 est devenue le langage de confiance mondial en matière de sécurité de l'information. En 2025, le nombre d'organisations certifiées ISO 27001 dans le monde dépassait 70 000, soit une augmentation de 25 % par rapport à 2023. Pour les entreprises technologiques vendant sur les marchés des entreprises, en particulier en Europe, en Asie et dans les secteurs gouvernementaux, ISO 27001 est souvent une exigence non négociable.
Contrairement à SOC2 (qui est principalement une norme nord-américaine), ISO 27001 est reconnue dans pratiquement tous les pays. Il fournit un cadre systématique pour gérer les risques liés à la sécurité de l'information grâce à un système de gestion de la sécurité de l'information (ISMS) qui couvre les personnes, les processus et la technologie.
Points clés à retenir
- ISO 27001 exige un SMSI formel avec un champ d'application défini, une méthodologie d'évaluation des risques et un cycle d'amélioration continue
- La révision de 2022 a réduit les contrôles de l'Annexe A de 114 à 93 et les a organisés en quatre thèmes : organisationnels, humains, physiques et technologiques.
- La certification nécessite un organisme d'audit accrédité et comporte deux étapes : revue de la documentation et évaluation opérationnelle
- ISO 27001 partage 60 à 70 % de chevauchement de contrôle avec SOC2, ce qui rend la double certification très efficace
Comprendre le cadre ISMS
Un système de gestion de la sécurité de l'information n'est pas un produit ou un outil : c'est un cadre de gestion qui régit la manière dont votre organisation identifie, évalue et traite les risques liés à la sécurité de l'information.
Composants de base du SMSI
Le SMSI suit le cycle Planifier-Faire-Vérifier-Agir (PDCA) :
Planifier. Définir la portée du SMSI, établir la politique de sécurité, effectuer une évaluation des risques, sélectionner les contrôles et produire la déclaration d'applicabilité (SoA).
Faire. Mettre en œuvre les contrôles, exécuter le plan de traitement des risques, organiser des formations et gérer les opérations.
Vérifiez. Surveillez et mesurez les contrôles, effectuez des audits internes, effectuez des revues de direction et suivez les incidents.
Agir. Prendre des mesures correctives, mettre en œuvre des améliorations, mettre à jour les évaluations des risques et affiner le SMSI en fonction des enseignements tirés.
Clauses ISO 27001 (exigences obligatoires)
| Clause | Titre | Ce qu'il faut |
|---|---|---|
| 4 | Contexte de l'organisation | Définir la portée, les parties intéressées et les problèmes internes/externes |
| 5 | Direction | Engagement de la direction, politique de sécurité, rôles organisationnels |
| 6 | Planification | Méthodologie d'évaluation des risques, plan de traitement des risques, objectifs de sécurité |
| 7 | Assistance | Ressources, compétence, sensibilisation, communication, information documentée |
| 8 | Opération | Planification opérationnelle, exécution de l'évaluation des risques, traitement des risques |
| 9 | Évaluation des performances | Suivi, audit interne, revue de direction |
| 10 | Amélioration | Traitement des non-conformités, actions correctives, amélioration continue |
Ces clauses sont obligatoires : vous ne pouvez en exclure aucune. Ils définissent le système de gestion lui-même, tandis que l'Annexe A fournit le catalogue de contrôle parmi lequel vous faites votre choix.
Contrôles de l'Annexe A : la révision de 2022
La révision 2022 de la norme ISO 27001 (ISO 27001:2022) a réorganisé le catalogue de contrôles de 14 domaines avec 114 contrôles à 4 thèmes avec 93 contrôles. Les contrôles ont été consolidés, mis à jour pour les menaces modernes et 11 nouveaux contrôles ont été ajoutés.
Domaines ISO 27001 avec contrôles clés
| Thème | # Contrôles | Contrôles clés |
|---|---|---|
| Organisationnel (37) | 37 | Politiques de sécurité de l'information, rôles et responsabilités, renseignements sur les menaces, gestion des actifs, politique de contrôle d'accès, relations avec les fournisseurs, gestion des incidents, continuité des activités, conformité juridique |
| Personnes (8) | 8 | Filtrage, conditions d'emploi, sensibilisation/formation à la sécurité, processus disciplinaire, responsabilités après le licenciement, accords de confidentialité, travail à distance, rapports d'événements liés à la sécurité de l'information |
| Physique (14) | 14 | Périmètre de sécurité physique, contrôles d'entrée physiques, sécurisation des bureaux/installations, surveillance, protection des équipements, élimination sécurisée, bureau/écran dégagé, sécurité du câblage, maintenance des équipements |
| Technologique (34) | 34 | Appareils terminaux, accès privilégié, restriction d'accès, authentification sécurisée, gestion de capacité, protection contre les logiciels malveillants, gestion des vulnérabilités, gestion de la configuration, suppression de données, masquage des données, DLP, surveillance, sécurité des réseaux, filtrage Web, cryptographie, développement sécurisé, tests de sécurité, gestion des changements, séparation des environnements |
Nouveaux contrôles en 2022
| Nouveau contrôle | Descriptif | Pourquoi il a été ajouté |
|---|---|---|
| A.5.7 | Renseignements sur les menaces | Identification proactive des menaces |
| A.5.23 | Sécurité des services cloud | Prévalence de l'adoption du cloud |
| A.5.30 | Préparation aux TIC pour la continuité des activités | Planification BC spécifique à l'informatique |
| A.7.4 | Surveillance de la sécurité physique | CCTV et surveillance physique |
| A.8.9 | Gestion des configurations | Configurations de base |
| A.8.10 | Suppression des informations | Gestion du cycle de vie des données |
| A.8.11 | Masquage des données | Protection de la vie privée |
| A.8.12 | Prévention des fuites de données | Outils et processus DLP |
| A.8.16 | Activités de surveillance | Surveillance de sécurité et SIEM |
| A.8.23 | Filtrage Web | Filtrage d'URL et de contenu |
| A.8.28 | Codage sécurisé | Pratiques de développement sécurisées |
Méthodologie d'évaluation des risques
L'évaluation des risques est au cœur de la norme ISO 27001. Contrairement aux cadres prescriptifs comme PCI-DSS, la norme ISO 27001 vous permet de définir votre propre méthodologie d'évaluation des risques et de sélectionner des contrôles en fonction de votre profil de risque spécifique.
Construire votre processus d'évaluation des risques
Étape 1 : Identification des actifs. Inventoriez tous les actifs informationnels : données, systèmes, applications, personnes, infrastructure et services tiers.
Étape 2 : Identification des menaces. Pour chaque actif, identifiez les menaces potentielles : cyberattaques, menaces internes, catastrophes naturelles, pannes du système, erreur humaine, défaillances des fournisseurs.
Étape 3 : Évaluation des vulnérabilités. Identifiez les faiblesses que les menaces pourraient exploiter : logiciels non corrigés, authentification faible, manque de cryptage, formation insuffisante.
Étape 4 : Évaluation des risques. Calculez le risque à l'aide de la méthodologie définie. Une approche commune :
| Probabilité | Impact : Faible (1) | Impact : Moyen (2) | Impact : Élevé (3) | Impact : Critique (4) |
|---|---|---|---|---|
| Rares (1) | 1 - Accepter | 2 - Accepter | 3 - Moniteur | 4 - Moniteur |
| Peu probable (2) | 2 - Accepter | 4 - Moniteur | 6 - Traiter | 8 - Traiter |
| Possibilités (3) | 3 - Moniteur | 6 - Traiter | 9 - Traiter | 12 - Traiter en urgence |
| Probable (4) | 4 - Moniteur | 8 - Traiter | 12 - Traiter en urgence | 16 - Traiter en urgence |
Étape 5 : Traitement des risques. Pour chaque risque supérieur à votre seuil acceptable, choisissez un traitement : atténuer (mettre en place des contrôles), transférer (assurance, externalisation), éviter (arrêter l'activité) ou accepter (avec justification documentée).
Étape 6 : Documentez tout. Votre registre des risques, votre méthodologie d'évaluation des risques, votre plan de traitement des risques et votre acceptation des risques résiduels doivent tous être documentés et révisés régulièrement.
Déclaration d'applicabilité (SoA)
La déclaration d'applicabilité est l'un des documents ISO 27001 les plus importants. Il répertorie les 93 contrôles de l’annexe A, indique si chacun est applicable ou exclu et fournit une justification des exclusions.
Créer une SoA efficace
Pour chaque contrôle de l’annexe A, documenter :
- Référence et titre du contrôle (par exemple, A.8.5 Authentification sécurisée)
- Applicable ou exclu avec justification de l'exclusion
- État de mise en œuvre (mis en œuvre, partiellement mis en œuvre, planifié)
- Description de la mise en œuvre (comment le contrôle est mis en œuvre dans votre organisation)
- Référence à la documentation à l'appui (politiques, procédures, configurations techniques)
Exclusions courantes pour les entreprises technologiques
- Périmètre de sécurité physique (A.7.1-7.2) : Si vous êtes entièrement distant/basé sur le cloud sans bureau physique, certains contrôles physiques peuvent ne pas s'appliquer. Cependant, vous devez toujours aborder la sécurité des points finaux et les contrôles du travail à distance.
- Maintenance des équipements (A.7.13) : Si toute l'infrastructure est basée sur le cloud (AWS, GCP, Azure), la maintenance des équipements physiques relève de la responsabilité du fournisseur de cloud. Documentez-le comme un contrôle hérité.
- Sécurité du câblage (A.7.12) : De même, les entreprises travaillant uniquement dans le cloud peuvent exclure les contrôles de câblage physique, mais les contrôles de sécurité du réseau restent applicables.
Les auditeurs examineront attentivement les exclusions. N'excluez que les contrôles qui ne s'appliquent réellement pas à votre contexte et documentez toujours des justifications claires.
Le processus de certification
La certification ISO 27001 nécessite un audit par un organisme de certification accrédité. Le processus comporte deux étapes.
Audit de phase 1 : examen de la documentation
L'audit de phase 1 est un examen documentaire de votre documentation SMSI :
- Définition du périmètre SMSI
- Politique de sécurité des informations
- Méthodologie et résultats de l'évaluation des risques
- Plan de traitement des risques
- Déclaration d'applicabilité
- Rapports d'audit interne
- Procès-verbaux de revue de direction
L'auditeur évalue si votre documentation est complète et si votre SMSI est conçu de manière appropriée. Ils identifieront toutes les lacunes majeures qui doivent être comblées avant l’étape 2.
Délai : Généralement 1 à 2 jours sur site ou à distance. Résultats fournis en 1 à 2 semaines.
Audit de phase 2 : évaluation opérationnelle
L’audit d’étape 2 évalue si votre SMSI fonctionne efficacement :
- Entretiens avec les propriétaires de processus et le personnel pour vérifier la sensibilisation et la mise en œuvre
- Échantillonnage de preuves pour vérifier que les contrôles fonctionnent comme documenté
- Vérification technique des configurations de sécurité, des contrôles d'accès et de la surveillance
- Observation des processus opérationnels (gestion des incidents, conduite du changement)
- Identification des non-conformités lorsque les contrôles sont manquants, inefficaces ou non documentés
Délai : 3 à 10 jours selon la taille de l'organisation. Les non-conformités doivent être résolues dans un délai de 90 jours.
Après la certification
La certification ISO 27001 est valable trois ans, avec des audits de surveillance les années 1 et 2 :
| Année | Type de vérification | Portée | Durée |
|---|---|---|---|
| Année 0 | Certification (Étape 1 + 2) | SMSI complet | 4-12 jours |
| Année 1 | Surveillance | Contrôles sélectionnés + changements majeurs | 2-4 jours |
| Année 2 | Surveillance | Contrôles sélectionnés + zones restantes | 2-4 jours |
| Année 3 | Recertification | ISMS complet (mini étapes 1 + 2) | 3-8 jours |
ISO 27001 et SOC2 : Créer une synergie
Pour les entreprises qui ont besoin des deux certifications, le chevauchement des contrôles est important. La mise en œuvre initiale de la norme ISO 27001 vous donne une longueur d'avance de 60 à 70 % sur SOC2, et vice versa.
Zones de chevauchement
| Contrôle ISO 27001 | Critères SOC2 | Exigence partagée |
|---|---|---|
| A.5.1 Politiques de sécurité des informations | CC1.1 Principe 1 du COSO | Documentation sur la politique de sécurité |
| A.5.15-5.18 Contrôle d'accès | CC6.1-CC6.3 | Gestion des accès, MFA, moindre privilège |
| A.5.24-5.28 Gestion des incidents | CC7.3-CC7.5 | Détection d'incidents, réponse, communication |
| A.6.1-6.5 Contrôles des personnes | CC1.4 | Vérification des antécédents, formation, départ |
| A.8.8 Gestion des vulnérabilités | CC7.1 | Analyse des vulnérabilités, correctifs |
| A.8.25-8.27 Développement sécurisé | CC8.1 | Gestion du changement, révision de code, tests |
| A.5.29-5.30 Continuité des activités | A1.1-A1.3 | Planification DR, sauvegarde, tests de récupération |
Pour obtenir des conseils détaillés sur SOC2, consultez notre Guide de préparation SOC2 Type II. Pour un aperçu plus large de la conformité, reportez-vous à notre manuel de conformité d'entreprise.
Questions fréquemment posées
Combien de temps dure la certification ISO 27001 ?
De la décision à la certification, comptez 12 à 18 mois pour une première mise en œuvre. Cela comprend 3 à 4 mois pour l'analyse et la planification des écarts, 4 à 6 mois pour la mise en œuvre et la documentation des contrôles, 2 à 3 mois pour le fonctionnement du SMSI (génération de preuves) et 2 à 3 mois pour l'audit interne, la revue de direction et l'audit de certification externe.
Combien coûte la certification ISO 27001 ?
Les coûts totaux de la première année varient généralement de 40 000 $ à 400 000 $ selon la taille de l'entreprise, sa complexité et si vous faites appel à des consultants. Les principaux éléments de coût comprennent le conseil (15 000 $ à 100 000 $), les frais d'audit (8 000 $ à 50 000 $), l'outillage (5 000 $ à 30 000 $/an) et la main-d'œuvre interne (la variable la plus importante). Les coûts de maintenance annuels (audits de surveillance, licences d'outils, formation) représentent généralement 30 à 40 % de l'investissement de la première année.
La norme ISO 27001 est-elle requise par la loi ?
La norme ISO 27001 n'est pas légalement obligatoire dans la plupart des juridictions. Cependant, elle est effectivement obligatoire dans plusieurs contextes : de nombreux processus de passation de marchés publics l'exigent, les entreprises clientes l'incluent dans les exigences des fournisseurs et certaines réglementations industrielles (NIS2 dans l'UE, APRA CPS 234 en Australie) font référence à la norme ISO 27001 comme cadre reconnu. En pratique, la pression du marché en fait souvent une nécessité commerciale.
Une petite startup peut-elle obtenir la certification ISO 27001 ?
Oui. La norme ISO 27001 s'adapte à toutes les tailles d'organisation. Le champ d'application du SMSI peut être adapté à vos opérations, et l'approche basée sur les risques signifie que les contrôles sont proportionnés à votre profil de risque. Les petites entreprises dotées d'une infrastructure simple peuvent obtenir leur certification en 9 à 12 mois. Le principal avantage pour les startups est que la construction précoce d’un SMSI crée une culture de sécurité avant que la dette technique ne s’accumule.
Quelle est la différence entre ISO 27001 et ISO 27002 ?
ISO 27001 est la norme de certification --- elle définit les exigences d'un SMSI. ISO 27002 est la norme d'orientation --- elle fournit des lignes directrices détaillées de mise en œuvre pour chaque contrôle de l'annexe A. Vous êtes certifié ISO 27001 et vous utilisez ISO 27002 comme référence lors de la mise en œuvre des contrôles. Considérez ISO 27001 comme le « quoi » et ISO 27002 comme le « comment ».
Quelle est la prochaine étape
La norme ISO 27001 est plus qu'un certificat affiché sur votre mur : c'est un système de gestion qui favorise une amélioration continue de la sécurité. L'approche structurée de la gestion des risques, combinée à des audits et des revues de direction réguliers, crée une organisation mature en matière de sécurité, capable de s'adapter à l'évolution des menaces et des exigences réglementaires.
ECOSIRE aide les entreprises technologiques à concevoir et à mettre en œuvre des systèmes de gestion de la sécurité de l'information conformes à la norme ISO 27001. Nos implémentations Odoo ERP incluent des contrôles d'accès intégrés, des pistes d'audit et des flux de travail de gestion des changements qui correspondent aux exigences de l'annexe A. Pour une surveillance de la sécurité et une évaluation des risques basées sur l'IA, explorez notre plateforme OpenClaw AI. Contactez-nous pour commencer votre parcours ISO 27001.
Publié par ECOSIRE — aider les entreprises à évoluer grâce à des solutions basées sur l'IA dans Odoo ERP, Shopify eCommerce et OpenClaw AI.
Rédigé par
ECOSIRE TeamRédaction technique
L'équipe de rédaction technique d'ECOSIRE traite d'Odoo ERP, de l'e-commerce avec Shopify, des agents IA, de l'analytique avec Power BI, de l'automatisation avec GoHighLevel et des bonnes pratiques du logiciel d'entreprise. Nos guides aident les entreprises à prendre des décisions technologiques éclairées.
ECOSIRE
Développez votre entreprise avec ECOSIRE
Solutions d'entreprise pour l'ERP, le commerce électronique, l'IA, l'analyse et l'automatisation.
Articles connexes
Détection de fraude par IA pour le commerce électronique : protégez vos revenus sans bloquer les ventes
Mettez en œuvre une détection de fraude par IA qui détecte plus de 95 % des transactions frauduleuses tout en maintenant les taux de faux positifs en dessous de 2 %. Scoring ML, analyse comportementale et guide du retour sur investissement.
ERP pour l'industrie chimique : sécurité, conformité et traitement par lots
Comment les systèmes ERP gèrent les documents FDS, la conformité REACH et GHS, le traitement des lots, le contrôle qualité, l'expédition des matières dangereuses et la gestion des formules pour les entreprises chimiques.
ERP pour le commerce import/export : multidevises, logistique et conformité
Comment les systèmes ERP gèrent les lettres de crédit, les documents douaniers, les incoterms, les comptes de résultat multidevises, le suivi des conteneurs et le calcul des droits pour les sociétés commerciales.
Plus de Conformité et réglementation
Cybersécurité pour le commerce électronique : protégez votre entreprise en 2026
Guide complet de cybersécurité du commerce électronique pour 2026. PCI DSS 4.0, configuration WAF, protection contre les robots, prévention de la fraude aux paiements, en-têtes de sécurité et réponse aux incidents.
ERP pour l'industrie chimique : sécurité, conformité et traitement par lots
Comment les systèmes ERP gèrent les documents FDS, la conformité REACH et GHS, le traitement des lots, le contrôle qualité, l'expédition des matières dangereuses et la gestion des formules pour les entreprises chimiques.
ERP pour le commerce import/export : multidevises, logistique et conformité
Comment les systèmes ERP gèrent les lettres de crédit, les documents douaniers, les incoterms, les comptes de résultat multidevises, le suivi des conteneurs et le calcul des droits pour les sociétés commerciales.
Reporting développement durable et ESG avec ERP : Guide de conformité 2026
Naviguez dans la conformité des rapports ESG en 2026 avec les systèmes ERP. Couvre les émissions CSRD, GRI, SASB, Scope 1/2/3, le suivi du carbone et la durabilité Odoo.
Liste de contrôle pour la préparation à l'audit : préparer vos livres
Liste de contrôle complète de préparation à l'audit couvrant la préparation des états financiers, les pièces justificatives, la documentation sur les contrôles internes, les listes PBC de l'auditeur et les conclusions d'audit courantes.
Guide australien de la TPS pour les entreprises de commerce électronique
Guide complet de la TPS australienne pour les entreprises de commerce électronique couvrant l'enregistrement ATO, le seuil de 75 000 $, les importations de faible valeur, le dépôt BAS et la TPS pour les services numériques.