Logiciel · ISO 27001
Un logiciel ISO 27001 doit porter le système de management de la sécurité de l’information : les chapitres 4 à 10, les 93 contrôles de l’annexe A, les risques, les preuves et le rythme annuel de l’audit interne et de la revue de direction. Cette page montre ce qu’exige la norme, à quoi vous devez veiller lors du choix d’un logiciel SMSI et comment Sightadel le couvre.
Situation de départ
ISO/IEC 27001:2022 exige un système de management, pas un ensemble de documents. Les chapitres 4 à 10 régissent le contexte et le périmètre, le leadership, l’appréciation et le traitement des risques, les ressources et les compétences, le fonctionnement, l’évaluation et l’amélioration. L’annexe A contient 93 contrôles répartis en quatre thèmes : 37 organisationnels, 8 liés aux personnes, 14 physiques et 34 technologiques. Pour chaque contrôle, vous consignez dans la déclaration d’applicabilité s’il s’applique, pourquoi et dans quelle mesure il est mis en œuvre.
Un logiciel SMSI doit reproduire cette structure et en assurer la cohérence : risque, contrôle, mesure et preuve vont ensemble. L’auditeur vérifie si la méthode d’appréciation des risques est reproductible, si les preuves sont à jour et si l’audit interne et la revue de direction ont eu lieu. Le certificat est valable trois ans, avec deux audits de surveillance annuels. Le logiciel doit donc avant tout porter l’exploitation après l’audit initial.
Ce que le logiciel ne prend pas en charge, ce sont les décisions. Le périmètre, les objectifs de sécurité de l’information, l’acceptation des risques, le choix des contrôles et les rôles sont fixés par la direction. Un bon logiciel SMSI rend ces points visibles et documente qui a décidé et quand.
Pourquoi maintenant
Des clients ou des appels d’offres exigent le certificat. Il vous faut un périmètre, une méthode d’appréciation des risques, une déclaration d’applicabilité et un programme d’audit, dans cet ordre.
Après le certificat, le système s’est arrêté. Les preuves sont datées, et l’audit de surveillance révèle ce qui n’a plus été vérifié depuis un an.
Déclaration d’applicabilité, liste des risques et liste des fournisseurs se trouvent dans des fichiers séparés. Les liens entre risque, contrôle et justificatif n’existent que dans la tête du RSSI.
ISO 27001 est le référentiel qui sert le plus pour les autres. Qui gère son SMSI dans un logiciel utilise les mêmes preuves pour les obligations supplémentaires.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
Les chapitres 4 à 10 et les 93 contrôles de l’annexe A dans la version 2022. Le résultat est un certificat délivré par un organisme accrédité, valable trois ans. Il faut typiquement trois à six mois pour être prêt pour l’audit.
Voir le framework →Les mesures selon le § 30 de la loi allemande sur le BSI (BSIG) recoupent largement l’annexe A. S’y ajoutent la chaîne de notification, l’enregistrement auprès du BSI et la responsabilité de la direction selon le § 38.
Voir le framework →Les mesures techniques et organisationnelles selon l’art. 32 peuvent être justifiées par les mêmes preuves que beaucoup de contrôles de l’annexe A.
Voir le framework →Pour les fournisseurs de cloud dont les clients relèvent du secteur public ou de secteurs réglementés. Le catalogue de critères du BSI s’appuie sur ISO 27001, le résultat est une attestation délivrée par un auditeur indépendant (expert-comptable).
Voir le framework →Ordre recommandé
Délimiter les sites, les systèmes et les processus, identifier les parties intéressées. Les questions guides et le modèle sectoriel proposent des délimitations, vous les confirmez ou les adaptez.
Recenser les actifs, évaluer les risques selon une méthode fixe, définir le traitement. Ce n’est qu’ensuite que l’on peut décider des contrôles de manière pertinente.
Répondre de manière guidée aux 93 contrôles. Il en résulte la déclaration d’applicabilité avec décision, justification, statut et responsable pour chaque contrôle.
Finaliser la politique générale, les politiques et les procédures, mener les formations, charger les justificatifs avec date de validité dans l’archive des preuves et les rattacher aux contrôles.
Vérifier une fois soi-même l’ensemble du système et le faire évaluer par la direction. Les deux sont obligatoires avant l’audit de certification et reviennent ensuite chaque année.
Un auditeur indépendant et accrédité vérifie la documentation à l’étape 1 et la mise en œuvre à l’étape 2. Il travaille directement dans Sightadel avec son propre rôle, sans droit de suppression.
Choix
Presque tous les logiciels SMSI listent les 93 contrôles. Ce qui compte, c’est la manière dont ils maintiennent le lien entre risque, contrôle et preuve, et ce que coûte la maintenance en exploitation.
La déclaration d’applicabilité doit naître du travail sur les contrôles, pas être tenue dans un tableau séparé. Vérifiez si elle peut être exportée pour l’auditeur.
Les mêmes données doivent conduire à des résultats comparables. Les risques doivent être liés au traitement, au responsable et aux mesures, pas seulement évalués.
Un test de restauration datant de 14 mois n’est plus un justificatif lors de l’audit de surveillance. Veillez à disposer d’une date de validité et d’un rappel avant expiration.
Ce sont les deux points où les systèmes montrent le plus souvent des faiblesses à l’audit. Le logiciel doit les gérer comme des rendez-vous récurrents avec résultat.
L’auditeur doit pouvoir consulter lui-même les exigences, les réponses, les justificatifs et le journal des modifications, sans rien pouvoir supprimer. Cela évite l’envoi de fichiers et les questions de suivi.
Lorsque NIS2, DORA ou le RGPD s’ajoutent, les preuves existantes doivent continuer à compter. Demandez si un justificatif peut être lié à des contrôles de plusieurs frameworks.
Comment Sightadel vous aide
Les chapitres 4 à 10 et chacun des 93 contrôles sous forme de question guidée avec options de réponse, explication et commentaire. La déclaration d’applicabilité se construit à partir de là, exportable pour l’auditeur.
En savoir plus →Des modèles sectoriels issus d’une longue pratique du conseil et de la certification fournissent des projets de politique générale et de politiques. L’IA fait des propositions à partir de données que vous avez déjà saisies ou importées. Vous les reprenez, les modifiez ou les complétez.
En savoir plus →Des justificatifs avec version, date de validité et rappel avant expiration. Une preuve est liée à tous les contrôles qu’elle justifie, y compris au-delà d’ISO 27001.
En savoir plus →Les écarts issus de l’évaluation, les constats des audits internes et les non-conformités de l’audit de certification deviennent des mesures avec responsable et échéance.
En savoir plus →Les prestataires avec criticité, questionnaires et preuves, avec rappel de la réévaluation. Cela couvre les contrôles relatifs aux fournisseurs de l’annexe A.
En savoir plus →Le Security Score évalue la surface d’attaque visible de l’extérieur de vos domaines par une note de 0 à 100 et liste des problèmes concrets. Cela fournit de la matière pour la gestion des vulnérabilités selon l’annexe A.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont la taille du périmètre, la situation de départ et le temps de la personne responsable.
Ce que vous souscrivez · généralement Professional
Un SMSI avec plusieurs intervenants de l’informatique, des ressources humaines et des achats fonctionne typiquement avec ISO 27001 dans l’édition Professional. Si NIS2, le RGPD ou C5 s’ajoutent, ils coûtent durablement moins cher, car ISO 27001 est déjà sous licence.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
La norme n’impose aucun logiciel. Elle exige un système maîtrisé et traçable. Pour de petits périmètres, des documents et des tableurs suffisent. Un logiciel SMSI devient rentable dès que plusieurs personnes y contribuent, que des preuves expirent et que les audits de surveillance posent chaque année les mêmes questions.
Excel contient des listes, mais pas de liens. Risque, contrôle, mesure et preuve ne sont alors reliés que par des renvois, et personne ne surveille les échéances. Les tableaux existants peuvent être importés dans Sightadel et conservent ainsi leur contenu.
Sightadel est proposé sous licence annuelle par framework et par édition. Les montants actuels figurent sur la page des tarifs. S’y ajoutent les coûts de l’organisme de certification et, si vous le souhaitez, d’un consultant. Vous pouvez tester gratuitement pendant 14 jours, sans données de paiement.
Non. Sightadel vous guide à travers les exigences. Vous choisissez votre consultant dans le réseau de partenaires depuis l’application ou venez avec le vôtre ; il travaille dans votre compte avec le rôle Consultant. L’audit de certification est réalisé par un organisme indépendant et accrédité. Sightadel ne certifie pas et ne perçoit aucune commission.
Le périmètre, les objectifs de sécurité de l’information, l’acceptation des risques, la décision sur les contrôles et les rôles. La norme exige ces décisions de la direction. Sightadel signale ces points et consigne qui a décidé et quand.
Elle naît du travail sur les 93 contrôles : applicabilité, justification, statut et responsable pour chaque contrôle. C’est vous qui décidez du contenu. Le logiciel l’assemble et l’exporte pour l’auditeur.
Oui. Vous venez avec votre propre organisme de certification ou en choisissez un dans le réseau de partenaires. L’auditeur reçoit son propre rôle, sans droit de suppression, et voit les exigences, les réponses et les justificatifs dans leur contexte.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
