Réussir son SMSI
ISO/IEC 27001:2022 encadre le Système de Management de la Sécurité de l'Information (SMSI) : une démarche de gestion du risque, pas une simple liste de contrôles techniques. La certification atteste qu'une organisation a identifié ses risques, mis en place des mesures proportionnées, et qu'elle entretient cette démarche dans la durée.
L'Annexe A : 93 mesures réparties en 4 catégories
La révision 2022 a restructuré l'Annexe A en 4 catégories - organisationnelles, humaines, physiques et technologiques - contre 14 domaines dans la version précédente. Les mesures ne sont pas toutes à mettre en œuvre : le SMSI documente lesquelles sont applicables (Déclaration d'Applicabilité) et pourquoi, à partir d'une analyse de risque réelle sur le périmètre certifié.
En pratique, les mesures organisationnelles (politique de sécurité, gestion des actifs, gestion des fournisseurs) et technologiques (contrôle d'accès, chiffrement, journalisation) concentrent l'essentiel de la charge de preuve - c'est aussi ce qu'un auditeur externe examine en premier.
Le cycle de certification
Un audit de certification se déroule en deux temps : un audit documentaire (Stage 1, vérifie que le SMSI est structuré et applicable) puis un audit de mise en œuvre (Stage 2, vérifie que les mesures documentées sont réellement suivies, preuves à l'appui). La certification est ensuite maintenue par des audits de surveillance annuels sur un cycle de 3 ans.
La difficulté la plus fréquente n'est pas de rédiger des politiques, mais de produire des preuves datées et cohérentes dans le temps pour chaque mesure retenue - un journal d'accès sans horodatage fiable, ou une revue de droits qui n'a eu lieu qu'une fois, ne suffit généralement pas.
Ce que SAUDITER.BJ automatise
L'auto-évaluation guide un pas par mesure de l'Annexe A applicable à votre périmètre, avec la preuve attendue précisée à chaque étape. Comme ISO 27001 partage de nombreuses exigences avec PCI DSS, la PSSIE ou le NIST CSF, une preuve déposée une fois peut couvrir plusieurs référentiels simultanément grâce au cross-mapping.
Suggestion générée à titre pédagogique - validation humaine requise. Ce guide ne constitue pas un conseil juridique et ne se substitue pas à un auditeur externe accrédité.