L’ISO/IEC 27001 est devenue une exigence commerciale. Ce n’est pas un auditeur qui la réclame : c’est le grand client qui va vous engager, ou le cahier des charges auquel vous voulez répondre. C’est, presque toujours, la raison honnête de se certifier.
Ce qu’elle est et ce qu’elle n’est pas
Ce n’est pas une liste de mesures techniques que l’on installe. C’est un système de management : une façon d’identifier quelles informations vous détenez, quels risques elles courent, ce que vous faites à ce sujet et comment vous vérifiez que cela continue de se faire. La partie technique en découle, elle n’est pas le point de départ.
Ce que cela implique en pratique
- Définir le périmètre : quelle partie de l’entreprise est certifiée. Commencer par tout est en général une erreur.
- Un travail d’analyse des risques réel, pas recopié d’un modèle.
- Des politiques et des procédures qui seront réellement appliquées. Celles qui ne le sont pas se repèrent dès le premier audit.
- Mettre en place les mesures issues de l’analyse : accès, sauvegardes, journalisation des événements, gestion des fournisseurs, formation.
- Audit interne, revue de direction et audit de certification avec un organisme accrédité.
- Et ensuite : des audits de surveillance annuels. Un système rangé dans un tiroir s’écroule tout seul.
ISO 27001, ENS et NIS2 : comment elles s’articulent
- ISO 27001 est volontaire et sert d’argument commercial dans n’importe quel secteur.
- ENS (Esquema Nacional de Seguridad, le référentiel espagnol de sécurité) est obligatoire pour travailler avec l’administration espagnole.
- NIS2 est la directive européenne, et elle touche plus d’entreprises qu’il n’y paraît : beaucoup sont concernées parce qu’elles fournissent une autre entreprise qui, elle, entre dans le champ.
Elles partagent une bonne partie du travail. Si vous savez que vous en aurez besoin de deux, mieux vaut les aborder ensemble dès le départ plutôt que de fournir deux fois le même effort.
La bonne question n’est pas « est-ce que je me certifie ? », mais « combien d’affaires est-ce que je perds faute de certification ? ». Avec ce chiffre-là, la décision se prend toute seule.
