Guides ISO 27001

ISO 27001 est une certification internationale pour les systèmes de management de la sécurité de l'information (SMSI), émise par des organismes de certification accrédités. Contrairement à SOC 2 (qui est un rapport), ISO 27001 vous donne un vrai certificat que vous pouvez afficher. Elle est reconnue mondialement et souvent exigée pour les contrats européens et gouvernementaux.

ISO 27001 prend 3 à 4 mois, plus rapide que SOC 2 car il n'y a pas de période d'observation obligatoire. Cela inclut 4 à 6 semaines d'implémentation, 1 semaine d'audit interne, et 2 à 3 semaines pour les audits Stage 1 et Stage 2.

Le prix global dépend du périmètre, de la taille de l'entreprise et de la configuration technique. Bastion réduit le temps d'implémentation et les coûts globaux en combinant une plateforme GRC, un ingénieur sécurité dédié, des outils de sécurité intégrés et la coordination d'audit.

Un Système de Management de la Sécurité de l'Information (SMSI) est une approche systématique pour gérer les informations sensibles de l'entreprise. Il inclut les personnes, les processus et la technologie, organisés autour de la gestion des risques. ISO 27001 fournit le cadre pour construire et maintenir un SMSI.

ISO 27001 est conçu pour toute organisation et se concentre sur les processus et la documentation, tandis que SOC 2 est conçu pour le SaaS et les services cloud avec un accent sur les contrôles techniques. ISO 27001 produit un certificat de 3 ans ; SOC 2 produit un rapport d'audit annuel.

Les organisations avec des clients internationaux, des clients B2B européens ou asiatiques, des contrats gouvernementaux ou des industries fortement réglementées ont généralement besoin d'ISO 27001. Les entreprises françaises valorisent particulièrement ISO 27001 pour le marketing et les exigences d'approvisionnement.

Le contrôle A.8.8 (Gestion des Vulnérabilités Techniques) exige d'identifier et de traiter les vulnérabilités techniques, ce qui peut être satisfait par un pentest ou un scan de vulnérabilités. La plupart des auditeurs et clients attendent un pentest pour une assurance complète, ce qui en fait une exigence pratique.

ISO 27001 suit un cycle de 3 ans : certification initiale en Année 1, audits de surveillance en Années 2-3, et recertification complète en Année 4. Les Années 2-3 sont plus légères (3 à 5 heures vs 15 heures initialement).

L'Annexe A contient 93 contrôles répartis en 4 domaines : Organisationnel (37 contrôles), Personnes (8 contrôles), Physique (14 contrôles) et Technologique (34 contrôles). Vous sélectionnez les contrôles applicables selon votre analyse de risques.

Oui, les startups obtiennent souvent la certification plus rapidement que les grandes entreprises grâce à moins d'infrastructure legacy et des processus plus simples. Des entreprises de 5 à 10 employés obtiennent régulièrement la certification ISO 27001.