Processus de certification ISO 27001 : Votre feuille de route complète

Points clés

Réponse rapide : La certification ISO 27001 implique un audit en deux étapes. Le Stage 1 revoit votre documentation ; le Stage 2 vérifie l'implémentation. Avec une guidance experte, l'ensemble du processus prend 3-4 mois et environ 20-25 heures de votre temps.

Aperçu du processus de certification

Le parcours en un coup d'œil

1Parcours de certification ISO 27001
2────────────────────────────────────────────────────────
3
4Phase 1 : Planification & Analyse des écarts (Semaines 1-4)
5    │
6    ▼
7Phase 2 : Développement du SMSI (Semaines 4-10)
8    │
9    ▼
10Phase 3 : Implémentation (Semaines 10-18)
11    │
12    ▼
13Phase 4 : Audit interne & Revue (Semaines 18-20)
14    │
15    ▼
16Phase 5 : Audit Stage 1 (Semaines 21-22)
17    │
18    ▼
19Phase 6 : Audit Stage 2 (Semaines 23-26)
20    │
21    ▼
22Phase 7 : Certification & Maintenance (Continue)

Jalons clés

Phase 1 : Planification et analyse des écarts

Semaines 1-2 : Configuration du projet

Établir la fondation

Parties prenantes clés à impliquer :

• Sponsor exécutif (CEO, CTO ou équivalent)
• Responsable SMSI (lead sécurité ou vCISO)
• Représentant IT/Engineering
• Représentant RH
• Représentant Juridique/Compliance
• Représentant Opérations

Semaines 2-4 : Analyse des écarts

Évaluer l'état actuel par rapport à l'ISO 27001

Sortie de l'analyse des écarts :

Résumé de l'évaluation des écarts :

Phase 2 : Développement du SMSI

Semaines 4-6 : Établir le contexte et le périmètre

Définir la fondation de votre SMSI

Considérations de périmètre :

• Quelles fonctions métier ?
• Quelles localisations ?
• Quels systèmes et données ?
• Quelles sont les limites ?
• Qu'est-ce qui est explicitement exclu ?

Semaines 6-8 : Évaluation des risques

Identifier et évaluer les risques

Processus d'évaluation des risques :

Étape 1 : Identification des actifs :

• Actifs informationnels (types de données)
• Actifs physiques (serveurs, appareils)
• Actifs logiciels (applications)
• Actifs de service (services cloud)

Étape 2 : Identification des menaces :

• Menaces externes (hackers, malware)
• Menaces internes (employés)
• Menaces environnementales (catastrophes)
• Menaces techniques (pannes système)

Étape 3 : Évaluation des vulnérabilités :

• Vulnérabilités techniques
• Faiblesses de processus
• Vulnérabilités liées aux personnes
• Vulnérabilités physiques

Étape 4 : Analyse des risques :

• Évaluation de la probabilité
• Évaluation de l'impact
• Calcul du risque

Étape 5 : Évaluation des risques :

• Comparer aux critères
• Prioriser les risques
• Déterminer le traitement

Options de traitement des risques :

Semaines 8-10 : Créer la Déclaration d'Applicabilité

Mapper les contrôles à votre environnement

Structure SoA :

Phase 3 : Implémentation

Semaines 10-14 : Développement des politiques et procédures

Créer la documentation requise

Hiérarchie documentaire :

1Niveau 1 : Politique de sécurité de l'information
2         (Ce à quoi nous nous engageons)
3              │
4Niveau 2 : Politiques de domaine
5         (Ce que nous exigeons)
6              │
7Niveau 3 : Standards
8         (Spécifications techniques)
9              │
10Niveau 4 : Procédures
11         (Comment nous le faisons)
12              │
13Niveau 5 : Instructions de travail
14         (Guides étape par étape)

Semaines 12-16 : Implémentation des contrôles techniques

Déployer les contrôles requis

Semaines 14-16 : Formation et sensibilisation

Préparer vos équipes

Semaines 16-18 : Opération du SMSI

Faire fonctionner le système

Phase 4 : Vérification pré-audit

Semaines 18-19 : Audit interne

Vérifier l'efficacité du SMSI

Processus d'audit interne :

Flux d'audit interne :

1. Planifier l'audit :

• Définir périmètre et critères
• Créer checklist d'audit
• Planifier les interviews

2. Conduire l'audit :

• Revue documentaire
• Interviews du personnel
• Tests des contrôles
• Examen des preuves

3. Rapporter les conclusions :

• Non-conformités identifiées
• Observations notées
• Conclusions positives enregistrées

4. Suivi :

• Actions correctives définies
• Actions implémentées
• Efficacité vérifiée

Semaines 19-20 : Revue de direction

Supervision exécutive

Semaines 20-21 : Préparation à l'audit

Se préparer pour l'audit externe

Phase 5 : Audit Stage 1

Ce qui se passe au Stage 1

Revue de documentation et préparation

Résultats du Stage 1 :

Calendrier typique du Stage 1

Phase 6 : Audit Stage 2

Ce qui se passe au Stage 2

Vérification de l'implémentation et de l'efficacité

Techniques d'audit Stage 2

Méthodes d'audit Stage 2 :

Interviews :

• Poser des questions sur les politiques et procédures
• Vérifier la compréhension
• Confirmer l'opération des contrôles

Revue documentaire :

• Politiques et procédures
• Enregistrements et preuves
• Compte-rendus de réunions

Observation :

• Observer les processus en action
• Visite de sécurité physique
• Démonstrations système

Tests :

• Échantillonner les revues d'accès
• Vérifier les enregistrements de changement
• Vérifier les restaurations de sauvegarde
• Revoir la gestion des incidents

Gérer les conclusions d'audit

Résultats du Stage 2

Phase 7 : Certification et maintenance

Après la certification

Actions immédiates :

• Célébrer avec votre équipe !
• Communiquer la réussite en interne
• Mettre à jour le site web/marketing
• Informer les clients
• Planifier la maintenance continue

Cycle de certification

Cycle de certification de 3 ans :

Année 1 :

• Audit de certification (Stage 1 + Stage 2)
• Certificat émis

Année 2 :

• Audit de surveillance 1
• Vérifier la conformité continue

Année 3 :

• Audit de surveillance 2
• Préparer la recertification

Année 4 :

• Audit de recertification
• Nouveau cycle de 3 ans commence

Audits de surveillance

Recertification

Choisir un organisme de certification

Critères de sélection

Organismes d'accréditation

L'avantage Bastion

Processus de certification rationalisé

Bastion accélère chaque phase :

Ce que Bastion fournit

Prêt à démarrer votre parcours de certification ? Parlez à notre équipe →