Évaluation d'écart ISO 27001 : étapes et livrables

Une évaluation d'écart ISO 27001 compare vos contrôles et vos documents existants aux exigences de la norme et à l'ensemble de l'Annexe A, puis remet une feuille de mise en conformité priorisée. Elle prépare une entreprise à un audit de certification : ce n'est ni un certificat, ni une promesse qu'un certificat suivra.

Qu'est-ce qu'une évaluation d'écart ISO 27001 ?

ISO/IEC 27001 est la norme internationale relative au système de management de la sécurité de l'information (SMSI) : un ensemble documenté de politiques, de processus et de contrôles fondés sur le risque, que l'on entretient et améliore en continu plutôt qu'on n'installe une seule fois. La certification est délivrée par un organisme de certification accrédité à l'issue de ses propres audits ; la norme elle-même s'achète auprès de l'ISO, et ce sont ses exigences que toute évaluation mesure.

Une évaluation d'écart répond avec franchise à une seule question : à quel point l'organisation est-elle éloignée du respect de ces exigences aujourd'hui ? Elle examine ce qui existe — documents, pratiques réelles, configuration technique — et consigne les différences sous forme de constats, confrontés aux articles de la norme (les articles 4 à 10 portent les exigences du système de management) et à l'ensemble des contrôles de l'Annexe A, qui compte 93 contrôles de référence groupés par thème dans la version 2022.

Trois précisions qui évitent bien des malentendus par la suite :

• C'est un exercice de préparation, pas un audit. Aucune accréditation, aucune décision de certification, aucune non-conformité officielle dotée d'un numérotage d'organisme de certification. Ce qui en sort est un plan de travail.


• Le périmètre se choisit, il ne s'impose pas. ISO 27001 n'exige pas de certifier toute l'organisation : le périmètre peut être une unité métier, un site, une ligne produit ou un ensemble de systèmes, à condition que la frontière soit définie et justifiée. La plupart des entreprises délimitent d'abord étroitement — une décision qui divise par deux le coût de l'évaluation et celui de la certification, et qui mérite d'être tranchée avant que quiconque ne relise un seul document.


• C'est honnête sur les preuves. Un document qui dit une chose et une pratique qui en fait une autre sont consignés tels quels, parce que l'auditeur de certification trouvera la même différence plus tard, à un pire moment.

Le déroulé de l'évaluation

Les six étapes ci-dessous décrivent ce à quoi ressemble une évaluation qui fonctionne. La colonne « livrable » est le point du tableau : chaque étape doit produire un artefact que l'on conserve, pas une impression :

Tableau A : étape | ce qui se passe | livrable

Une note sur la méthode : la norme ne prescrit pas la façon dont une évaluation d'écart se conduit, donc les prestataires diffèrent. Ce qui sépare une évaluation utile d'une évaluation coûteuse, c'est la discipline de preuve — des constats rattachés à quelque chose qu'un auditeur de certification pourrait re-vérifier — et le registre qui est tenu ensuite. Les questions de gouvernance et d'audit liées au volet sécurité sont traitées sur la page d'audit et de conseil IT, et le contexte plus large de la sécurisation de l'infrastructure derrière le SMSI figure sur la page d'infrastructure numérique.

Les livrables

Quatre artefacts définissent une évaluation sérieuse. Si une proposition n'en nomme pas les quatre, demandez pourquoi :

1. Le rapport d'analyse des écarts. Le récit : périmètre examiné, méthode, constats par article et par domaine de contrôle, et une synthèse qu'un directeur général peut lire en dix minutes. Le rapport explique les différences ; il ne se contente pas de les énumérer.


2. Le registre des écarts. La base de travail : chaque constat avec sa référence d'article ou d'Annexe A, son état, sa gravité et sa priorité. C'est sur ce registre que le projet vit ensuite — il transforme le rapport, simple conseil, en un backlog doté de responsables.


3. La feuille de mise en conformité. Les constats ordonnés en plan : ce qui doit exister avant l'audit de phase 1, ce qui relève des premiers mois du SMSI, et ce qui peut attendre. L'ordre respecte les dépendances — on ne peut pas revoir les accès chaque trimestre tant que les listes d'accès n'existent pas.


4. Un projet de déclaration d'applicabilité (DDA). Le document qui liste chaque contrôle de l'Annexe A, indique s'il est applicable et pourquoi, et décrit comment il est mis en œuvre. Un projet de DDA préparé pendant l'évaluation fait gagner plus de temps que tout autre livrable au projet de certification, car l'alternative consiste à rédiger 93 décisions sur une page blanche, sous la pression du calendrier.

Ce que l'évaluation n'est pas

Être précis sur ce point évite bien des disputes :

• Ce n'est pas un certificat. Seul un organisme de certification accrédité, travaillant selon ISO/IEC 17021 et sa propre accréditation, peut certifier un SMSI. Une évaluation est un travail de conseil ; ses constats n'ont aucune valeur auprès d'un organisme de certification, et aucun résultat d'évaluation ne garantit la certification — une organisation peut réussir son évaluation puis échouer à son audit de phase 2 sur des constats que l'auditeur développe de façon indépendante.


• Ce n'est pas un audit interne. La norme exige des audits internes et une revue de direction dans le cadre du fonctionnement du SMSI ; ce sont des obligations internes au système, exécutées plus tard, et l'évaluation est le travail qui vous mène au point où elles peuvent avoir lieu.


• Ce n'est pas un test de sécurité. L'échantillonnage de la configuration en fait partie ; un test d'intrusion ou un audit technique complet constitue une mission distincte, de périmètre et de profondeur différents.


• Ce n'est pas un avis juridique. ISO 27001 et le droit de la protection des données se recoupent mais sont des instruments distincts — voir les questions fréquentes ci-dessous — et ni l'évaluation ni son rapport ne remplacent l'avis d'un conseil juridique ou en protection des données qualifié.


• Ce n'est pas une promesse de certification. Tout prestataire qui laisse entendre une certification garantie, annonce un taux de réussite ou suggère une relation avec l'organisme de certification — lequel décide en toute indépendance — doit être considéré comme un signal d'alarme, non comme un argument commercial. L'indépendance est le produit.

Se préparer à l'audit de certification

La vraie valeur de l'évaluation apparaît dans le projet de certification qui suit. Voici comment les deux se rejoignent :

• La phase 1 contrôle la documentation et le périmètre : l'énoncé de périmètre du SMSI, l'appréciation et le traitement des risques, les politiques, la déclaration d'applicabilité, les enregistrements d'audit interne et de revue de direction. La plupart des constats de phase 1 portent sur des documents manquants ou périmés, ce qui est exactement ce que la revue documentaire et le projet de DDA de l'évaluation produisent.


• La phase 2 contrôle la mise en œuvre et la pratique : les contrôles fonctionnent-ils comme documenté, échantillonnés sur l'ensemble du périmètre ? Le travail d'entretiens et de vérifications techniques de l'évaluation répète cet exercice — une équipe qui a déjà répondu aux questions sur ses revues d'accès et la gestion des incidents le fait calmement pendant l'audit.


• La surveillance et la périodicité suivent la certification : la feuille de route doit donc bâtir un système en fonctionnement, pas un ensemble de documents — des revues d'accès qui se répètent, des incidents qui sont enregistrés, des formations qui sont tracées, des sauvegardes qui sont restaurées et testées. Un SMSI construit pour passer un seul audit s'effondre dès la première surveillance.

Écarts les plus fréquents

Les constats qui reviennent d'une PME à l'autre, dans un ordre approximatif de fréquence :

• Inventaire des actifs. Aucune liste à jour des systèmes, des équipements et des données avec leurs responsables. Presque tous les autres contrôles dépendent de la connaissance de ce qui existe, ce qui explique que cet item ouvre presque toujours la feuille de route.


• Méthode d'appréciation des risques. Absente, ou héritée d'un modèle sans justification organisationnelle ; l'auditeur de certification demande comment les risques ont été identifiés et traités, et « c'est le consultant qui l'a écrit » n'est pas une réponse qui passe.


• Gestion des fournisseurs. Aucun registre des fournisseurs qui touchent aux données de l'entreprise, aucune exigence de sécurité dans leurs accords, aucun cycle de revue. Pour les entreprises qui travaillent avec des partenaires de développement, cet écart se pose directement sur les questions contractuelles traitées sur la page d'externalisation informatique.


• Revue des accès. Des comptes ouverts à l'embauche et jamais révisés ; des collaborateurs partis retrouvés dans les listes d'accès ; des droits d'administration détenus par des personnes ayant quitté le poste. Des revues qui existent sur le papier mais sans enregistrements forment la moitié d'un constat.


• Gestion des incidents. Aucun processus défini, aucune liste de contacts, aucun enregistrement des incidents survenus. Les incidents que l'entreprise a oubliés d'avoir eus sont ceux qui deviennent des constats à l'audit.


• Sensibilisation. Une slide d'intégration en one-shot à la place d'un programme récurrent avec enregistrements. La norme demande si les personnes sont conscientes de leurs obligations ; une liste de présence datée répond à cette question.


• Test des sauvegardes. Des sauvegardes configurées et jamais restaurées. Une restauration jamais tentée est un contrôle non testé, et la vérification technique de l'évaluation demande en général la preuve d'une restauration plutôt qu'une capture d'écran d'un planning.

Comment choisir un prestataire

Trois questions séparent une évaluation rigoureuse d'une revue coûteuse :

• L'indépendance. L'évaluateur ne doit avoir aucun intérêt dans la décision de certification — les évaluateurs ne certifient pas, les organismes de certification le font, et un prestataire qui promet les deux décrit un conflit d'intérêts, pas un service. L'indépendance couvre aussi l'absence de produit à vendre par l'évaluateur ensuite : une évaluation qui recommande votre plateforme est un document commercial avec des constats en annexe.


• La méthode. Demandez la méthode avant la proposition : comment le périmètre est convenu, comment les constats sont notés, quelles preuves sont exigées par domaine de contrôle, et quels livrables sont remis. Une méthode écrite à l'avance est ce qui rend les constats défendables devant un auditeur de certification plus tard.


• Le rapport type. Le meilleur test qui soit. Un registre des écarts anonymisé et un rapport montrent exactement ce que vous recevrez : les constats sont-ils rattachés à des articles avec preuves à l'appui, les gravités sont-elles argumentées, et la feuille de route est-elle une séquence ou une liste de souhaits ?

Questions fréquentes

Combien de temps dure une évaluation d'écart ?

Cela dépend du périmètre, et quiconque annonce une durée avant la définition du périmètre mise sur l'aveugle. Les facteurs sont la taille du périmètre — nombre d'implantations, de systèmes et de processus dans la frontière —, l'état de la documentation et le nombre de personnes à entretenir. Un périmètre mono-département avec des politiques existantes est une mission très différente d'un périmètre multi-sites qui part de rien ; la réponse honnête vient après l'échange de cadrage, par écrit.

Faut-il ISO 27001 pour vendre ?

Le plus souvent, il s'agit d'une exigence client plutôt que légale : appels d'offres, grands comptes et acheteurs réglementés demandent de plus en plus la certification, notamment dans le logiciel et les services. La réponse pratique consiste à examiner votre propre pipeline — si deux prospects sérieux l'ont demandé, le cas d'usage existe ; si aucun ne l'a fait, l'argument repose sur la réduction des risques et non sur le chiffre d'affaires. La norme n'exige pas de certifier toute l'organisation : une certification restreinte peut servir en priorité la partie de l'entreprise en contact avec le client.

Qu'est-ce que la déclaration d'applicabilité ?

Le document qui liste chaque contrôle de l'Annexe A, indique s'il est applicable à votre périmètre et pourquoi, et décrit comment il est mis en œuvre. La norme l'exige et l'organisme de certification le examine ; c'est aussi l'artefact le plus rentable à préparer tôt, car il force les décisions de contrôle à être écrites une fois pour toutes, et non sous la pression de l'audit. Un projet de DDA figure parmi les quatre livrables de l'évaluation.

Comment note-t-on les écarts ?

Par gravité et priorité, la gravité étant rattachée au risque pour l'organisation et non à la place du contrôle dans la norme. Une notation utilisable s'explique elle-même : ce qui pourrait se passer si l'écart persiste, qui ou quoi est exposé, et ce qu'il faut pour le combler. Des notations qui se contentent de classer les éléments en « haut / moyen / bas » sans raisons produisent des disputes plus tard ; des notations assorties d'une justification écrite produisent une feuille de route que l'on suit.

Une évaluation d'écart peut-elle remplacer un audit ?

Non. L'audit interne et la revue de direction sont des obligations à l'intérieur du SMSI, et l'audit de certification appartient à un organisme de certification accrédité. Une évaluation d'écart précède les deux et aide aux deux, mais elle n'a aucune valeur d'audit — c'est bien la phrase « ce n'est pas un certificat » évoquée plus haut, et tout prestataire qui la brouille devrait être invité à la préciser par écrit.

Couvre-t-elle la KVKK ou le RGPD ?

Se recoupent en partie, sans être la même chose. ISO 27001 est une norme de système de management pour la sécurité de l'information et n'aborde la protection des données que là où les contrôles de sécurité protègent des données à caractère personnel ; la KVKK et le RGPD établissent des obligations légales — base licite, droits des personnes concernées, notification de violation, règles de transfert — qu'un SMSI peut soutenir mais ne satisfait pas à lui seul. Beaucoup d'entreprises pilotent les deux programmes avec des artefacts partagés, et les questions juridiques restent chez un conseil qualifié ; les obligations KVKK/RGPD relatives aux prestataires et à l'hébergement sont traitées sur la page d'externalisation informatique.

Sources et normes

• La norme elle-même est ISO/IEC 27001, publiée par l'ISO (https://www.iso.org) ; les exigences évaluées sont les articles 4 à 10 et l'ensemble des contrôles de l'Annexe A, qui compte 93 contrôles de référence dans la version 2022. La certification est réalisée par des organismes de certification accrédités opérant sous ISO/IEC 17021 ; cette page ne formule aucune affirmation de certification d'aucune sorte.
• Les énoncés concernant le processus, les livrables et les écarts courants suivent la pratique des professionnels en matière d'évaluation d'écart (définition du périmètre, revue documentaire, entretiens, échantillonnage technique, registre des écarts noté par gravité, feuille de mise en conformité, projet de déclaration d'applicabilité) ; aucune durée, aucun coût ni taux de réussite n'apparaît sur cette page.
• Les énoncés sur le processus de certification (audit documentaire de phase 1, audit de mise en œuvre de phase 2, surveillance) suivent le cadre de certification publié par la norme ; vérifiez les règles en vigueur auprès de l'organisme de certification que vous choisissez.
• Aucune affirmation selon laquelle WorldwideTradeX serait certifiée ou accrédité ISO 27001, ni aucune garantie de certification, n'apparaît sur cette page ; les obligations de protection des données sont citées, non interprétées — vérifiez le régime applicable auprès d'un conseil qualifié.

Pages associées

Audit et conseil IT · Infrastructure numérique · Externalisation informatique depuis la Türkiye · Liste de contrôle pour les appels d'offres · Demander un devis