ISO/IEC 27001 (SMSI)
ISO 27001 · ISO/IEC 27001:2022 · SMSI · ISMS · système de management de la sécurité de l’information · ISO 27002 · annexe A
Norme internationale qui fixe les exigences d’un système de management de la sécurité de l’information (SMSI) et permet de faire certifier sa démarche par un organisme indépendant.
En pratique
La version en vigueur est l’ISO/IEC 27001:2022, complétée par un amendement de 2024 sur le changement climatique ; les certificats selon la version 2013 ne sont plus valables depuis le 31 octobre 2025. La norme impose une démarche d’amélioration continue : définir le périmètre, apprécier les risques, choisir et appliquer des mesures, mesurer, corriger. Son annexe A liste 93 mesures réparties en quatre thèmes (organisationnelles, humaines, physiques, technologiques), détaillées dans l’ISO/IEC 27002 ; une déclaration d’applicabilité justifie celles qui sont retenues ou écartées. Le certificat, valable trois ans avec des audits de surveillance annuels, est souvent exigé dans les appels d’offres B2B.
Cas fictif : un éditeur SaaS de 60 personnes perd deux appels d’offres faute de certification. Il retient un périmètre réaliste (sa plateforme et son support), mène son analyse de risques et obtient la certification en onze mois auprès d’un organisme accrédité.
