ISO 27001 est la norme internationale qui fixe les exigences d'un système de management de la sécurité de l'information, souvent abrégé SMSI. La version en vigueur est ISO/IEC 27001:2022, troisième édition de la norme, complétée par l'amendement ISO/IEC 27001:2022/Amd 1:2024. Elle ne décrit pas des outils : elle décrit un cadre de management que l'entreprise doit pouvoir démontrer.
La liste de vos clients, les contrats signés, les factures, les accès de vos collaborateurs, les dossiers de vos patients : tout cela existe sous forme d'information, et cette information court trois risques à la fois. Elle peut fuir, être modifiée à votre insu, ou vous manquer au moment où une opération en a besoin. ISO 27001 sert à traiter ces risques de façon ordonnée, et à le démontrer.
ISO 27001 : la version en vigueur est celle de 2022
Première édition en 2005, seconde en 2013, troisième en 2022 : chaque révision a surtout réécrit l'Annexe A, la liste des mesures de sécurité. L'amendement Amd 1:2024 a ensuite précisé certaines exigences de cette annexe. Les organismes certificateurs fixent des calendriers de transition : les certificats délivrés sur l'ancienne version doivent basculer dans un délai donné. Un projet qui démarre aujourd'hui se construit sur l'édition 2022.
Un point mérite d'être dit clairement : la norme ne vous dit pas comment sécuriser votre système d'information. Elle dit ce qu'il faut mettre en place, mesurer, revoir et prouver. Les choix techniques découlent de votre analyse de risques, et deux entreprises de taille égale peuvent aboutir à deux dispositifs différents sans que l'une soit plus conforme que l'autre.
Un SMSI : ce que la norme exige réellement
Le système de management de la sécurité de l'information tient dans un cycle : on délimite le périmètre, on évalue les risques, on les traite par des mesures, on mesure l'effet, on corrige. Les exigences se lisent dans les clauses 4 à 10 de la norme : contexte de l'entreprise, leadership, planification, support, exploitation, évaluation des performances, amélioration.
Le corpus attendu ressemble à ceci : une politique de sécurité approuvée par la direction, une méthode d'analyse des risques écrite, un plan de traitement, une déclaration d'applicabilité qui justifie les mesures retenues et écartées, des indicateurs de suivi, un audit interne régulier, une revue de direction. Rien de spectaculaire, mais tout doit exister et être tenu à jour. Un SMSI que personne ne relit pendant deux ans ne résiste pas à un audit.
Confidentialité, intégrité, disponibilité : la brique de départ
La sécurité de l'information tient à trois propriétés. Confidentialité : seuls ceux qui doivent lire l'information la lisent. Intégrité : elle reste exacte et traçable dans le temps. Disponibilité : elle est présente quand une opération en a besoin. Une base clients qui fuite trahit la première, une facture modifiée dans un tableur partagé trahit la seconde, un service en panne lors d'un pic de commandes trahit la troisième.
L'analyse de risques suit une logique simple : quels sont vos actifs, quelles menaces pèsent sur eux, quelles vulnérabilités les laissent aboutir, quel impact si elles aboutissent. Chaque risque reçoit un traitement : accepter, réduire, transférer ou éviter. Le budget de sécurité se décide sur cette base, et non au gré de la dernière attaque relayée par la presse.
Les 93 contrôles de l'Annexe A, en quatre thèmes
En 2013, l'Annexe A listait 114 contrôles répartis en 14 domaines. En 2022, on compte 93 contrôles, regroupés en quatre thèmes. Onze d'entre eux sont nouveaux, dont la veille sur les menaces, la sécurité des services cloud, la gestion des configurations, la prévention des fuites, le filtrage web ou le développement sécurisé.
Cette annexe sert d'outil de vérification, pas de checklist à appliquer en bloc. La clause 6.1.3 de la norme demande de sélectionner les contrôles qui traitent vos risques, puis de confronter cette sélection à l'Annexe A pour éviter les oublis, et de justifier chaque décision dans la déclaration d'applicabilité.
| Thème | Plage | Nombre | Exemples de contrôles |
|---|---|---|---|
| Organisationnel | A.5.1 à A.5.37 | 37 | Politiques, inventaire des actifs, gestion des accès, fournisseurs, gestion des incidents |
| Humain | A.6.1 à A.6.8 | 8 | Vérification des antécédents, clause de confidentialité, sensibilisation, télétravail |
| Physique | A.7.1 à A.7.14 | 14 | Périmètres, surveillance, protection des équipements, media hors site |
| Technologique | A.8.1 à A.8.34 | 34 | Privilèges, journalisation, cryptographie, sauvegardes, sécurité des réseaux |
Au Maroc : la loi 09-08 et les exigences du marché
La loi 09-08 du 18 février 2009 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel s'applique à toute structure qui traite des données personnelles au Maroc. Elle impose au responsable du traitement de garantir la sécurité et la confidentialité des traitements, par des mesures physiques et logiques appropriées, et d'encadrer ses sous-traitants par contrat. Les traitements doivent être notifiés à la Commission nationale de contrôle de la protection des données à caractère personnel, la CNDP, et certains relèvent d'une autorisation préalable. Les sanctions figurent au chapitre VII de la loi.
ISO 27001 ne remplace pas cette démarche, il la soutient. Là où la loi 09-08 exige des mesures de sécurité appropriées et leur preuve, un SMSI apporte la documentation, la traçabilité et le cycle d'amélioration qui la démontre. Voilà pourquoi les banques, les établissements de santé et les prestataires qui vendent à l'étranger avancent sur ISO 27001.Un tel projet se porte au nom d'une entité juridique précise : périmètre, contrats, responsabilité. La façon dont votre société est constituée détermine qui signe, qui s'engage et qui supporte le coût. SARL, SAS ou société anonyme, le choix de la structure fait l'objet d'une fiche dédiée : choisir son statut juridique.
Ce que ISO 27001 partage avec ISO 9001
ISO 9001 et ISO 27001 suivent la même structure de haut niveau, définie dans l'Annexe SL, avec les mêmes exigences de contexte, de direction et d'amélioration continue. Une entreprise déjà engagée sur la qualité possède une partie du socle : maîtrise documentaire, audits internes, revue de direction et traitement des non-conformités se réutilisent tels quels.
Les objets diffèrent pourtant. ISO 9001 porte sur la satisfaction client et la maîtrise des processus de production ou de service ; ISO 27001 porte sur la protection de l'information et part de l'analyse des risques. Un certificat ISO 9001 ne dit rien de la sécurité de vos données, et l'inverse est vrai aussi. Les deux se combinent en système intégré, à condition de ne pas confier la sécurité au seul responsable qualité, souvent déjà à plein temps. Le détail se lit dans la fiche consacrée à l'ISO 9001 qualité.
Questions fréquentes
Combien de temps faut-il pour construire un SMSI conforme ?
Aucun chiffre ne vaut pour toutes les entreprises. Le délai dépend du périmètre retenu, du nombre de sites et de l'état de départ. Le projet s'ouvre par une analyse d'écart, se poursuit par plusieurs mois de construction du système, puis par l'audit. Le certificat obtenu est délivré pour trois ans, avec des visites de surveillance périodiques dans l'intervalle.
La certification ISO 27001 dispense-t-elle de déclarer ses traitements à la CNDP ?
Non. La certification porte sur le système de management ; les obligations de la loi 09-08, notification des traitements, information des personnes, encadrement des sous-traitants, restent dues. Un SMSI facilite la réponse aux demandes de la CNDP puisqu'il produit les documents et les preuves attendus, mais il ne dispense d'aucune formalité.
Faut-il des outils coûteux pour commencer ?
Non. La norme n'impose aucun outil particulier : elle exige que les risques identifiés soient traités. La gestion des accès, une politique de mots de passe, des sauvegardes vérifiées et une sensibilisation régulière couvrent déjà une part sérieuse des risques, et coûtent surtout du temps de management. Les contrôles techniques viennent ensuite, quand l'analyse de risques les justifie.
En résumé
ISO 27001 ne sécurise rien par elle-même : elle oblige à savoir quels risques on prend, quels moyens on y consacre, et à le démontrer quelques mois plus tard. Pour une entreprise marocaine qui traite des données de clients, elle sert de pont entre une exigence légale, la loi 09-08 et la CNDP, et une exigence commerciale : banques, donneurs d'ordre, clients à l'export. La version 2022, avec ses 93 contrôles en quatre thèmes, présente un cadre plus court et plus lisible qu'en 2013, sans rien abandonner.
Quelles informations, si elles quittaient votre entreprise demain matin, vous causeraient le plus de tort ?
