Complade propose des ressources éducatives générales pour comprendre les exigences d’ISO/IEC 27001, le processus d’audit et les éléments de preuve attendus.
Commencer par les bases
Comprenez la démarche, puis consultez les exigences détaillées et les exemples de preuves ci-dessous.
Ces activités font partie du fonctionnement de votre SMSI. Préparez leurs résultats pour que l’auditeur puisse évaluer votre préparation à l’étape 2.
Un employé peut-il réaliser notre audit interne ISO 27001?
Oui, s’il possède les compétences nécessaires et peut rester objectif et impartial. Évaluez sa connaissance du SMSI, des activités examinées et des méthodes d’audit. Répartissez les tâches pour éviter que les personnes auditent leur propre travail et traitez les conflits d’intérêts. Une formation peut contribuer à la compétence, mais la participation seule ne la démontre pas. Une petite organisation peut faire appel à un auditeur interne externe indépendant. Complade ne réalise pas les audits internes de ses clients de certification.
Conservez les preuves de votre programme d’audit interne et des audits réalisés. Le programme définit la fréquence, les responsabilités et les modalités de rapport en tenant compte de l’importance des processus et des résultats antérieurs. Chaque audit doit avoir des critères et une portée définis. Conservez les résultats et les preuves de leur communication à la direction concernée et de leur suivi. Une autoévaluation ou un ensemble de politiques ne démontre pas à lui seul un audit interne. La clause 9.2 d’ISO/IEC 27001 traite des audits internes; ISO 19011 fournit des lignes directrices sur les méthodes.
La direction examine le SMSI à intervalles planifiés en utilisant les éléments d’entrée exigés par la clause 9.3 d’ISO/IEC 27001. Ils comprennent notamment les résultats d’audit et de surveillance, les changements touchant le SMSI, l’état de l’appréciation et du traitement des risques et les possibilités d’amélioration. Conservez les résultats de la revue, dont les décisions concernant les améliorations et les changements nécessaires au SMSI. Les éléments d’entrée et de sortie requis doivent être couverts, sans imposer une réunion distincte ni un modèle de compte rendu précis. Une invitation seule ne prouve pas ce qui a été examiné ou décidé.
ISO/IEC 27001 exige des informations documentées, dont certaines décrivent votre système et d’autres prouvent les activités réalisées. Le nombre de fichiers ou de politiques dépend de la manière dont vous les organisez et des besoins de votre SMSI. Les documents peuvent être regroupés ou conservés dans des outils adaptés, à condition d’être maîtrisés et accessibles. Préparez les informations exigées par la norme et celles nécessaires à votre organisation. Utilisez la liste de preuves du portail et le guide d’audit; un nombre de fichiers ne suffit pas à démontrer la conformité.
Oui. Vous pouvez présenter une demande et décrire votre état de préparation avant que tous les documents soient prêts. La demande ne confirme pas que vous êtes prêt pour la certification. Après l’examen de la portée et la signature des ententes, vous pouvez transmettre les documents de l’étape 1 au fur et à mesure. Le délai cible publié pour la première revue commence après réception du dossier complet requis et du paiement. L’étape 1 évalue la préparation à l’étape 2, notamment les audits internes et la revue de direction. Des activités manquantes ou inefficaces peuvent retarder la suite. Complade explique les exigences et les constats sans fournir de conseils de mise en œuvre.
Ces ressources doivent être utilisées avec l’édition applicable des normes ISO/IEC 27001 et ISO/IEC 27002. Elles fournissent des renseignements généraux et ne constituent pas des conseils de mise en œuvre adaptés à une organisation.
Pour préserver son impartialité, Complade ne fournit ni services-conseils, ni services de mise en œuvre, ni services d’audit interne.
Concepts fondamentaux des normes et du SMSI (système de management de la sécurité de l’information)
Clauses 4 à 10 d’ISO/IEC 27001
Mesures de contrôle organisationnelles de l’Annexe A
Mesures de contrôle relatives aux personnes
Mesures de contrôle physiques
Mesures de contrôle technologiques
Questions d’audit et éléments de preuve
Les lignes directrices détaillées relatives aux clauses 4 à 10 sont présentées ci-dessous en français canadien.
Les méthodes, documents, outils et fréquences présentés sont des exemples, pas des exigences supplémentaires de certification. Les preuves doivent refléter les pratiques réelles de votre organisation.
ISO 27001 : clause 4
Clause 4.1 : Compréhension de l’organisation et de son contexte
Exemples de mise en œuvre
Appliquer une analyse PESTEL (facteurs politiques, économiques, sociaux, technologiques, environnementaux et légaux) aux facteurs externes et une analyse FFOM (forces, faiblesses, opportunités et menaces) aux facteurs internes.
Documenter les flux d’information internes et les dépendances.
Réexaminer le contexte à intervalles planifiés et lors de changements pertinents.
Questions que les auditeurs peuvent poser
« Comment avez-vous déterminé les enjeux internes et externes qui influencent les résultats du SMSI (système de management de la sécurité de l’information)? »
« Comment les tendances technologiques et les changements réglementaires alimentent-ils la gestion des risques? »
Exemples de preuves d’audit
Matrice de contexte et analyses PESTEL (facteurs politiques, économiques, sociaux, technologiques, environnementaux et légaux) et FFOM (forces, faiblesses, opportunités et menaces).
Comptes rendus de la revue de direction portant sur le contexte.
Schémas d’architecture des systèmes et de circulation des données.
Exemple de réponse de l’audité
« Nous examinons systématiquement le contexte interne et externe au moyen d’une matrice combinant PESTEL (facteurs politiques, économiques, sociaux, technologiques, environnementaux et légaux) et FFOM (forces, faiblesses, opportunités et menaces). Les facteurs externes, comme les lois sur la protection des renseignements personnels et les tendances de sécurité infonuagique, sont mis en relation avec notre environnement technologique et nos ressources; les résultats alimentent directement notre évaluation des risques. »
Clause 4.2 : Besoins et attentes des parties intéressées
Exemples de mise en œuvre
Recenser les parties externes (autorités, clients et fournisseurs) et les parties internes (conseil, personnel et TI (technologies de l’information)).
Consigner les exigences légales et réglementaires obligatoires ainsi que les engagements contractuels volontaires.
Tenir compte des intérêts des acteurs malveillants susceptibles d’exploiter des faiblesses.
Questions que les auditeurs peuvent poser
« Quelles sont vos principales parties intéressées et quelles exigences de sécurité ont-elles? »
« Comment vous assurez-vous de respecter les engagements contractuels de sécurité envers les clients? »
Exemples de preuves d’audit
Matrice des parties intéressées ou registre des parties prenantes.
Ententes de niveau de service, accords de confidentialité et ententes de sécurité des fournisseurs.
Registre des exigences légales et réglementaires.
Exemple de réponse de l’audité
« Notre matrice des parties intéressées décrit les parties internes et externes. Les obligations légales sont suivies dans le registre de conformité, tandis que les exigences des clients proviennent des contrats et des ententes de niveau de service et sont traduites en mesures de contrôle dans la déclaration d’applicabilité. »
Clause 4.3 : Détermination de la portée du SMSI (système de management de la sécurité de l’information)
Exemples de mise en œuvre
Définir les limites physiques, logiques et organisationnelles.
Inclure les fonctions de soutien comme les RH (ressources humaines), les TI (technologies de l’information) et l’approvisionnement ainsi que les dépendances imparties.
Obtenir l’approbation formelle de la haute direction.
Questions que les auditeurs peuvent poser
« Quelles sont les limites physiques et techniques précises de votre SMSI (système de management de la sécurité de l’information)? »
« Certaines unités opérationnelles ou certains sites sont-ils exclus, et pourquoi? »
Exemples de preuves d’audit
Document de portée du SMSI (système de management de la sécurité de l’information) approuvé.
Déclaration d’applicabilité.
Topologie du réseau et emplacements physiques.
Exemple de réponse de l’audité
« Notre document de portée approuvé couvre l’infrastructure de production SaaS (logiciel en tant que service, accessible en ligne), les bureaux et les unités opérationnelles essentielles. Les interfaces, dépendances et relations avec les tiers sont cartographiées et couvertes dans la déclaration d’applicabilité. »
ISO 27001 : clause 5
Clause 5.1 : Leadership et engagement
Exemples de mise en œuvre
La haute direction démontre une prise en charge active du SMSI (système de management de la sécurité de l’information) et ne délègue pas sans surveillance.
La politique et les objectifs de sécurité concordent avec l’orientation stratégique.
Les exigences du SMSI (système de management de la sécurité de l’information) sont intégrées aux processus opérationnels.
Des ressources suffisantes, dont le budget, le personnel et la technologie, sont fournies.
Questions que les auditeurs peuvent poser
« Comment la haute direction démontre-t-elle son engagement actif envers le SMSI (système de management de la sécurité de l’information)? »
« Comment la sécurité de l’information est-elle intégrée aux activités de l’organisation? »
Exemples de preuves d’audit
Procès-verbaux du conseil ou de la direction approuvant la politique et le budget de sécurité.
Comptes rendus signés des revues de direction.
Budgets annuels de fonctionnement et d’immobilisations liés à la sécurité.
Exemple de réponse de l’audité
« La haute direction établit des objectifs de sécurité alignés sur les objectifs organisationnels, approuve les budgets, dirige les revues de direction prévues et communique activement l’importance de la sécurité. »
Clause 5.2 : Politique de sécurité de l’information
Exemples de mise en œuvre
Rédiger une politique générale adaptée à la finalité de l’organisation.
Inclure des engagements explicites à satisfaire aux exigences applicables et à poursuivre l’amélioration continue.
Fournir un cadre pour établir les objectifs de sécurité.
Faire approuver, publier et communiquer la politique et la rendre accessible aux parties intéressées.
Questions que les auditeurs peuvent poser
« Présentez la politique générale de sécurité et la preuve de son approbation par la direction. »
« Comment la politique est-elle communiquée au personnel et aux parties intéressées externes? »
Exemples de preuves d’audit
Politique approuvée avec historique des versions.
Preuves de publication dans l’intranet ou le portail, communications et attestations d’intégration.
Résumé public ou lien vers le centre de confiance.
Exemple de réponse de l’audité
« Notre politique est approuvée par la direction générale. Elle établit nos engagements de conformité et d’amélioration continue, sert de cadre aux objectifs, fait partie de l’accueil des employés et est accessible aux parties externes pertinentes. »
Clause 5.3 : Rôles, responsabilités et autorités
Exemples de mise en œuvre
Attribuer et communiquer les responsabilités et autorités liées à la sécurité.
Désigner la responsabilité de la conformité du SMSI (système de management de la sécurité de l’information) à ISO 27001.
Désigner la responsabilité de rendre compte du rendement du SMSI (système de management de la sécurité de l’information) à la haute direction.
Questions que les auditeurs peuvent poser
« Qui est responsable de la conformité du SMSI (système de management de la sécurité de l’information) et de la communication de son rendement à la direction? »
« Comment les responsabilités de sécurité sont-elles définies et communiquées entre les services? »
Exemples de preuves d’audit
Organigramme du SMSI (système de management de la sécurité de l’information) et matrice RACI (responsable, approbateur, consulté et informé).
Descriptions de poste comprenant les responsabilités de sécurité.
Lettres de désignation du responsable de la sécurité et du comité directeur.
Exemple de réponse de l’audité
« Les rôles sont définis dans notre matrice RACI (responsable, approbateur, consulté et informé) et nos descriptions de poste. Le responsable de la sécurité possède l’autorité explicite de maintenir la conformité et rend compte directement à la haute direction. »
ISO 27001 : clause 6
Clauses 6.1.1, 6.1.2 et 6.1.3 : Cadre de gestion des risques et des possibilités
Exemples de mise en œuvre
Traiter les risques et possibilités liés au contexte afin que le SMSI (système de management de la sécurité de l’information) produise les résultats prévus.
Définir des critères reproductibles d’évaluation des risques : impact, vraisemblance, confidentialité, intégrité, disponibilité et propriétaire.
Choisir un traitement (éviter, modifier, partager ou conserver), établir la déclaration d’applicabilité et obtenir l’acceptation des propriétaires.
Questions que les auditeurs peuvent poser
« Présentez votre méthode d’évaluation et expliquez le calcul des niveaux de risque. »
« Comment justifiez-vous l’exclusion de mesures de l’Annexe A dans la déclaration d’applicabilité? »
Exemples de preuves d’audit
Politique d’évaluation et de traitement des risques.
Registre des risques avec approbations des propriétaires.
Déclaration d’applicabilité avec justification des inclusions et exclusions.
Plan de traitement des risques approuvé.
Exemple de réponse de l’audité
« Nous appliquons une méthode d’impact et de vraisemblance sur une échelle de cinq par cinq. Chaque risque a un propriétaire, les traitements alimentent le plan de traitement et toutes les mesures retenues ou exclues sont justifiées dans la déclaration d’applicabilité. »
Clauses 6.2 et 6.3 : Objectifs de sécurité et planification des changements
Exemples de mise en œuvre
Établir des objectifs SMART (specific, measurable, achievable, relevant and time-bound) mesurables et alignés sur la politique; préciser quoi, qui, quelles ressources, quand et comment évaluer.
Apporter les changements au SMSI (système de management de la sécurité de l’information) de façon planifiée en évaluant les répercussions et les nouvelles responsabilités.
Questions que les auditeurs peuvent poser
« Comment mesurez-vous l’avancement vers les objectifs de sécurité? »
« Comment un changement organisationnel important a-t-il été évalué sous l’angle des risques avant sa mise en œuvre? »
Exemples de preuves d’audit
Registre des objectifs et plans d’action.
Procédure et formulaires de gestion des changements.
Évaluations préalables des risques et approbations après mise en œuvre.
Exemple de réponse de l’audité
« Nos objectifs SMART (specific, measurable, achievable, relevant and time-bound) sont confiés à des responsables, dotés de ressources et suivis trimestriellement. Les changements importants suivent un processus formel comprenant l’analyse des risques avant approbation. »
ISO 27001 : clause 7
Clauses 7.1 et 7.2 : Ressources et gestion des compétences
Exemples de mise en œuvre
Déterminer et affecter le budget, le personnel, l’infrastructure et les outils nécessaires.
Définir les compétences par rôle, évaluer les aptitudes, former ou recruter au besoin et mesurer l’efficacité de la formation.
Questions que les auditeurs peuvent poser
« Comment établissez-vous la compétence des personnes dont le rôle peut influencer la sécurité? »
« Comment mesurez-vous l’efficacité du programme de sensibilisation et de formation? »
Exemples de preuves d’audit
Budgets approuvés et plans d’effectifs.
Descriptions de poste, curriculum vitæ et certifications professionnelles.
Plans de formation, présences, résultats d’évaluation et suivis.
Exemple de réponse de l’audité
« Les compétences sont associées aux descriptions de poste. Les qualifications sont vérifiées à l’embauche, les besoins de formation sont traités annuellement et l’efficacité est confirmée par des évaluations et par les responsables. »
Clauses 7.3 et 7.4 : Sensibilisation et communications
Exemples de mise en œuvre
Former le personnel et les sous-traitants à la politique, à leur contribution et aux conséquences de la non-conformité.
Établir une matrice précisant quoi communiquer, quand, avec qui, comment et par qui.
Questions que les auditeurs peuvent poser
« Un membre du personnel choisi au hasard connaît-il la politique et sait-il où la trouver? »
« Qui est autorisé à communiquer à l’externe pendant une atteinte à la sécurité? »
Exemples de preuves d’audit
Journaux de formation, simulations d’hameçonnage et attestations de prise de connaissance.
Plan de communication du SMSI (système de management de la sécurité de l’information) et matrice des porte-parole autorisés.
Exemple de réponse de l’audité
« La sensibilisation commence à l’accueil et se poursuit par des conseils mensuels et des simulations d’hameçonnage. Notre matrice désigne les rôles et canaux autorisés pour les communications courantes et de crise. »
Clauses 7.5.1, 7.5.2 et 7.5.3 : Maîtrise des informations documentées
Exemples de mise en œuvre
Maintenir les documents obligatoires et les procédures opérationnelles nécessaires.
Appliquer des métadonnées normalisées (titre, auteur, date, version et identifiant) ainsi qu’un circuit d’approbation.
Protéger l’accès, la lisibilité, la conservation et l’élimination sécuritaire.
Questions que les auditeurs peuvent poser
« Comment vous assurez-vous que seules les versions approuvées sont offertes au personnel? »
« Présentez le calendrier de conservation et les preuves d’élimination sécuritaire. »
Exemples de preuves d’audit
Procédure de maîtrise documentaire et de conservation.
Index principal des documents et historique des versions.
Listes de contrôle d’accès et certificats de destruction.
Exemple de réponse de l’audité
« Les documents sont conservés dans une bibliothèque centralisée avec des droits stricts. Les modèles imposent les métadonnées, l’historique et l’approbation; les versions désuètes sont archivées conformément au calendrier de conservation. »
ISO 27001 : clause 8
Clause 8.1 : Planification opérationnelle, changements et fournisseurs
Exemples de mise en œuvre
Établir des critères pour les processus opérationnels, notamment les procédures, correctifs et flux d’accès.
Gérer les changements prévus et atténuer les conséquences des changements non intentionnels.
Maîtriser les processus impartis au moyen de contrats, d’ententes de service, de droits d’audit et de revues.
Questions que les auditeurs peuvent poser
« Présentez la preuve que les procédures de sécurité quotidiennes fonctionnent comme prévu. »
« Comment surveillez-vous les fournisseurs afin de confirmer le respect des exigences de sécurité? »
Exemples de preuves d’audit
Journaux système, approbations de billets et rapports de vérification des sauvegardes.
Procès-verbaux du comité des changements et demandes approuvées.
Évaluations des risques fournisseurs, rapports SOC 2 (System and Organization Controls 2, un rapport d’assurance sur les contrôles) et contrats.
Exemple de réponse de l’audité
« Les activités suivent des procédures approuvées et sont consignées dans le système de billets. Les changements sont évalués par le comité et les fournisseurs sont examinés périodiquement selon les exigences contractuelles. »
Clauses 8.2 et 8.3 : Exécution des évaluations et traitements des risques
Exemples de mise en œuvre
Réaliser les évaluations aux intervalles prévus et à la suite des changements ou incidents importants.
Mettre en œuvre les actions du plan de traitement et conserver les preuves des résultats.
Questions que les auditeurs peuvent poser
« Présentez le dernier rapport d’évaluation des risques et son calendrier. »
« Quelles preuves démontrent que les traitements prévus ont été mis en œuvre? »
Exemples de preuves d’audit
Rapports d’évaluation achevés et registres mis à jour.
Journal d’avancement du plan de traitement.
Acceptation formelle des risques résiduels par leurs propriétaires.
Exemple de réponse de l’audité
« Nous réalisons des évaluations annuelles et des évaluations ponctuelles déclenchées par les changements. Les actions sont suivies dans le plan de traitement et les preuves techniques sont vérifiées avant l’acceptation du risque résiduel. »
ISO 27001 : clause 9
Clause 9.1 : Surveillance, mesure, analyse et évaluation
Exemples de mise en œuvre
Définir les besoins d’information et suivre les indicateurs de rendement et d’efficacité.
Séparer clairement les rôles de collecte et d’évaluation afin d’obtenir des résultats valides et reproductibles.
Questions que les auditeurs peuvent poser
« Comment mesurez-vous l’efficacité réelle des mesures de sécurité? »
« Présentez le tableau de bord des indicateurs et les rapports de tendance. »
Exemples de preuves d’audit
Cadre de surveillance et de mesure du SMSI (système de management de la sécurité de l’information) et registre des indicateurs.
Tendances des incidents, conformité aux niveaux de service et mesures de correction.
Exemple de réponse de l’audité
« Nous suivons les indicateurs de rendement, comme les délais de correction, et les indicateurs d’efficacité, comme les délais d’intervention et les taux d’hameçonnage. Les résultats alimentent les revues de direction. »
Clauses 9.2 et 9.3 : Programme d’audit interne et revue de direction
Exemples de mise en œuvre
Mener des audits internes fondés sur les risques avec des auditeurs compétents et indépendants, puis suivre les actions correctives.
Tenir des revues de direction planifiées couvrant toutes les données d’entrée obligatoires et consigner les décisions.
Questions que les auditeurs peuvent poser
« Présentez le programme d’audit interne pluriannuel et le dernier rapport. »
« Fournissez les comptes rendus signés démontrant la participation de la haute direction. »
Exemples de preuves d’audit
Calendrier, plans et rapports d’audit ainsi que preuves d’indépendance.
Ordres du jour, comptes rendus signés et suivi des actions de la revue de direction.
Exemple de réponse de l’audité
« Notre programme pluriannuel fait appel à des auditeurs indépendants. Les constats et leur traitement sont présentés à la haute direction, qui consigne ses décisions relatives aux ressources et aux améliorations. »
ISO 27001 : clause 10
Clauses 10.1 et 10.2 : Amélioration continue, non-conformités et actions correctives
Exemples de mise en œuvre
Améliorer continuellement la pertinence, l’adéquation et l’efficacité du SMSI (système de management de la sécurité de l’information).
Appliquer immédiatement une correction ou un confinement lorsqu’une non-conformité survient.
Effectuer une analyse de cause fondamentale, mettre en œuvre une action corrective durable et vérifier son efficacité.
Questions que les auditeurs peuvent poser
« Comment distinguez-vous une correction immédiate d’une action corrective à long terme? »
« Présentez la preuve d’une revue impartiale confirmant qu’une action a empêché la récurrence. »
Exemples de preuves d’audit
Registre d’amélioration continue et journal des possibilités.
Registre des non-conformités et analyses des causes, par exemple les cinq pourquoi ou le diagramme d’Ishikawa.
Plans d’actions correctives et vérifications d’efficacité après correction.
Exemple de réponse de l’audité
« Lorsqu’une non-conformité est consignée, nous appliquons d’abord le confinement. Nous analysons ensuite la cause fondamentale et mettons en œuvre un plan durable. Après 60 à 90 jours, une évaluation impartiale confirme si la cause a été éliminée. »
Annexe A : 93 mesures de contrôle
Cet index emploie une terminologie française cohérente pour les 93 mesures d’ISO/IEC 27001:2022. Les explications détaillées sont actuellement offertes en anglais; chaque mesure mène à sa section. Ces ressources ne remplacent pas le texte officiel de la norme.
Utilisez ces guides pendant votre préparation. Une demande gratuite vous permet de décrire votre portée et votre état de préparation; elle ne vous engage pas à réserver un audit. Si vous avez déjà présenté une demande, mettez-la à jour dans le portail lorsque vos renseignements sont prêts.
Les 93 mesures sont maintenant répertoriées en français. La traduction contrôlée des consignes de mise en œuvre, des questions d’audit, des éléments de preuve et des exemples de réponse se poursuit. La version anglaise intégrale demeure accessible au moyen du sélecteur EN.
Guide de préparation à l’audit ISO 27001 | Complade
