Prêts pour la certification — et un SMSI qui résiste au contact d’un attaquant.

Une norme est une liste de choses qui devraient être vraies. Elle ne les rend pas vraies. ISO 27001 certifie le système qui les maintient vraies — le système de management de la sécurité de l’information (SMSI) — et la distance entre « nous avons rédigé la politique » et « le contrôle fonctionne, quelqu’un en est responsable et nous pouvons le prouver n’importe quel jour » est l’endroit où vivent discrètement la plupart des projets de préparation. C’est aussi exactement la distance qu’exposent l’échantillonnage d’un auditeur, le questionnaire d’un client grand compte ou un incident réel.

Un SMSI qui tient repose sur cinq choses, et aucune n’est le document de politique. Un périmètre qui reflète ce que vous faites réellement et les actifs qui comptent. Un traitement du risque que quelqu’un a décidé, consigné et dont il est responsable. Des contrôles dotés de noms, et non de « l’équipe ». Des preuves produites comme sous-produit du travail normal plutôt que reconstituées sous l’échéance. Et une cadence de management — audit interne, revue de direction, action corrective — qui tourne, qu’un audit soit prévu ou non. Nous construisons ces éléments d’abord ; la déclaration d’applicabilité et le jeu de politiques en découlent, et non l’inverse.

Chaque mission se déroule de la même manière, calibrée sur votre situation actuelle :

Examiner le SMSI et les preuves en place. Nous évaluons ce que vous avez réellement — périmètre, traitement du risque, contrôles, propriété et les preuves qui les étayent — au regard d’ISO 27001:2022, et renvoyons une image honnête de la distance jusqu’à la certifiabilité.

Identifier les écarts de préparation à l’audit. Nous repérons où un auditeur soulèverait une non-conformité, en séparant les écarts majeurs qui bloquent la certification des mineurs qui ne la bloquent pas.

Prioriser les écarts par le risque métier et de sécurité. Nous classons les écarts selon ce qu’ils exposent réellement, pour qu’un calendrier contraint referme d’abord les risques qui comptent — et ceux qui bloquent le certificat — avant les écarts cosmétiques.

Construire le modèle de preuve et la propriété. Nous mettons en place la manière dont la preuve est produite et tenue à jour, attribuons un responsable à chaque contrôle, et montrons à votre équipe comment faire tourner la routine pour que rien ne soit reconstruit avant chaque audit.

Préparer la direction aux échanges avec l’auditeur. Nous préparons vos dirigeants à ce que l’auditeur demandera, à ce que disent les preuves et aux réserves honnêtes — y compris la revue de direction et l’audit interne qu’ils doivent personnellement assumer.

Ceci s’inscrit dans notre pratique plus large de conseil GRC, pour que là où ISO 27001 recoupe vos travaux SOC 2 ou NIS 2, les preuves soient réutilisées plutôt que reconstruites. Vous pouvez lire le cycle complet sur notre page méthodologie.

Nous vous rendons prêts et, si vous le souhaitez, nous vous maintenons prêts à travers les audits de surveillance et la recertification. Nous ne sommes pas un organisme de certification et nous ne délivrons pas de certificats — pour ISO 27001, cela relève d’un organisme certificateur accrédité, indépendant des personnes qui vous ont aidés à vous préparer. Rester en dehors de l’audit est précisément l’intérêt : c’est ce qui nous permet d’être francs avec vous sur votre situation réelle.

Si vous le souhaitez, nous pouvons vous orienter vers des organismes accrédités, mais le choix et l’évaluation leur appartiennent. Ce que nous apportons, c’est la préparation, les preuves et la mise en œuvre concrète — transformer les exigences de la norme en contrôles, les contrôles en preuves, et les preuves en un système que votre équipe peut faire tourner longtemps après que le certificat est au mur.