ISO 27001 s’impose aujourd’hui comme le socle de référence dont s’inspirent largement d’autres cadres réglementaires, DORA, NIS2 (dont nous avons déjà détaillé l’articulation avec ISO 27001) ou le Cyber Resilience Act.
Mais au-delà de la norme elle-même, ce sont souvent les mêmes non-conformités qui reviennent, audit après audit, chez les organisations qui s’y confrontent pour la première fois. Ces observations sont issues d’un webinaire consacré au sujet, dont le replay complet est disponible ici.
Voici les cinq points qui posent le plus régulièrement problème, et pourquoi.
Un contexte et des parties prenantes insuffisamment posés
Le premier chapitre normatif porteur d’exigences concerne le contexte de l’organisation, et c’est aussi l’un des points les plus souvent relevés en audit. Beaucoup d’organisations engagent leur démarche ISO 27001 sans avoir formellement identifié leurs enjeux internes et externes, ni cartographié les parties prenantes et leurs attentes respectives.
Le résultat prend souvent la forme d’un audit où les parties intéressées ont bien été listées, mais où leurs attentes concrètes en matière de sécurité restent implicites, jamais couchées noir sur blanc. Un collaborateur attend un environnement de travail sécurisé et le respect de ses données personnelles. Un sous-traitant est censé respecter les clauses contractuelles qui le lient à vous. Une autorité de régulation impose des obligations précises, comme le dépôt annuel d’un registre des sous-traitants et des incidents dans le cadre de DORA.
Ce sont des attentes réelles, mais elles doivent être documentées pour exister aux yeux de l’auditeur. Sans cette analyse, les interfaces et les dépendances avec l’écosystème restent floues, et les objectifs de sécurité définis plus loin dans la démarche reposent sur des bases fragiles.
Une analyse de risques déconnectée du terrain
L’analyse de risques est un autre foyer récurrent de non-conformités. La norme n’impose aucune méthodologie particulière : EBIOS RM, MEHARI, une grille propre à un secteur d’activité ou un référentiel construit en interne conviennent tous, à condition d’être documentés et appliqués avec constance.
Ce qui pose problème, c’est plutôt une analyse trop générique pour être pertinente parce qu’elle ignore les enjeux et les parties prenantes identifiés par ailleurs, ou une analyse qui n’a simplement pas été révisée depuis plusieurs années alors que l’organisation, elle, a changé.
Le plan de traitement des risques appelle la même vigilance : une mesure planifiée à six mois qui n’a pas été mise en œuvre doit pouvoir être expliquée, faute de quoi l’auditeur considère que le risque n’est pas maîtrisé.
Une déclaration d’applicabilité qui ne dialogue pas avec l’analyse de risques
La déclaration d’applicabilité concentre à elle seule une bonne partie des non-conformités observées lors d’un premier audit de certification. L’erreur la plus courante consiste à la construire uniquement à partir de l’Annexe A, sans y reporter les mesures complémentaires identifiées par l’analyse de risques.
L’Annexe A rassemble 93 contrôles issus de la norme ISO 27002 : elle sert de checklist pour vérifier qu’aucun sujet courant n’a été oublié, mais elle n’est ni obligatoire dans son intégralité ni exhaustive. Une organisation peut exclure un contrôle qui ne la concerne pas, le développement externalisé pour une structure qui ne sous-traite aucun développement, par exemple, à condition de le justifier. Elle peut aussi retenir des mesures qui n’y figurent pas du tout parce que son analyse de risques les a fait émerger.
Ce qui manque le plus souvent, ce n’est pas la liste des contrôles retenus, mais la justification de leur présence ou de leur absence, y compris pour les contrôles jugés applicables.
Un plan de contrôle qui existe sur le papier plus que dans les faits
La surveillance, les contrôles et les audits internes forment un autre point sensible. On y trouve des mesures de sécurité sans contrôle associé pour vérifier leur efficacité, ou à l’inverse des contrôles qui ne correspondent à aucune mesure réelle.
Le plan de contrôle présenté à l’auditeur est parfois solide sur le papier mais n’a pas été suivi dans les faits, pour des raisons qui, faute d’avoir été formalisées en comité ou en revue de direction, ne constituent pas une preuve recevable.
Les critères et les seuils d’acceptabilité du contrôle forment un autre angle mort fréquent : sans eux, deux personnes qui réalisent le même contrôle à des moments différents n’évalueront jamais tout à fait la même chose. Les plans d’actions correctives issus de ces revues doivent enfin être tracés et suivis jusqu’à leur clôture, au même titre que ceux de l’analyse de risques.
Une correction sans analyse de cause
Le dernier point concerne la manière dont les non-conformités, et plus largement les incidents, sont traités. Corriger le symptôme ne suffit pas.
Mettre à jour un plan de contrôle oublié ou supprimer un code malveillant détecté sur un poste répare la situation immédiate, mais ne dit rien de la raison pour laquelle le contrôle n’avait pas été réalisé ou de la manière dont le poste a été compromis. Sans analyse de cause, le même problème revient tôt ou tard.
La norme attend deux niveaux de réponse à chaque non-conformité ou incident : une action corrective qui traite l’urgence, et une action préventive qui s’attaque à la source pour éviter sa répétition.
Ces cinq points ne doivent pas se lire comme une liste de pièges à éviter à tout prix. Un audit ISO 27001 sans aucune non-conformité serait même plutôt suspect : il questionnerait soit la rigueur de l’auditeur, soit la réalité d’un système de management censé vivre et évoluer en permanence.
Ce que l’audit évalue, c’est la capacité de l’organisation à démontrer que son SMSI répond à ses risques et à ses obligations, pas sa perfection. Une non-conformité, mineure ou même majeure, n’est jamais bloquante : elle ouvre simplement un délai pour se remettre en conformité, dans la logique d’amélioration continue qui est au cœur de la norme.
HoliRisk accompagne les organisations dans la mise en œuvre et le maintien de leur SMSI, avec le double regard d’un consultant qui construit ces systèmes de management au quotidien et d’un auditeur ISO 27001 qui les évalue sur le terrain. Échangeons sur votre trajectoire de certification.