Analyse des écarts ISO/IEC 27001
Une analyse des écarts ISO/IEC 27001 montre la distance entre votre système de management de la sécurité de l’information (SMSI) et la certification. Ce guide couvre les articles de management et les mesures de l’annexe A, avec une liste de contrôle et un outil gratuits.
La liste de contrôle est en anglais.
01Ce qu’exige la norme
L’ISO/IEC 27001:2022 comporte deux parties à évaluer. Les articles 4 à 10 fixent les exigences du système de management : périmètre, leadership, appréciation et traitement des risques, support, fonctionnement, surveillance et amélioration. L’annexe A liste 93 mesures réparties en quatre thèmes : organisationnelles (37), liées aux personnes (8), physiques (14) et technologiques (34). Vous décidez des mesures applicables dans votre déclaration d’applicabilité (DdA).
Un amendement de 2024 a ajouté l’obligation de déterminer si le changement climatique est un enjeu pertinent pour votre contexte (article 4.1) et pour les parties intéressées (4.2).
02Comment mener l’analyse des écarts
- Convenez du périmètre et des limites du SMSI.
- Vérifiez chaque exigence des articles 4 à 10 et évaluez-la, preuves à l’appui.
- Examinez votre méthode d’appréciation des risques et l’existence d’un registre des risques à jour.
- Passez en revue les mesures de l’annexe A et rédigez ou mettez à jour la DdA.
- Transformez les écarts en plan de traitement priorisé avec responsables et dates.
03Écarts fréquents
- 6.1.2–6.1.3 : pas d’appréciation des risques reproductible, ou risques non reliés aux mesures.
- DdA sans justification des mesures exclues.
- 7.5 : informations documentées non maîtrisées.
- 9.2–9.3 : pas de programme d’audit interne ni de revue de direction.
- Annexe A 5.23 (services cloud) et 8.28 (codage sécurisé), ajoutées dans l’édition 2022, non traitées.
04Pourquoi un outil privé compte ici
Une analyse des écarts de sécurité est elle-même sensible : elle liste vos faiblesses. L’évaluation des écarts de Paperwing fonctionne dans votre navigateur et stocke tout localement : vos constats ne sont jamais envoyés. Vous pouvez exporter le rapport et une sauvegarde chiffrée.
Questions fréquentes
La liste de contrôle inclut-elle l’annexe A ?
La liste de contrôle et l’outil en ligne couvrent les articles 4 à 10 et les quatre thèmes de l’annexe A. Pour le détail mesure par mesure, travaillez sur votre déclaration d’applicabilité.
Combien de mesures compte l’annexe A ?
93 dans l’édition 2022, contre 114 en 2013.
La certification ISO 27001 est-elle obligatoire ?
Pas en général, mais les clients et les contrats l’exigent de plus en plus.