ISO/IEC 27001:2022 après la transition : ce que recherchent les auditeurs et comment rester prêt pour l'audit

Depuis le 31 octobre 2025, chaque certificat ISO/IEC 27001 accrédité fait référence à l'édition 2022. Les audits de transition terminés, les organismes de certification testent maintenant si les nouveaux contrôles fonctionnent réellement.

ISO/IEC 27001:2022 a été publié le 25 octobre 2022 avec une période de transition de trois ans ^[3]. Cette période a pris fin le 31 octobre 2025. Les certificats émis selon l'édition précédente (ISO/IEC 27001:2013, publiée en Europe sous le nom EN ISO/IEC 27001:2017) ont expiré à cette date et ne sont plus valides ^[3]. Un an plus tard, la plupart des organisations certifiées ont achevé leur premier cycle de surveillance selon l'édition 2022. Cet article examine où s'est déplacée l'attention des auditeurs et comment maintenir un système de management de la sécurité de l'information (SMSI) prêt pour l'audit tout au long de l'année.

Un bref récapitulatif des changements

Clauses 4 à 10

Les clauses du système de gestion ont été alignées sur la structure harmonisée de l'ISO. Les changements sont modestes mais vérifiables. ^[1]:

• 4.2: déterminer quelles exigences des parties intéressées seront traitées par le SMSI.
• 4.4: le SMSI comprend les processus nécessaires et leurs interactions.
• 6.2: les objectifs de sécurité de l'information doivent être surveillés.
• 6.3 (nouveau) : les modifications du SMSI doivent être effectuées de manière planifiée.
• 8.1: établir des critères pour les processus et maîtriser les processus, produits et services fournis en externe qui sont pertinents pour le SMSI.
• 9.3: l'examen de direction tient compte des changements dans les besoins et les attentes des parties intéressées.

L'amendement sur le climat

En février 2024, l'ISO a publié l'Amendement 1 à ISO/IEC 27001:2022, « Climate action changes » ^[2]. Il exige que les organisations déterminent si le changement climatique est une question pertinente dans leur contexte (clause 4.1) et note que les parties intéressées peuvent avoir des exigences liées au climat (clause 4.2). Les auditeurs s'attendent généralement à voir que la question a été examinée et que la conclusion a été documentée, et non un programme climatique.

Annexe A

L'Annexe A a été restructurée, passant de 114 contrôles dans 14 domaines à 93 contrôles dans quatre thèmes : organisationnel, humain, physique et technologique ^[4]. La plupart des contrôles ont été fusionnés ou renommés. Onze sont nouveaux. ^[4]:

Contrôle	Titre
5.7	Renseignement sur les menaces
5.23	Sécurité de l'information pour l'utilisation des services cloud
5.30	Préparation des TIC à la continuité des activités
7.4	Surveillance de la sécurité physique
8.9	Gestion de la configuration
8.10	Suppression d'informations
8.11	Masquage de données
8.12	Prévention de la fuite de données
8.16	Surveillance des activités
8.23	Filtrage web
8.28	Codage sécurisé

Les conseils de mise en œuvre pour chaque contrôle se trouvent dans ISO/IEC 27002:2022. ^[5].

Les audits de transition ont demandé si les nouveaux contrôles figuraient dans votre déclaration d'applicabilité ; les audits de surveillance demandent s'ils fonctionnent.

Où l'attention des auditeurs s'est déplacée

Lors des audits de transition, les auditeurs ont principalement vérifié que la déclaration d'applicabilité (SoA) reflétait la nouvelle annexe A, que le plan de traitement des risques avait été mis à jour et que les nouveaux contrôles avaient été pris en compte. Les audits de surveillance et de recertification posent une question différente : le contrôle fonctionne-t-il et pouvez-vous le démontrer ?

Les domaines suivants sont ceux où les lacunes apparaissent généralement, car les contrôles sont nouveaux et les preuves ne sont pas toujours produites comme sous-produit du travail quotidien.

Renseignement sur les menaces (5.7)

S'abonner à un flux n'est pas un contrôle. Les auditeurs examinent comment l'information sur les menaces est collectée, analysée et exploitée : par exemple, un résumé périodique des menaces qui a conduit à une modification des évaluations des risques, des règles de détection ou des priorités de correctifs. Les organisations plus petites peuvent s'appuyer sur des sources telles que les avis des CSIRT nationaux, à condition qu'elles démontrent que l'information est examinée et utilisée.

Services cloud (5.23)

Le contrôle couvre le cycle de vie de l'utilisation du cloud : acquisition, utilisation, gestion et sortie. Attendez-vous à des questions sur la façon dont les services cloud sont approuvés, comment le modèle de responsabilité partagée est documenté pour les fournisseurs clés, comment la sécurité des fournisseurs est examinée et quels dispositifs de sortie existent. Cela est directement lié aux contrôles fournisseurs 5.19 à 5.22.

Prévention de la fuite de données (8.12)

La norme n'exige pas un produit DLP particulier. Elle exige des mesures proportionnées au risque, appliquées aux systèmes, réseaux et appareils qui traitent des informations sensibles. Les auditeurs veulent généralement voir le lien entre la classification des données, les canaux considérés (courrier électronique, téléchargements web, supports amovibles, partage cloud) et les mesures techniques ou procédurales choisies, ainsi que des preuves que les alertes sont examinées.

Gestion de la configuration (8.9) et surveillance des activités (8.16)

Les deux exigent des preuves continues : des lignes de base sécurisées définies, un moyen de détecter les dérives, et la surveillance des réseaux, systèmes et applications pour détecter les comportements anormaux avec un examen documenté. Ces contrôles échouent lorsqu'ils n'existent que sous forme de déclarations de politique.

Préparation des TIC à la continuité des activités (5.30)

Les auditeurs recherchent des objectifs de récupération liés à l'analyse d'impact sur les activités et des preuves que la récupération des TIC a été testée, et non seulement planifiée.

Codage sécurisé (8.28) et suppression d'informations (8.10)

Pour les organisations qui développent des logiciels, les auditeurs s'attendent à des principes de codage sécurisé, à des preuves d'examen ou de test du code, et à la gestion des bibliothèques tierces. Pour la suppression, ils examinent les règles de conservation et la preuve que les données sont supprimées lorsqu'elles ne sont plus nécessaires, y compris chez les fournisseurs.

Clause 6.3 et changement

Une constatation fréquente est que des changements importants, tels qu'une nouvelle plateforme cloud, une acquisition ou une réorganisation, ont été effectués sans évaluer leur effet sur le SMSI. Un simple enregistrement des modifications qui fait référence au SMSI résout ce problème.

Maintenir le SMSI prêt pour l'audit toute l'année

Créer un calendrier de contrôle

Attribuez à chaque contrôle applicable un propriétaire et une fréquence d'examen, par exemple mensuelle, trimestrielle ou annuelle. Les examens d'accès, les tests de restauration de sauvegarde, les examens des fournisseurs, les analyses de vulnérabilités et les résumés des menaces produisent alors des preuves selon le calendrier plutôt que dans les semaines précédant un audit.

Collecter les preuves en continu

Stockez les preuves là où elles sont générées, avec une date et un propriétaire, et liez-les au contrôle qu'elles soutiennent. Lorsque les contrôles sont partagés avec d'autres référentiels, tels que les mesures de gestion des risques NIS2 ou les exigences des TIC DORA, liez les mêmes preuves à chaque exigence au lieu de les produire deux fois.

Maintenir le registre des risques actif

Examinez les risques lorsque quelque chose change, et non seulement une fois par an : nouvelles menaces, incidents, fournisseurs ou services. Les auditeurs vérifient que les résultats de l'évaluation des risques se reflètent dans la SoA et le plan de traitement.

Répartir le programme d'audit interne

La clause 9.2 exige un programme d'audit interne planifié ^[1]. Couvrir quelques clauses et thèmes de contrôle chaque trimestre donne un cycle complet sur l'année, détecte les problèmes tôt et donne à l'organisme de certification une image crédible de l'auto-évaluation.

Mener un examen de direction pertinent

La clause 9.3 énumère les entrées requises ^[1]. Un examen court et bien documenté avec des décisions et des actions est plus utile qu'une longue présentation sans résultats.

Suivre les actions correctives jusqu'à leur clôture

Les non-conformités, les incidents et les constats d'audit doivent tous alimenter un seul journal des actions correctives avec la cause première, le responsable et la date d'échéance. Les actions ouvertes de l'audit précédent figurent parmi les premières choses qu'un auditeur vérifie.

Note de conclusion

Secrato aide les organisations à gérer des référentiels tels que NIS2, DORA et ISO/IEC 27001 sur une seule plateforme hébergée en UE, avec des contrôles partagés, des preuves et des pistes d'audit.