ISO 27001:2022 pour les PME : certifier votre SMSI

Ce cours utilise l'intelligence artificielle.

Un client exige l'ISO 27001 sous douze mois, faute de quoi le contrat sera remis en appel d'offres. Pour une petite entreprise sans équipe sécurité, c'est un chantier considérable. Ce cours montre, étape par étape, comment mettre en place, faire fonctionner et faire certifier un système de management de la sécurité de l'information (SMSI) selon l'ISO/IEC 27001:2022, avec des chiffres concrets sur l'effort, les coûts et les jours d'audit.

Une entreprise, douze mois, chaque document rempli. Nous suivons Ledgerwick, un prestataire de paie britannique de 24 salariés, depuis l'e-mail du client jusqu'au certificat, puis pendant la première année qui suit. Chaque leçon produit un vrai document de Ledgerwick, et vous recevez chacun d'eux pour l'adapter à votre entreprise.

Pourquoi c'est important maintenant. Clients, acheteurs publics et assureurs demandent de plus en plus souvent une sécurité de l'information démontrable. En France, la directive européenne NIS 2, en cours de transposition en droit français, étend les obligations de cybersécurité à de nombreuses entités, et cette pression se reporte sur leurs fournisseurs, y compris de petites entreprises. L'ISO 27001 est un cadre reconnu pour structurer cette démarche. Ce cours ne traite pas NIS 2 en détail.

Ce que couvre le cours

Un plan sur 12 mois, avec l'effort en jours et un budget pour la première année

Contexte, parties intéressées, domaine d'application, rôles, politique et objectifs (articles 4 à 6)

Inventaire des actifs, méthode des risques, appréciation et traitement des risques avec leurs coûts (articles 6.1.2 et 6.1.3)

L'annexe A pour une petite entreprise dans le cloud : la déclaration d'applicabilité ligne à ligne, avec des exclusions justifiées

Les mesures en pratique : gestionnaire de mots de passe, MFA, arrivées et départs, appareils, sauvegardes, correctifs, fournisseurs et incidents sous Microsoft 365

Des documents et des preuves sans lourdeur, une routine mensuelle de deux heures, des indicateurs, l'audit interne et la revue de direction

Le choix d'un organisme de certification, les audits d'étape 1 et d'étape 2, la clôture des constats et le cycle de trois ans qui suit

Ce que vous recevez

29 leçons vidéo sous-titrées, environ trois heures et demie au total

Une boîte à outils de 15 documents Word et Excel, chacun en modèle vierge et en exemple rempli par Ledgerwick : domaine d'application, politique, registre des risques, déclaration d'applicabilité couvrant les 93 mesures, liste de contrôle d'audit, registre des actions correctives, et plus encore

Un quiz à la fin de chaque section et quatre devoirs pratiques avec leurs corrigés

Bon à savoir. L'entreprise modèle est installée au Royaume-Uni. Les montants sont donc en livres sterling, et des références britanniques comme Cyber Essentials et l'organisme d'accréditation UKAS apparaissent. Les étapes de l'ISO 27001 s'appliquent dans tous les pays ; les coûts varient selon le pays. Le cours ne reproduit pas le texte de la norme : il est donc utile d'en avoir un exemplaire.

À la fin, vous disposez d'un plan, d'un jeu complet de documents du SMSI, d'une appréciation des risques et d'une déclaration d'applicabilité que vous pouvez justifier devant un auditeur, ainsi que d'une routine pour faire vivre le système après la certification.