ISO/IEC 27001:2022 a été publiée en octobre 2022, et la période de transition pour les certificats selon l'édition 2013 s'est terminée le 31 octobre 2025. Tout certificat en circulation aujourd'hui porte sur l'édition 2022, ou devrait, et tout audit se fait face à elle. Si votre documentation parle encore de 14 domaines et 114 mesures, un auditeur le remarque dès la première page.
Les chapitres du système de management (4 à 10) n'ont changé que légèrement. Le vrai changement est dans l'annexe A, reconstruite pour s'aligner sur la nouvelle ISO/IEC 27002:2022.
La nouvelle structure de l'annexe A
L'édition 2013 rangeait 114 mesures en 14 domaines. L'édition 2022 range 93 mesures en quatre thèmes :
- Mesures organisationnelles (37) : politiques, rôles, gestion des actifs, contrôle d'accès, relations fournisseurs, gestion des incidents, continuité d'activité, droit et conformité.
- Mesures liées aux personnes (8) : vérification, conditions d'emploi, sensibilisation et formation, procédure disciplinaire, travail à distance, signalement des événements.
- Mesures physiques (14) : périmètres de sécurité, accès physique, protection contre les menaces environnementales, équipements, bureau propre, mise au rebut sécurisée.
- Mesures technologiques (34) : terminaux, accès privilégiés, authentification, protection contre les logiciels malveillants, journalisation, sauvegarde, sécurité réseau, développement sécurisé, et les nouvelles mesures ci-dessous.
Le passage de 114 à 93 vient de la fusion de mesures qui se recouvraient, pas de la suppression d'exigences. 24 mesures ont été fusionnées, 58 reprises avec une formulation ajustée, et onze sont nouvelles.
Les onze nouvelles mesures
C'est là que les auditeurs se concentrent, parce qu'un système hérité de l'ère 2013 n'a précisément pas traité celles-ci :
- Renseignement sur les menaces (5.7) : collecter, analyser les informations sur les menaces et les faire entrer dans les décisions de risque. Les auditeurs veulent une source, un rythme et la preuve que quelque chose en a changé.
- Sécurité de l'information dans l'utilisation des services cloud (5.23) : un processus d'acquisition, d'utilisation, de gestion et de sortie des services cloud, avec des exigences de sécurité fixées à l'avance.
- Préparation des TIC pour la continuité d'activité (5.30) : une continuité des TIC planifiée et testée face aux objectifs de continuité de l'organisation, ce qui relie la sécurité au programme de continuité plus large.
- Surveillance de la sécurité physique (7.4) : les locaux sont surveillés contre les accès non autorisés, pour la plupart des organisations des alarmes, des caméras ou un gardiennage proportionnés au site.
- Gestion de la configuration (8.9) : des configurations de base sécurisées définies, documentées, appliquées et surveillées pour le matériel, les logiciels, les services et les réseaux.
- Suppression des informations (8.10) : supprimer les informations qui ne sont plus nécessaires, y compris dans les systèmes et services exploités par d'autres.
- Masquage des données (8.11) : masquage ou pseudonymisation lorsque la politique ou la loi l'exige, avec une technique et une portée définies.
- Prévention des fuites de données (8.12) : des mesures pour les systèmes, réseaux et appareils qui traitent ou stockent des informations sensibles.
- Activités de surveillance (8.16) : réseaux, systèmes et applications sont surveillés pour détecter les comportements anormaux, et les anomalies sont évaluées.
- Filtrage web (8.23) : l'accès aux sites externes est géré pour réduire l'exposition aux contenus malveillants.
- Codage sécurisé (8.28) : des principes de codage sécurisé appliqués au développement logiciel.
Rien de tout cela ne surprend une fonction sécurité mature. Ce qui surprend les organisations, c'est l'obligation de preuve. « Nous avons un EDR » n'est pas une preuve pour 8.16 tant que personne ne peut montrer les alertes, l'évaluation et les issues. « Nous utilisons un fournisseur cloud » n'est pas 5.23 tant que les exigences n'ont pas été fixées avant le contrat et ne sont pas revues.
Les attributs : la nouvelle façon de trier les mesures
27002:2022 attache à chaque mesure cinq groupes d'attributs : type de mesure (préventive, détective, corrective), propriété de sécurité (confidentialité, intégrité, disponibilité), concept de cybersécurité (identifier, protéger, détecter, répondre, récupérer), capacité opérationnelle et domaine de sécurité. Ce ne sont pas des exigences, et un auditeur ne les vérifie pas, mais ils permettent de présenter le même jeu de mesures à travers le prisme qu'un client ou un régulateur veut, par exemple en correspondance avec les fonctions du NIST CSF. Les organisations qui gèrent beaucoup de référentiels trouvent utile de les reprendre dans leur registre de mesures.
Les changements au système de management
Les changements de chapitres sont modestes, mais chacun est une question qu'un auditeur pose désormais :
- 4.2 : les exigences des parties intéressées doivent être déterminées, et l'organisation doit décider lesquelles sont traitées via le SMSI.
- 4.4 : le SMSI doit inclure les processus nécessaires et leurs interactions, en pratique une cartographie des processus ou équivalent.
- 6.2 : les objectifs doivent être surveillés et disponibles sous forme d'informations documentées.
- 6.3 : les changements du SMSI doivent être planifiés. C'est nouveau en tant que chapitre explicite, et les auditeurs demandent l'enregistrement de la planification des changements.
- 8.1 : la formulation sur les processus externalisés couvre désormais les processus, produits et services fournis en externe, en cohérence avec les mesures fournisseurs.
- 9.3 : la revue de direction doit tenir compte des changements dans les besoins et attentes des parties intéressées.
Un amendement de 2024 a ajouté l'exigence de déterminer, au chapitre 4.1, si le changement climatique est un enjeu pertinent, et au 4.2 si les parties intéressées ont des exigences liées au climat. Il s'applique à toutes les normes ISO de système de management. Ce qui est attendu est une réflexion documentée, même si la conclusion est que ce n'est pas pertinent.
À quoi ressemble un audit d'aujourd'hui
L'étape 1 vérifie que la déclaration d'applicabilité repose sur les 93 mesures, que le plan de traitement des risques y renvoie, et que les nouvelles mesures sont soit appliquées, soit justifiées comme non applicables. L'étape 2 et les audits de surveillance échantillonnent ensuite. Pour un système 2022 dans son premier ou deuxième cycle, attendez-vous à ce que l'échantillonnage pèse sur les nouvelles mesures et les chapitres modifiés, parce que c'est là que l'auditeur s'attend à des lacunes.
Ceux qui ont fait la transition tard ou à la légère ne risquent pas le certificat ; ils risquent l'audit de surveillance qui constate que les nouvelles mesures ont été déclarées applicables et jamais exploitées. Les non-conformités mineures sont courantes au premier cycle de surveillance après la transition. Les majeures apparaissent quand la déclaration d'applicabilité et la réalité divergent sur quelque chose que l'auditeur considère comme fondamental, la surveillance ou la sauvegarde par exemple.
La préparation utile est un passage en revue des onze nouvelles mesures, une par une, avec la personne qui en est réellement responsable, et deux questions : que faisons-nous, et où est l'enregistrement. Là où la seconde réponse est un haussement d'épaules, vous avez trouvé votre lacune avant que l'auditeur ne la trouve.