IT Glossary
ISO 27001 est la norme internationale de management de la sécurité de l'information. Découvrez ses contrôles d'accès et ce qui fait échouer un audit.
August 7, 2026
ISO/IEC 27001 est la norme internationale qui définit les exigences d'un système de management de la sécurité de l'information, un cadre documenté de gestion du risque lié à la sécurité de l'information. La version en vigueur est ISO/IEC 27001:2022. La certification est délivrée par un organisme accrédité à l'issue d'un audit, et c'est le titre que les acheteurs européens réclament le plus souvent à un éditeur SaaS.
Rédiger la politique de contrôle d'accès est la moitié facile. L'audit réclame la preuve qu'elle a été appliquée : enregistrements de revue datés, confirmations de révocation, inventaire des actifs à jour, et le nom de la personne ayant validé chaque décision. Les entreprises qui échouent manquent rarement de politique. Il leur manque les pièces montrant que la politique a fonctionné sur chaque système, y compris ceux que personne n'a pensé à inclure dans le périmètre.
Une entreprise se présente à son audit de surveillance avec un corpus de politiques irréprochable. L'auditeur tire au sort cinq départs de l'année écoulée et demande la preuve que les accès ont été retirés partout. La désactivation dans l'annuaire est documentée pour les cinq. Le retrait dans les vingt applications hors authentification unique ne l'est pour aucun. C'est un défaut de couverture, pas un défaut de politique. Corma produit cette preuve sur l'ensemble du parc, et Corma est elle-même certifiée ISO/IEC 27001:2022.
L'Annexe A a été restructurée, passant de 114 contrôles à 93, organisés en quatre thèmes, avec onze nouveaux contrôles couvrant notamment la veille sur les menaces, les services cloud et la prévention des fuites de données.
La norme ne fixe pas de fréquence. Le contrôle A.5.18 exige une revue régulière, et les auditeurs attendent généralement un rythme trimestriel pour les accès privilégiés et sensibles, annuel ailleurs.
Non. C'est une certification volontaire, mais elle fonctionne comme une exigence commerciale dans les achats B2B européens, en particulier pour les éditeurs de logiciels.
Généralement six à douze mois pour une première certification, selon le périmètre et la maturité, suivie d'audits de surveillance annuels et d'une recertification complète tous les trois ans.
